kretovsky
kretovsky
Czy ktoś jest mi w stanie wytłumaczyć o co tu chodzi?

Mam serwer nginx + stoi on za cloudflare. Mam ustawione setrealip_from aby znać prawdziwe ip ludzi. Wczoraj zainstalowałem sobie fail2ban. W konfigu nginxa mam że jak ktoś przekroczy limit połączeń to ma błąd 503 (limiting requests, excees by zone bla bla bla).
Według tego mam ustawione banowane w fail2ban, łapie on te eventy i banuje, wsadza do iptables, problem jest tylko
  • Najlepsze
  • Wszystkie komentarze
kretovsky
kretovsky
kretovsky Autor
2
@kretovsky: dobra, chyba wiem, iptables widzi chyba na wejściu ip cf, dlatego jest wpuszczane, musialo by cos byc w stylu cfrealip dla iptables
januzi
#wordpress #fail2ban Odpaliłem na serwerze fail2bana z regułkami pod wp-login, oto rezultat:
[ciach jeszcze 6 ekranów]
2021-01-18 21:59:05,096 fail2ban.actions [6304]: NOTICE [wordpress] Ban 52.172.153.7
2021-01-18 21:59:05,307 fail2ban.actions [6304]: NOTICE [wordpress] Ban 52.188.153.36
2021-01-18 21:59:05,519 fail2ban.actions [6304]: NOTICE [wordpress] Ban 54.37.198.243
2021-01-18 21:59:05,731 fail2ban.actions [6304]: NOTICE [wordpress] Ban 54.38.134.219
  • Najlepsze
  • Wszystkie komentarze
hostinguj
@januzi: Sprawdź nasz hosting https://hostinguj.pl/ chociażby w bezpłatnym trialu, zapomnisz o atakach bruteforce dzięki Imunify360, zapewnij sobie spokój!
OperatorHydrolokator
Heja, jeszcze raz temat #linux i #fail2ban konkretnie na #centos . Zmieniłem akcję banowania f2b na DROP i nie czaję jednej rzeczy:

2019-09-16 17:29:04,978 fail2ban.filter [2717]: INFO [wp-login] Found 18.221.206.247
2019-09-16 19:53:26,746 fail2ban.filter [2717]: INFO [wp-login] Found 18.221.206.247
2019-09-16 20:07:38,019 fail2ban.filter [2717]: INFO [wp-login] Found 18.221.206.247
2019-09-16 20:07:38,808 fail2ban.actions [2717]: NOTICE [wp-login] Ban 18.221.206.247
  • Najlepsze
  • Wszystkie komentarze
g.....h
g.....h
@OperatorHydrolokator: sprawdź czy faktycznie jest banowany. Mimo logu, że fail2ban dodaje - może coś jest nie tak w jakieś dodatkowej konfiguracji?
sq4ind
sq4ind
@OperatorHydrolokator: iptables -v -n -L | grep 18.221.206.247

Co pokazuje ?
OperatorHydrolokator
Mam pewną zagwozdkę - dotyczy #fail2ban #linux #centos . Skonfigurowałem niby tego fail2bana dla exim'a (dałem czas bana 10 minut, 3 próby powtórzone w czasie 10 minut). I teraz tak:

2019-09-04 20:44:06,406 fail2ban.actions [29954]: NOTICE [exim] Ban 92.118.38.51
2019-09-04 20:44:16,691 fail2ban.filter [29954]: INFO [exim] Found 45.227.253.116
2019-09-04 20:44:17,694 fail2ban.filter [29954]: INFO [exim] Found 45.227.253.116
2019-09-04 20:47:12,953 fail2ban.filter [29954]: INFO [exim] Found 92.118.38.51
  • Najlepsze
  • Wszystkie komentarze
g.....h
g.....h
@OperatorHydrolokator: kiedyś dodałem fail2ban na serwer ftp - mój brat mi pisze, że nie może się zalogować próbował już kilku haseł i lipa ( ͡° ͜ʖ ͡°)
po chwili, 'ooo udało się'. Wtedy znowu ja miałem ( ͠°෴ °)
i zacząłem testować, okazało się, że fail2ban wysyłał maila, wysyłał log - ale nie banował, bo źle ustawiłem jakąś regułę (detali nie pamiętam).

Do
OperatorHydrolokator
@grzemach:
Chain f2b-exim (1 references)
pkts bytes target prot opt in out source destination
13 940 REJECT all -- * * 185.211.245.170 0.0.0.0/0 reject-with icmp-port-unreachable
1 60 REJECT all -- * * 183.60.21.113 0.0.0.0/0 reject-with icmp-port-unreachable
0 0 REJECT all -- * * 92.118.38.51 0.0.0.0/0
a.....e
a.....e
Wiecie może jak powstrzymać ten atak przez fail2ban?

postfix/smtpd[28660]: warning: unknown[xxx.xxx.xxx.xxx]: SASL Login authentication failed: UGFzc3dvcmQ6

Mój config:
[pureftpd]
  • Najlepsze
  • Wszystkie komentarze
szpoq
szpoq
0
@airflame: jak najszybciej
a.....e
a.....e
@szpoq: Dzięki bardzo xD
a.....e
a.....e
Czy ktoś może wie dlaczego fail2ban przy restarcie robi unban zbanowanego wcześniej ip ?

Mam w logu:
2018-10-24 10:14:13,499 fail2ban.actions[851]: WARNING [postfix-sasl] Ban 179.154.249.179

A przy restarcie:
  • Najlepsze
  • Wszystkie komentarze
krzyzakp
@airflame: Taki, ze skoro zatrzymujesz firewall, to nie powinien blokowac niczego.. Zawsze mozesz sobie zrobic iptables-save >plik i po stopie odpalic plik znowu - bany nadal beda.
W.....a
W.....a
  • Najlepsze
  • Wszystkie komentarze