[OperatorHydrolokator]

Mam pewną zagwozdkę - dotyczy #fail2ban #linux #centos . Skonfigurowałem niby tego fail2bana dla exim'a (dałem czas bana 10 minut, 3 próby powtórzone w czasie 10 minut). I teraz tak:

2019-09-04 20:44:06,406 fail2ban.actions [29954]: NOTICE [exim] Ban 92.118.38.51
2019-09-04 20:44:16,691 fail2ban.filter [29954]: INFO [exim] Found 45.227.253.116
2019-09-04 20:44:17,694 fail2ban.filter [29954]: INFO [exim] Found 45.227.253.116
2019-09-04 20:47:12,953 fail2ban.filter [29954]: INFO [exim] Found 92.118.38.51
2019-09-04 20:49:23,117 fail2ban.filter [29954]: INFO [exim] Found 92.118.38.51
2019-09-04 20:50:14,180 fail2ban.filter [29954]: INFO [exim] Found 92.118.38.51
2019-09-04 20:50:15,106 fail2ban.actions [29954]: NOTICE [exim] 92.118.38.51 already banned
2019-09-04 20:53:25,424 fail2ban.filter [29954]: INFO [exim] Found 185.234.216.206
2019-09-04 20:55:51,586 fail2ban.filter [29954]: INFO [exim] Found 92.118.38.51

Skoro ten IP dostał już banana, to jakim cudem on po paru minutach może się niby próbować łączyć ponownie? o_O Bo tego to nie rozumiem. W iptables jest:
iptables -S | grep f2b
-A f2b-exim -s 92.118.38.51/32 -j REJECT --reject-with icmp-port-unreachable

#kiciochpyta

[g.....h]

@OperatorHydrolokator: kiedyś dodałem fail2ban na serwer ftp - mój brat mi pisze, że nie może się zalogować próbował już kilku haseł i lipa ( ͡° ͜ʖ ͡°)
po chwili, 'ooo udało się'. Wtedy znowu ja miałem ( ͠°෴ °)
i zacząłem testować, okazało się, że fail2ban wysyłał maila, wysyłał log - ale nie banował, bo źle ustawiłem jakąś regułę (detali nie pamiętam).

Do czego

[OperatorHydrolokator]

@grzemach:
Chain f2b-exim (1 references)
pkts bytes target prot opt in out source destination
13 940 REJECT all -- * * 185.211.245.170 0.0.0.0/0 reject-with icmp-port-unreachable
1 60 REJECT all -- * * 183.60.21.113 0.0.0.0/0 reject-with icmp-port-unreachable
0 0 REJECT all -- * * 92.118.38.51 0.0.0.0/0 reject-with icmp-port-unreachable
2 112 REJECT all -- * * 45.227.253.116 0.0.0.0/0 reject-with icmp-port-unreachable
3 180 REJECT all -- * * 141.98.80.75 0.0.0.0/0 reject-with icmp-port-unreachable
0 0

[botul]

@OperatorHydrolokator: ja bym to zmienił na -j DROP (⌐ ͡■ ͜ʖ ͡■) albo minimum to icmp-host-unreachable
Spamerzy mogą dostać dropa bez wpływu na sumienie... ( ͡° ͜ʖ ͡°)

[dlycs]

@OperatorHydrolokator: a może to się dzieje na jednym połączeniu do exima, a ty gdzieś wyżej masz coś rodzaju --ctstate ESTABLISHED,RELATED i – jak widać po liczbie pakietów/bajtów – Ci się na ten REJECT w f2b-exim ten host nie łapie.

[OperatorHydrolokator]

@dlycs: niestety nie jestem biegły w iptables - serwer jest kogoś, ataków brute force cholerę i chciałem to tylko zabezpieczyć. iptables -L ma miliard różnych wpisów :|