这是一个创建于 3537 天前的主题，其中的信息可能已经有所发展或是发生改变。
系统 Debian8 ，设置 Fail2Ban 为错误五次就封 IP 3 小时，但我在本机上测试时，故意输出 SSH 登录密码，在 5 次之后并不会弹出服务器断开连接的提示，而是不断的让我重新输入密码，/var/log/fail2ban.log 的日志最新一条为： 2016-02-05 03:52:08,146 fail2ban.jail [1915]: INFO Jail 'ssh-iptables' started
下面是我的 jail.conf 的内容：
[DEFAULT]
ignoreip = 127.0.0.1 172.31.0.0/24 10.10.0.0/24 192.168.0.0/24
bantime = 21600
maxretry = 5
findtime = 600
mta = sendmail
[ssh-iptables]
enabled = true
filter = sshd
action = iptables[name=SSH, port=ssh, protocol=tcp]
sendmail-whois[name=SSH, dest=[email protected], sender=[email protected]]
maxretry = 5
 | 1 ZyZyZzz 2016-02-05 17:11:56 +08:00 1.用 fail2ban-regex 检查是否能匹配规则 2.检查目标日志文件权限，看能不能被 fail2ban 访问 3.你的 logpath 呢？ |
| 2 ZyZyZzz 2016-02-05 17:16:21 +08:00 还有，建议把自己的规则放在 jail.local 里以覆盖 jail.conf 里的默认配置 为什么都喜欢直接改 jail.conf 呢？ |
 | 3 xuhaoyangx 2016-02-05 17:17:55 +08:00 @ZyZyZzz 因为网上教程都写在 conf 2333 |
 | 4 kn007 2016-02-05 18:14:26 +08:00 把 maxretry = 5 改成 3 试试，看下是不是因为 ssh 的原因 |
 | 5 raincious 2016-02-05 18:43:58 +08:00 不记得 Debian 的配置，但是 Ubuntu 下 fail2ban 应该是安装即可用的（针对 SSH 来说）。 楼主不如检查一下日志比如 /var/log/auth.log 之类，看看是不是登录错误已经被记录了。 如果你连 auth.log 都找不到了的，那么 fail2ban 应该是一抹黑的（捂脸） http://serverfault.com/questions/545622/no-more-logging-after-upgrade-to-debian-wheezy |
| 7 raincious 2016-02-05 18:57:14 +08:00 |
 | 8 7654 2016-02-05 18:58:04 +08:00 自用 VPS ，把 SSH apache 停了，世界一片清净 |
 | 9 Devin 2016-02-05 19:15:54 +08:00 |
 | 11 zen9073 2016-02-05 19:40:39 +08:00 我之前遇到过一样的问题, 后来发现是因为改了时区导致系统时间和程序运行的时间(log 记录的时间)不一致, 你把 findtime 设为一天试试, 看会不会 block |
 | 12 edsgerlin 2016-02-06 11:16:57 +08:00 搞什么 fail2ban ，直接把 password auth 关了用 private key auth ，随便人家怎么暴力破。 |
 | 13 ibrother 2016-02-15 14:54:19 +08:00 fail2ban 的特性会被用作 dos 攻击，一般不建议使用 fail2ban 了，可以试试 sshguard |
 | 14 yiyiwa 2016-02-17 10:42:42 +08:00 debian 感觉用 denyhosts 好用点 |
Select Language