Tôi đã thiết lập fail2ban để chặn các lần thử ssh không thành công. Tôi đã kiểm tra quy tắc bằng fail2ban-regex và trích xuất từ nhật ký của mình, quy tắc này hoạt động tốt.
Tôi cũng đã kiểm tra nhật ký để biết thông báo "Cấm" và IP được đề cập và nó ở đó:
zgrep 'Cấm.*202.29.214.13' /var/log/fail2ban.log*
/var/log/fail2ban.log:2021-08-23 01:27:19,023 fail2ban.actions [1460]: THÔNG BÁO [sshd] Cấm 202.29.214.13
Tuy nhiên, nhật ký ssh/auth của tôi vẫn hiển thị các lần thử từ IP đó sau đó dấu thời gian trong câu hỏi:
Ngày 23 tháng 8 01:27:23 myhost123 sshd[4526]: thông báo lặp lại 2 lần: [Không thể nhập mật khẩu cho root từ 202.29.214.13 cổng 47633 ssh2]
Ngày 23 tháng 8 01:27:23 myhost123 sshd[4526]: lỗi: vượt quá số lần xác thực tối đa cho quyền root từ 202.29.214.13 cổng 47633 ssh2 [preauth]
Ngày 23 tháng 8 01:27:23 myhost123 sshd[4526]: Ngắt kết nối xác thực người dùng root 202.29.214.13 cổng 47633: Quá nhiều lỗi xác thực [preauth]
Ngày 23 tháng 8 01:27:31 myhost123 sshd[4533]: thông báo lặp lại 2 lần: [Không thể nhập mật khẩu cho root từ 202.29.214.13 cổng 50424 ssh2]
Ngày 23 tháng 8 01:27:31 myhost123 sshd[4533]: lỗi: vượt quá số lần xác thực tối đa cho quyền root từ 202.29.214.13 cổng 50424 ssh2 [preauth]
Ngày 23 tháng 8 01:27:31 myhost123 sshd[4533]: Ngắt kết nối xác thực người dùng root 202.29.214.13 cổng 50424: Quá nhiều lỗi xác thực [preauth]
Ngày 23 tháng 8 01:27:39 myhost123 sshd[4535]: lỗi: vượt quá số lần xác thực tối đa cho quyền root từ 202.29.214.13 cổng 53056 ssh2 [preauth]
Ngày 23 tháng 8 01:27:39 myhost123 sshd[4535]: Ngắt kết nối xác thực người dùng root 202.29.214.13 cổng 53056: Quá nhiều lỗi xác thực [preauth]
Ngày 23 tháng 8 01:27:48 myhost123 sshd[4542]: lỗi: vượt quá số lần xác thực tối đa cho quyền root từ 202.29.214.13 cổng 55901 ssh2 [preauth]
Ngày 23 tháng 8 01:27:48 myhost123 sshd[4542]: Ngắt kết nối xác thực người dùng root 202.29.214.13 cổng 55901: Quá nhiều lỗi xác thực [preauth]
Ngày 23 tháng 8 01:27:55 myhost123 sshd[4551]: lỗi: vượt quá số lần xác thực tối đa cho quyền root từ 202.29.214.13 cổng 58908 ssh2 [preauth]
Ngày 23 tháng 8 01:27:55 myhost123 sshd[4551]: Ngắt kết nối xác thực người dùng root 202.29.214.13 cổng 58908: Quá nhiều lỗi xác thực [preauth]
Ngày 23 tháng 8 01:28:03 myhost123 sshd[4565]: lỗi: vượt quá số lần xác thực tối đa cho quyền root từ 202.29.214.13 cổng 61129 ssh2 [preauth]
Ngày 23 tháng 8 01:28:03 myhost123 sshd[4565]: Ngắt kết nối xác thực người dùng root 202.29.214.13 cổng 61129: Quá nhiều lỗi xác thực [preauth]
Ngày 23 tháng 8 01:28:23 myhost123 sshd[4577]: lỗi: vượt quá số lần xác thực tối đa đối với quản trị viên người dùng không hợp lệ từ 202.29.214.13 cổng 3511 ssh2 [preauth]
Ngày 23 tháng 8 01:29:24 myhost123 sshd[4613]: lỗi: vượt quá số lần xác thực tối đa đối với tiên tri người dùng không hợp lệ từ 202.29.214.13 cổng 24149 ssh2 [preauth]
Ngày 23 tháng 8 01:30:07 myhost123 sshd[4641]: lỗi: vượt quá số lần xác thực tối đa cho người dùng không hợp lệ usuario từ 202.29.214.13 cổng 37311 ssh2 [preauth]
Ngày 23 tháng 8 01:30:15 myhost123 sshd[4647]: lỗi: vượt quá số lần xác thực tối đa cho người dùng không hợp lệ usuario từ 202.29.214.13 cổng 39486 ssh2 [preauth]
Ngày 23 tháng 8 01:30:58 myhost123 sshd[4684]: lỗi: vượt quá số lần xác thực tối đa đối với thử nghiệm người dùng không hợp lệ từ 202.29.214.13 cổng 52882 ssh2 [preauth]
Ngày 23 tháng 8 01:31:33 myhost123 sshd[4699]: lỗi: vượt quá số lần xác thực tối đa đối với người dùng không hợp lệ từ 202.29.214.13 cổng 64849 ssh2 [preauth]
fail2ban có nên chặn hoàn toàn tất cả các yêu cầu từ IP đó không? Bất kỳ gợi ý về những gì để kiểm tra đánh giá cao.
