※写真と本文は関係ありません。
# Jail for more extended banning of persistent abusers
しつこいIPアドレスのban期間を延長する recidive jail
サービスに影響があるかもしれないので、sshdは延長banしたいけど、dovecotは通常banにしたいときの設定方法。
recidive の jail 設定
$ cat /etc/fail2ban/jail.d/jail.local
# recidiveの部分を抽出
[recidive]
enabled = true
logpath = /var/log/fail2ban.log
banaction = %(banaction_allports)s
bantime = 604800 ; 1 week
findtime = 86400 ; 1 day
action = sendmail-whois-lines-subject-w-country[name=%(__name__)s, logpath=%(logpath)s]
%(banaction)s[name=%(__name__)s]
filterはjail.conf に書いてあるデフォルト設定なので
/etc/fail2ban/jail.conf:filter = %(__name__)s
-> filter = recidive
/etc/fail2ban/filter.d/recidive.conf が filter 設定ファイル
recidive.conf にある変数 _jailname を recidive.local で書き換える
# デフォルト
$ cat /etc/fail2ban/filter.d/recidive.conf
[Definition]
_jailname = recidive
延長ban を除外する jailname で正規表現を書く。
$ cat /etc/fail2ban/filter.d/recidive.local
[Definition]
_jailname = (recidive|dovecot|postfix-rbl)
recidive.conf の 変数 failregex の_jailname のところに代入される。
failregex = ^(%(__prefix_line)s| %(_daemon)s%(__pid_re)s?:\s+)NOTICE\s+\[(?!%(_jailname)s\])(?:.*)\]\s+Ban\s+\s*$
fail2ban-regexを使うとfailregexが出力されるので確認できる。
–print-all-missed マッチしてないログ、–print-all-matched でマッチしたログを確認できる。
# fail2ban-regex /var/log/fail2ban.log /etc/fail2ban/filter.d/recidive.conf
Running tests
=============
Use failregex filter file : recidive, basedir: /etc/fail2ban
Use log file : /var/log/fail2ban.log
Use encoding : UTF-8
Results
=======
Failregex: 185 total
|- #) [# of hits] regular expression
| 1) [185] ^((?:\[\])?\s*(?:<[^.]+\.[^.]+>\s+)?(?:\S+\s+)?(?:kernel: \[ *\d+\.\d+\]\s+)?(?:@vserver_\S+\s+)?(?:(?:(?:\[\d+\])?:\s+[\[\(]?fail2ban\.actions\s*(?:\(\S+\))?[\]\)]?:?|[\[\(]?fail2ban\.actions\s*(?:\(\S+\))?[\]\)]?:?(?:\[\d+\])?:?)\s+)?(?:\[ID \d+ \S+\]\s+)?| fail2ban\.actions\s*(?:\[\d+\])?:\s+)NOTICE\s+\[(?!(recidive|dovecot|postfix-rbl)\])(?:.*)\]\s+Ban\s+\s*$
`-
Ignoreregex: 0 total
Date template hits:
|- [# of hits] date format
| [2581] Year(?P<_sep>[-/.])Month(?P=_sep)Day 24hour:Minute:Second(?:,Microseconds)?
`-
Lines: 2581 lines, 0 ignored, 185 matched, 2396 missed
[processed in 0.48 sec]
Missed line(s): too many to print. Use --print-all-missed to print all 2396 lines