Tentativas de login do servidor NÃO bloqueadas após a configuração do fail2ban

Question

Então, instalei (e configurei) o fail2ban em três servidores VPS do Ubuntu. Eu configurei (imo) um máximo de 3 tentativas de login (via Putty como root) em 2 minutos. Então reiniciei o serviço fail2ban (de acordo com manual ).

Mas quando olho meus arquivos auth.log em /var/log/ , ainda vejo 4, 5 ou mais tentativas malsucedidas de determinados IPs. Então, obviamente, eu fiz algo errado como o IP não está bloqueado após 3 tentativas fracassadas.

Pode ser que tenha que fazer algo com iptables , mas é aí que fica um pouco "nebuloso" para mim ...

Não sabe como configurar uma regra max-three-failed-login-attempts .

Adicional : vejo que as tentativas de login geralmente têm portas diferentes para cada tentativa. Isso influencia a contagem para max-three ?

Porque eu vejo uma porta sendo "cutucada" duas vezes e não há mais tentativas. Então o IP tenta uma porta diferente (novamente 2 vezes). (todos os bots, claro)

    

Answer 1

fail2ban usa iptables para bloquear (supondo que você esteja usando a ação padrão iptables-multiport "em f2b). iptables é apenas parte do Linux, então não é algo que você precisa instalar.

Por padrões do Ubuntu, se você olhar em /etc/fail2ban/jail.conf , você deve ver algo assim:

[ssh]

enabled  = true
port     = ssh
filter   = sshd
logpath  = /var/log/auth.log
maxretry = 6

Portanto, antes de prosseguirmos, o padrão é 6 tentativas com falha antes de bloquear, não 3. Você pode diminuir isso aqui, se desejar. Isso parece responder à sua pergunta.

Mas depois disso, verifique se /etc/services tem a porta certa para o seu servidor SSH. Eu acho que é onde o f2b está procurando números de porta (quando você especifica uma porta para uma cadeia - como está acima). Se você estiver executando vários servidores SSH em portas diferentes ou tiver várias portas abertas para SSH, talvez seja necessário ajustar o que está sendo usado por f2b ou remover completamente a restrição.