Tengo un fail2ban configurado como a continuación:

• bloquear la ip después de 3 intentos fallidos
• liberar la IP después de 300 segundos de tiempo de espera

Esto funciona perfectamente y quiero mantenerlo así para que un usuario válido tenga la oportunidad de volver a intentar el inicio de sesión después del tiempo de espera. Ahora, quiero implementar una regla en la que si se detecta la misma IP como ataque y se bloquea, se desbloquea 5 veces, se bloquea permanentemente la IP y nunca se vuelve a desbloquear. ¿Se puede lograr esto solo con fail2ban o necesito escribir mi propio script para hacerlo?

Estoy haciendo esto en centos.

Antes de 0.11, no había una función predeterminada o una configuración dentro de fail2ban para lograr esto. Pero a partir de la próxima versión 0.11, el tiempo de prohibición se calcula automáticamente y aumenta exponencialmente con cada nuevo delito que, a largo plazo, significará un bloqueo más o menos permanente.

Hasta entonces, su mejor enfoque probablemente sea configurar fail2ban para monitorear su propio archivo de registro . Es un proceso de dos pasos ...

Paso 1

Podríamos necesitar crear un filtro para verificar si hay BAN en el archivo de registro (archivo de registro de fail2ban)

Paso 2

Necesitamos definir la cárcel , similar a lo siguiente ...

[fail2ban]
habilitado = verdadero
filtro = fail2ban
acción = iptables-allports [nombre = fail2ban]
logpath = /path/to/fail2ban.log
# findtime: 1 día
findtime = 86400
# bantime: 1 año
bantime = 31536000

Técnicamente, no es un bloqueo permanente , sino solo bloques por un año (que también podemos aumentar).

De todos modos, para su pregunta (¿Se puede lograr esto solo con fail2ban o necesito escribir mi propio script para hacer eso?) ... escribir el propio script podría funcionar bien. Lo que recomendaría es configurar el script para extraer las IP prohibidas con frecuencia y luego ponerlas en ellas /etc/hosts.deny.

Creo que si pones bantime = -1en esa sección de configuración, es un bloque permanente.

Phil Hagen escribió un excelente artículo sobre este tema. " Prohibir permanentemente a los delincuentes reincidentes con fail2ban ".

Su sugerencia es la misma que Pothi, pero proporciona una guía paso a paso.

Esto incluyó:

• lista de prohibición separada por cárcel (ip.blocklist.ssh, ip.blocklist.xxx)
• listas de prohibición cargadas automáticamente si se reinicia el servicio (ventaja principal de este método en mi humilde opinión)
• notificación por correo electrónico si el repetidor está activado.

Para ampliar la respuesta de Chin esto es bastante simple. Simplemente edite las 2 configuraciones /etc/fail2ban/jail.localpara que coincidan con sus preferencias.

 # ban time in seconds. Use -1 for forever. Example is 1 week.
 bantime  = 604800
 # number of failures before banning
 maxretry = 5

fail2ban ya tiene una cárcel para prohibir la reincidencia. Si observas /etc/fail2ban/jail.conf, encontrarás:

# Jail for more extended banning of persistent abusers
# !!! WARNING !!!
#   Make sure that your loglevel specified in fail2ban.conf/.local
#   is not at DEBUG level -- which might then cause fail2ban to fall into
#   an infinite loop constantly feeding itself with non-informative lines
[recidive]

enabled  = false
filter   = recidive
logpath  = /var/log/fail2ban.log
action   = iptables-allports[name=recidive]
           sendmail-whois-lines[name=recidive, logpath=/var/log/fail2ban.log]
bantime  = 604800  ; 1 week
findtime = 86400   ; 1 day
maxretry = 5

¿Cómo agregar en jail.local?

[recidive]
enabled  = true
bantime  = 31536000  ; 1 year
findtime = 18144000  ; 1 month
maxretry = 2

Para la comprobación del nivel de registro que se puede hacer: fail2ban-client get loglevel.

• establecer loglevel MYLEVEL : establece el nivel de registro en MYLEVEL. Niveles: CRÍTICO, ERROR, ADVERTENCIA, AVISO, INFORMACIÓN, DEPURACIÓN
• Más comandos en la wiki .

Con la versión anterior de fail2ban, puede obtener este error .

Vaya a vim, abra /etc/fail2ban/jail.conf

y simplemente modificar después de fail2ban service restart:

# "bantime" is the number of seconds that a host is banned.
bantime  = ***1296000***

# A host is banned if it has generated "maxretry" during the last "findtime"
# seconds.
findtime  = ***60000***

# "maxretry" is the number of failures before a host get banned.
maxretry = ***3***