regex fail2ban correspondente nos sites de teste, mas não no próprio fail2ban

Question

Olá, estou tentando corresponder à seguinte linha de registro:

E/Sun, 04 Mar 2018 21:40:32 +0100: Error logging in from RemoteIP: 1.2.3.4

E depois de muitas horas eu finalmente consegui um regex que funciona no debuggerex, regextester, etc. Mas eu não posso para a minha vida fazer o fail2ban igualar-se a ele.

Meu regex no fail2ban é o seguinte:

^E\/(Mon|Tue|Wed|Thu|Fri|Sat|Sun), ([0-1][0-9]) (\w\w\w) (\d\d\d\d) (00|[0-9]|1[0-9]|2[0-3]):([0-9]|[0-5][0-9]):([0-9]|[0-5][0-9]) (\+[0-9][0-9][0-9][0-9]): Error logging in from RemoteIP: <HOST>$

Estou sentindo falta de algo básico aqui ou o quê?

    

Answer 1

Como não consigo identificar seu problema, aqui está o método geral de corrigir um regex de correspondência fail2ban.

1. Verifique se você tem um arquivo que contém a correspondência desejada, por exemplo, %código%
2. Ligue para /var/log/foo.log
3. Se não corresponder, remova algumas palavras da sua regex e vá para 2.
4. Se corresponder, acrescente algumas palavras da sua regex original e vá para 2 ou:
5. Se de 3. e 4. você identificou qual palavra está errada, corrija-a.
6. Se, após a correção, a regex completa ainda não corresponder, repita todo o processo com a regex fixa.