Forum Debian Users Gang

Jako że jeszcze nie ma tematu o fail2ban zakładam nowy.

Pojawia się u mnie problem z blokowaniem usług (banowaniem konkretnego IP komputera).
Najbardziej obrazowe będzie logowanie przez ssh.
Maksymalna ilość prób logowania to u mnie 4. Po 4 nieudanej próbie logowania IP powinno zostać zablokowane na określony czas przez filtr iptables. Niestety z blokowaniem tym fail2ban ma problemy. Po zawieszeniu połączenia przez ssh i ponownej próbie logowania (tym razem z dobrym hasłem bez problemu można wejść na konto).

mój plik (fragment) fail2ban.local wygląda tak:

[DEFAULT]
ignoreip = 127.0.0.1
bantime = 3600
maxretry = 4
backend = polling
#destmail =
action = iptables[name=%(__name__)s, port=%(port)s]

[ssh]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log

sprawdzając logi fail2ban widzę że program wykonuje...:
2007-07-23 13:32:11,003 fail2ban.actions.action: INFO   Set actionBan = iptables -I fail2ban-<name> 1 -s <ip> -j DROP
2007-07-23 13:32:11,005 fail2ban.actions.action: INFO   Set actionStop = iptables -D INPUT -p <protocol> --dport <port> -j fail2ban-<name>
iptables -F fail2ban-<name>
iptables -X fail2ban-<name>

czyli najpierw wykonuje akcję blokowania zdeklarowaną w jail.local a następnie czyści wszystkie reguły (dlaczego?).

myślałem również o dodaniu innych regexów.
standardowo jest:

failregex = (?:(?:Authentication failure|Failed [-/w+]+) for(?: [iI](?:llegal|nvalid) user)?|[Ii](?:llegal|nvalid) user|ROOT LOGIN REFUSED)  .*(?: from|FROM) <HOST>

zmieniłem na znalezione:

failregex = Authentication failure for .* from <HOST> Failed [-/w]+ for .* from <HOST> ROOT LOGIN REFUSED .* FROM <HOST> [iI](?:llegal|nvalid) user .* from <HOST>

jednak te drugie nie działają - w logach jest error: no failregex is set.