Fail2banは引き続き禁止されていると言いますが、実際には禁止されていません。

Question 1

iptables設定に名前のあるフィルタチェーンがないようですf2b-sshd。

まずは簡単な紹介ですiptables。

iptablesLinux ファイアウォールサブシステムのコマンドと名前です。このコマンドは、RAMにファイアウォールルールを設定するために使用されます。ファイアウォールiptablesルールは最初にテーブルでソートされます。基本テーブルがありますが、さまざまな目的のために、およびテーブルもfilterあります。はトラフィックフィルタリングを実行するため、テーブルを使用します。natmanglerawsecurityfail2banfilter

その後、これらのテーブルはフィルタチェーンに分けられます。各テーブルには特定の標準チェーンがあります。filterテーブルの場合、標準チェーンは、INPUTおよびFORWARDですOUTPUT。FORWARDこのチェーンは、システムが他のシステムへのトラフィックをルーティングするように構成されている場合にのみ使用されます。このINPUTチェーンはシステムに着信トラフィックを処理します。

fail2banルールがチェーンに直接追加され、すべてのINPUT禁止が期限切れになった場合、チェーンが完全にクリアされた場合は、ファイアウォール入力ルールに対するすべての制御を渡す必要があります。fail2banカスタムファイアウォールルールを簡単に持つことはできません。またfail2ban効果は何ですか？これは明らかに望ましくないのでfail2ban実行されない。

代わりに、fail2ban完全に自己管理可能な独自のフィルタチェーンを作成し、起動時にチェーンに単一のルールを追加して、処理のためにチェーンを介してINPUT一致するトラフィックを送信します。fail2ban

たとえば、protectedとして設定した場合は、sshd起動時fail2banに次のコマンドを実行する必要があります。

iptables -N f2b-sshd
iptables -A f2b-sshd -j RETURN
iptables -I INPUT -p tcp -m multiport --dports <TCP ports configured for sshd protection> -j f2b-sshd

これらのコマンドはf2b-sshdフィルタチェーンを作成し、最後のルールに設定されますRETURN。したがって、fail2banルールが処理されると、INPUTルールの通常の処理は不完全なように続き、fail2ban最後にテーブルの先頭にルールを追加してINPUTキャプチャします。すべてのSSHトラフィックを処理し、まずf2b-sshdチェーンに送信します。

fail2banSSHのIPアドレスを禁止する必要がある場合は、f2b-sshdチェーンに新しいルールを挿入するだけです。

iptables またはファイアウォールルールを管理する他のシステムを使用するfirewalld場合、またはすべてのルールを手動でクリアすると、これらのiptables初期ルールとフィルタチェーン全体がf2b-sshd消去される可能性があります。使用するすべてのファイアウォール管理ツールがINPUTチェーンの初期ルールを維持し、このチェーンにf2b-sshd全く触れないようにする必要があります。

コードスニペットの最後にあるエラーメッセージは、fail2ban初期ルールがまだ存在していることを確認している（「不変性チェック」）が存在しないことが確認されたことを示しています。

Answer

iptables設定に名前のあるフィルタチェーンがないようですf2b-sshd。

まずは簡単な紹介ですiptables。

iptablesLinux ファイアウォールサブシステムのコマンドと名前です。このコマンドは、RAMにファイアウォールルールを設定するために使用されます。ファイアウォールiptablesルールは最初にテーブルでソートされます。基本テーブルがありますが、さまざまな目的のために、およびテーブルもfilterあります。はトラフィックフィルタリングを実行するため、テーブルを使用します。natmanglerawsecurityfail2banfilter

その後、これらのテーブルはフィルタチェーンに分けられます。各テーブルには特定の標準チェーンがあります。filterテーブルの場合、標準チェーンは、INPUTおよびFORWARDですOUTPUT。FORWARDこのチェーンは、システムが他のシステムへのトラフィックをルーティングするように構成されている場合にのみ使用されます。このINPUTチェーンはシステムに着信トラフィックを処理します。

fail2banルールがチェーンに直接追加され、すべてのINPUT禁止が期限切れになった場合、チェーンが完全にクリアされた場合は、ファイアウォール入力ルールに対するすべての制御を渡す必要があります。fail2banカスタムファイアウォールルールを簡単に持つことはできません。またfail2ban効果は何ですか？これは明らかに望ましくないのでfail2ban実行されない。

代わりに、fail2ban完全に自己管理可能な独自のフィルタチェーンを作成し、起動時にチェーンに単一のルールを追加して、処理のためにチェーンを介してINPUT一致するトラフィックを送信します。fail2ban

たとえば、protectedとして設定した場合は、sshd起動時fail2banに次のコマンドを実行する必要があります。

iptables -N f2b-sshd
iptables -A f2b-sshd -j RETURN
iptables -I INPUT -p tcp -m multiport --dports <TCP ports configured for sshd protection> -j f2b-sshd

これらのコマンドはf2b-sshdフィルタチェーンを作成し、最後のルールに設定されますRETURN。したがって、fail2banルールが処理されると、INPUTルールの通常の処理は不完全なように続き、fail2ban最後にテーブルの先頭にルールを追加してINPUTキャプチャします。すべてのSSHトラフィックを処理し、まずf2b-sshdチェーンに送信します。

fail2banSSHのIPアドレスを禁止する必要がある場合は、f2b-sshdチェーンに新しいルールを挿入するだけです。

iptables またはファイアウォールルールを管理する他のシステムを使用するfirewalld場合、またはすべてのルールを手動でクリアすると、これらのiptables初期ルールとフィルタチェーン全体がf2b-sshd消去される可能性があります。使用するすべてのファイアウォール管理ツールがINPUTチェーンの初期ルールを維持し、このチェーンにf2b-sshd全く触れないようにする必要があります。

コードスニペットの最後にあるエラーメッセージは、fail2ban初期ルールがまだ存在していることを確認している（「不変性チェック」）が存在しないことが確認されたことを示しています。

Question 2

問題は、ブロックは機能していますが、攻撃者が継続的な接続を使用しているため、ブロックがまだ接続されており、新しい接続がないため、ブロックがすぐに適用されないことです。これが起こる唯一の方法は、メールサーバーを再起動することです。

Answer

問題は、ブロックは機能していますが、攻撃者が継続的な接続を使用しているため、ブロックがまだ接続されており、新しい接続がないため、ブロックがすぐに適用されないことです。これが起こる唯一の方法は、メールサーバーを再起動することです。

Question 3

私はこの問題を処理する必要がありました。この問題は exim4 failure2ban チュートリアルに従うことに関連しています。 Jail.d/exim4.conf ファイルには、次の内容が含まれています。

[exim-spam]
port = smtp,ssmtp

exim4がポート25、464で実行されているため、実際に必要な場合そして587は次のとおりです。

[exim-spam]
port = smtp,ssmtp,587

それはすべてです。

デフォルトでは、すべてのフィルタが正しく設定され、すべてがうまく機能します。しかし、次のようになります。

攻撃はポート587で発生します。
構成ファイルは、Fail2banにポート25と465のみをブロックするように指示します。

もちろん攻撃は続くでしょう！したがって、使用しているプロトコル（この場合はsshd）に合わせて調整してください。

"netstat -an | more"、"iptables -L -n"、"lsof -i:587"は友達です。

Answer