fail2ban không sử dụng loại khối DROP

Sử dụng Ubuntu 20.04 LTS, tôi có cái này trong /etc/fail2ban/jail.local:

[MẶC ĐỊNH]
bantime = 3600
lệnh cấm = iptables
blocktype = drop


[sshd]
đã bật = đúng
giao thức = tcp
cổng = ssh
bộ lọc = sshd
logpath = /var/log/auth.log
thử lại tối đa = 3

Nhưng đây là những gì tôi thấy khi tôi liệt kê các quy tắc iptables:

â°â# iptables -L f2b-sshd -n -v
Chuỗi f2b-sshd (1 tài liệu tham khảo)
 pkts byte đích prot chọn không tham gia đích nguồn
   13 1356 TỪ CHỐI tất cả -- * * 222.187.232.205 0.0.0.0/0 từ chối với icmp-port-không thể truy cập
   18 1516 TỪ CHỐI tất cả -- * * 221.181.185.153 0.0.0.0/0 từ chối với icmp-port-không thể truy cập
   17 1064 TỪ CHỐI tất cả -- * * 222.186.180.130 0.0.0.0/0 777 55854 TRẢ LẠI tất cả -- * * 0.0.0.0/0 0.0.0.0/0

Vấn đề là nó sử dụng REJECT (với ICMP) thay vì DROP.

action.d/iptables.conf chứa nội dung này:

# Tùy chọn: cấm hành động
# Notes.: lệnh thực hiện khi cấm một IP. Hãy chăm sóc rằng
# lệnh được thực thi với quyền người dùng Fail2Ban.
# Thẻ: Xem trang man.conf(5)
# Giá trị: CMD
#
actionban = <iptables> -I f2b-<tên> 1 -s <ip> -j <blocktype>

Đây là tệp hành động iptables mặc định, được vận chuyển cùng với gói apt fail2ban chính thức cho phiên bản HĐH này.

Cũng đã thử thêm "blocktype=drop" vào bên dưới [sshd] nhưng không có tác dụng.

Tôi không chắc cách gỡ lỗi này, vì dịch vụ fail2ban không ghi lại các lệnh iptables thực tế.

Tôi đang thiếu gì?

Tôi đã chấp nhận giải pháp @sebres nhưng tôi muốn thêm một số lỗi.

Đối với lệnh cấm iptables-allports, loại khối từ chối có thể có khoảng trắng bên trong. Bạn cần trích dẫn điều đó.

Ví dụ:

[sshd]
banaction=iptables_allports[blocktype="REJECT --reject-with icmp-port-unreachable"]

Điều thú vị thứ hai: cả lệnh cấm và cấu hình tù đều có một tham số gọi là "giao thức". Lần đầu tiên tôi bối rối khi cấu hình bên dưới không đưa ra bất kỳ lỗi nào, nhưng nó không chặn các yêu cầu UDP:

[tên-ddos]
banaction=iptables_allports[blocktype=DROP,protocol=all]

Nó xảy ra bởi vì tôi đã bỏ lỡ giao thức = tất cả cài đặt từ nhà tù. Bạn cần chỉ định giao thức = tất cả ở cấp độ tù:

[tên-ddos]
banaction=iptables_allports[blocktype=DROP,protocol=all]
giao thức = tất cả

Lý do cho điều này là phần được đặt tên-ddos tạo ra một chuỗi mới trong iptables và các ip bị cấm đang tạo ra các quy tắc bên trong chuỗi đó. Nếu bạn không chỉ định giao thức = tất cả ở cấp độ tù, thì chuỗi sẽ được xác định như sau:

Chuỗi INPUT (chính sách DROP 22 gói, 952 byte)
 pkts byte đích prot chọn không tham gia đích nguồn         
 1371 229K tên-ddos tcp -- * * 0.0.0.0/0 0.0.0.0/0           

Đúng là lệnh cấm sẽ tạo ra các quy tắc với proto=all bên trong chuỗi, nhưng bản thân chuỗi sẽ không được sử dụng cho các gói không phải tcp. Kết luận là bạn cần chỉ định giao thức = tất cả ở cả cấp độ tù và lệnh cấm (nếu nó hỗ trợ), nếu không nó sẽ không hoạt động.