Как заблокировать ip с помощью file2ban?

Question

[grade24]

Друзья, помогите настроить блокировку ip с помощью file2ban. Как заблокировать постоянную активность (на скрине), каждый запрос уникальный, много запросов на разные каналы каналы с одного ip.

Comments

[grade24]

И такая активность.

[Lynn «Кофеман»]

А если погуглить по правильному названию fail2ban?

[grade24]

Алексей Тен, перед тем как написать, я естественно гуглил. Если я правильно понял. Для бана нужно что бы в логах отображались одинаковые строчки. У меня они разные. Поэтому и прошу помощи, как банить если чторчки в логах отличаются. Создавал правила для faile2ban, по статьям из гугла - не бант.

[planc]

grade24,
через iptables забань
iptables -A INPUT -p ALL -s 194.190.80.12 -j DROP

а лучше, разреши доступ со своего ip и запрети всем остальным

[Lynn «Кофеман»]

grade24, у тебя в двух местах написано file2ban вместо fail2ban

[grade24]

Алексей Тен, опечатка.

Answer 1

[AUser0]

Проблема в том, что fail2ban реагирует на сообщение об какой-либо ОШИБКЕ, нештатной ситуации.

А у вас и ошибок-то нет, есть штатное подключение к потоку, и тут же штатное отключение от потока.
И на штатное подключение-отключение fail2ban не сможет реагировать, иначе он будет банить вообще все подключения, тотально...

Как вариант - нужно писать скрипт (на доступном языке), запускать каждую минуту/две/три/пять, парсить лог, находить такие подключения, проверять на уже забаненность, и банить. Профит!

Comments

[ky0]

Вы как-то странно объяснили работу f2b. Никакие "ошибки" он не мониторит, а работает в точности по регэкспам, указанным в его настройках. Если ТС добавит соответствующую нормальному подключению регулярку и настроил jail - при превышении частоты коннектов будут баниться и такие.

[grade24]

ky0, Подскажите пожалуйста, какую регулярку добавить ? Может есть простенькая, которая будет реагировать на одно слово, например "Streaming"

[AUser0]

Упс, мда, этот вариант ограничения выпал из памяти.

[ky0]

grade24, вы можете посмотреть на дефолтные регулярки в /etc/fail2ban/filter.d (в дебиане они там, по крайней мере) и сделать по аналогии. Ничего сложного там нет - произвольное начало, потом ключевое слово Streaming, потом айпишник нарушителя .