J'ai un fail2ban configuré comme ci-dessous:

• bloquer l'ip après 3 tentatives infructueuses
• libérer l'IP après un délai de 300 secondes

Cela fonctionne parfaitement et je souhaite le conserver de manière à ce qu'un utilisateur valide ait la possibilité de réessayer la connexion après le délai imparti. Maintenant, je veux implémenter une règle dans laquelle si la même adresse IP est détectée comme attaque et bloquée, débloquée 5 fois, bloque définitivement l’adresse IP et ne la débloque plus jamais. Cela peut-il être réalisé avec fail2ban seul ou j'ai besoin d'écrire mon propre script pour le faire?

Je le fais en centos.

Avant la version 0.11, il n’existait aucune fonctionnalité ou paramètre par défaut dans fail2ban pour ce faire. Mais à partir de la version 0.11 à venir, le temps d'interdiction est automatiquement calculé et augmente de façon exponentielle à chaque nouvelle infraction, ce qui, à long terme, entraînera un blocage plus ou moins permanent.

Jusque-là, votre meilleure approche consiste probablement à configurer fail2ban pour surveiller son propre fichier journal . C'est un processus en deux étapes ...

Étape 1

Nous pourrions avoir besoin de créer un filtre pour vérifier les BAN dans le fichier journal (le fichier journal de fail2ban)

Étape 2

Nous devons définir la prison , semblable à la suivante ...

[fail2ban]
enabled = true
filtre = fail2ban
action = iptables-allports [nom = fail2ban]
logpath = /path/to/fail2ban.log
# findtime: 1 jour
findtime = 86400
# bantime: 1 an
bantime = 31536000

Techniquement, ce n'est pas un bloc permanent , mais seulement des blocs pour un an (que nous pouvons aussi augmenter).

Quoi qu'il en soit, pour votre question (cela peut-il être réalisé avec fail2ban seul ou je dois écrire mon propre script pour le faire?) ... écrire son propre script pourrait bien fonctionner. Je recommande de créer le script pour extraire les adresses IP fréquemment interdites, puis de les /etc/hosts.denyintégrer.

Je crois que si vous mettez bantime = -1dans cette section config, c'est un blocage permanent.

Phil Hagen a écrit un excellent article sur ce sujet. " Interdire définitivement les récidivistes avec fail2ban ".

Sa suggestion est la même que Pothi mais fournit un guide étape par étape.

Cela comprenait:

• liste d'interdiction séparée par jail (ip.blocklist.ssh, ip.blocklist.xxx)
• listes d'interdiction auto-chargées si redémarrage du service (avantage principal de cette méthode à mon humble avis)
• notification par courrier électronique si le répéteur est engagé.

Pour développer la réponse de Chin, ceci est assez simple. Il suffit de modifier les 2 paramètres /etc/fail2ban/jail.localpour correspondre à vos préférences.

 # ban time in seconds. Use -1 for forever. Example is 1 week.
 bantime  = 604800
 # number of failures before banning
 maxretry = 5

fail2ban a déjà une prison pour interdire les récidives. Si vous regardez /etc/fail2ban/jail.conf, vous trouverez:

# Jail for more extended banning of persistent abusers
# !!! WARNING !!!
#   Make sure that your loglevel specified in fail2ban.conf/.local
#   is not at DEBUG level -- which might then cause fail2ban to fall into
#   an infinite loop constantly feeding itself with non-informative lines
[recidive]

enabled  = false
filter   = recidive
logpath  = /var/log/fail2ban.log
action   = iptables-allports[name=recidive]
           sendmail-whois-lines[name=recidive, logpath=/var/log/fail2ban.log]
bantime  = 604800  ; 1 week
findtime = 86400   ; 1 day
maxretry = 5

Comment ajouter dans jail.local?

[recidive]
enabled  = true
bantime  = 31536000  ; 1 year
findtime = 18144000  ; 1 month
maxretry = 2

Pour vérifier que vous logLevel vous pouvez faire: fail2ban-client get loglevel.

• set loglevel MYLEVEL : définit le niveau de journalisation sur MYLEVEL. Niveaux: CRITICAL, ERROR, AVERTISSEMENT, AVIS, INFO, DEBUG
• Plus de commande sur le wiki .

Avec l'ancienne version de fail2ban, vous pouvez obtenir ce bogue .

Allez dans vim, ouvrez /etc/fail2ban/jail.conf

et juste modifier après fail2ban service restart:

# "bantime" is the number of seconds that a host is banned.
bantime  = ***1296000***

# A host is banned if it has generated "maxretry" during the last "findtime"
# seconds.
findtime  = ***60000***

# "maxretry" is the number of failures before a host get banned.
maxretry = ***3***