fail2ban.action ERROR iptables -w -N f2b-jail-name

Question

Estou usando o fail2ban há algum tempo sem problemas.

Outro dia, decidi parar o fail2ban para remover uma regra do meu iptables padrão. Quando iniciei o fail2ban, ele começou ok (de acordo com o comando: service fail2ban start).

No entanto, quando verifiquei o iptables, não vi as cadeias fail2ban adicionadas. Eu verifiquei o log do fail2ban e encontrei vários erros como estes:

fail2ban.action [32091]: ERROR iptables -w -N f2b- iptables -w -I INPUT -p tcp -m multiport --dports 0:65535 -j f2b- -- stderr: "iptables v1.4.7: option -w' requires an argument\nTryiptables -h' or 'iptables --help' for more information.\niptables v1.4.7: option -w' requires an argument\nTryiptables -h' or 'iptables --help' for more information.\niptables v1.4.7: option -w' requires an argument\nTryiptables -h' or 'iptables --help' for more information.\n"

Nesse log, parece que o fail2ban está tentando executar o iptables com a opção -w , que não existe. Verifiquei todos os arquivos de configuração do fail2ban, especialmente no diretório action.d, e não há uma única linha com a opção -w . Quão estranho é isso?

Eu não tenho idéia do que está acontecendo aqui e não posso usar o fail2ban por causa disso.

Agradeço sua ajuda.

    

Answer 1

A opção -w não está em sua versão 1.4.7 do iptables, seu uso é explicado no arquivo /etc/fail2ban/action.d/iptables-common.conf

# Option:  lockingopt
# Notes.:  Option was introduced to iptables to prevent multiple instances from
#          running concurrently and causing irratic behavior.  -w was introduced
#          in iptables 1.4.20, so might be absent on older systems
#          See https://github.com/fail2ban/fail2ban/issues/1122
# Values:  STRING
lockingopt = -w

Eu ficaria tentado a remover o -w da declaração acima ou até mesmo comentá-lo e ver o que aconteceu.

Verifique seu yum.log para ver se o fail2ban foi atualizado recentemente. Em caso afirmativo, veja quando isso aconteceu e verifique se você tem um trabalho yumcron em execução nessa época.

    

Answer 2

a melhor abordagem é adicionar:

[Init] lockingopt =

em /etc/fail2ban/jail.local

a descrição da opção -w:

# Option:  lockingopt
# Notes.:  Option was introduced to iptables to prevent multiple      instances from
#          running concurrently and causing irratic behavior.  -w was introduced
#          in iptables 1.4.20, so might be absent on older systems
#          See https://github.com/fail2ban/fail2ban/issues/1122
# Values:  STRING

enquanto no centos 6.7 a versão do iptable é 1.4.7, então não funciona.

informações adicionais estão aqui:

link link