Не блокирует пользователя. Fail2Ban. Как исправить?

Question

[Игорь]

Добрый день. Суть заключается в :
Есть почтовый сервер FreeBSD, почти каждые 3 секунды стучится айпишник.
/var/log/exim/mainlog

dovecot_login authenticator failed for ([xx.xx.xxx.xx]) [xx.xx.xxx.xx] I=[xxx.xxx.xx.xxx]:25: 535 Incorrect authentication data

Не отрабатывает dovecot: /etc/fail2ban/filter.d/dovecot.conf

_auth_worker = (?:dovecot: )?auth(?:-worker)?
_daemon = (?:dovecot(?:-auth)?|auth)

#prefregex = ^%(__prefix_line)s(?:%(_auth_worker)s(?:\([^\)]+\))?: )?(?:%(__pam_auth)s(?:\(dovecot:auth\))?: |(?:pop3|imap)-login: )?(?:Info: )?<F-CONTENT>.+</F-CONTENT>$

failregex = ^authentication failure; logname=\S* uid=\S* euid=\S* tty=dovecot ruser=\S* rhost=<HOST>(?:\s+user=\S*)?\s*$
^(?:Aborted login|Disconnected)(?::(?: [^ \(]+)+)? \((?:auth failed, \d+ attempts(?: in \d+ secs)?|tried to use (?:disabled|disallowed) \S+ auth)\):(?: user=<[^>]*>,)?(?: method=\S+,)?
^pam\(\S+,<HOST>(?:,\S*)?\): pam_authenticate\(\) failed: (?:User not known to the underlying authentication module: \d+ Time\(s\)|Authentication failure \(password mismatch\?\)|Permiss
^[a-z\-]{3,15}\(\S*,<HOST>(?:,\S*)?\): (?:unknown user|invalid credentials)\s*$    <mdre-<mode>>

Возможно проблема в iptables. Подскажите знающие. Заранее благодарен.

Comments

[Игорь]

poisons, только что поменял на:

\[<HOST>\]: 535 Incorrect authentication data
^%(pid)s %(host_info)ssender verify fail for <\S+>: (?:Unknown user|Unrouteable address|all relevant MX records point to non-existent hosts)\s*$
^%(pid)s \w+ authenticator failed for (\S+ )?\(\S+\) \[<HOST>\](?::\d+)?(?: I=\[\S+\](:\d+)?)?: 535 Incorrect authentication data( \(set_id=.*\)|: $
^%(pid)s %(host_info)srejected RCPT [^@]+@\S+: (?:relay not permitted|Sender verify failed|Unknown user)\s*$
^%(pid)s SMTP protocol synchronization error \([^)]*\): rejected (?:connection from|"\S+") %(host_info)s(?:next )?input=".*"\s*$
^%(pid)s SMTP call from \S+ %(host_info)sdropped: too many nonmail commands \(last was "\S+"\)\s*$
^%(pid)s SMTP protocol error in "AUTH \S*(?: \S*)?" %(host_info)sAUTH command used when not advertised\s*$
^%(pid)s no MAIL in SMTP connection from (?:\S* )?(?:\(\S*\) )?%(host_info)sD=\d+s(?: C=\S*)?\s*$
^%(pid)s ([\w\-]+ )?SMTP connection from (?:\S* )?(?:\(\S*\) )?%(host_info)sclosed by DROP in ACL\s*$

Абсолютно ничего не изменилось.

[arto]

проверьте через fail2ban-regex

[malkolm]

Глеб, в новом regexp есть <HOST>, но нет порта. Попробовать добавить порт?

\[<HOST>\]:25: 535 Incorrect authentication data

Answer 1

[Вит]

У вас точно freebsd?
Вы упоминаете iptables, который есть только в Linux, да и файлы конфигурации fail2ban у вас лежат в месте, типичном для linux'a, а не free

Comments

[Игорь]

вопрос был решен мной.
Вы правильно подметили то что нет iptables, там ipfw.
Вообщем как было решено, я просто переписал каждый конфиг и создал новое правило для файрвола, вроде успешно, полёт нормальный. Спасибо.