J'ai eu des problèmes de bot, non pas pour de la sécurité, mais des crawlers mal fichus qui ignorent le robots.txt et saturent ma connexion internet et mes logs avec beaucoup de requêtes.
J'ai mis en place un ban au niveau du serveur web (qui retourne une erreur HTTP spécifique pour les plages d'IP bannies) et fail2ban entre en jeu si le bot continue d'insister. Comme il y a peu de risque de faux positifs, la règle fail2ban peut être très peu tolérante (ban au bout de 2 détections pour une très longue durée).
Le résultat est que le traffic sur le serveur est fortement réduit et que je peux analyser les logs (avec awstats par exemple) pour voir de vraies choses (pics de traffic quand un lien a été beaucoup partagé, liste d'erreurs 404 qui méritent que je vérifie des choses, ...).
Du côté du ssh, j'avais des gens essayant de bruteforcer des mots de passes depuis longtemps, fail2ban a l'air d'avoir pas mal calmé les choses, les bots dans ce cas semblent peu insistants et ne reviennent pas quand ils sont bannis.
Je peux surveiller la liste des bans fail2ban de temps en temps et décider si je peux retirer une plage d'IP bloquée de la config de mon serveur web de temps en temps, une fois que les bots ne l'utilisent plus.
[^] # Re: Fail2ban ne remplace pas une bonne sécurité
Posté par pulkomandy (site web personnel, Mastodon) . En réponse au journal Fail2ban, ajustement des valeurs par defaut. Évalué à 7.
J'ai eu des problèmes de bot, non pas pour de la sécurité, mais des crawlers mal fichus qui ignorent le robots.txt et saturent ma connexion internet et mes logs avec beaucoup de requêtes.
J'ai mis en place un ban au niveau du serveur web (qui retourne une erreur HTTP spécifique pour les plages d'IP bannies) et fail2ban entre en jeu si le bot continue d'insister. Comme il y a peu de risque de faux positifs, la règle fail2ban peut être très peu tolérante (ban au bout de 2 détections pour une très longue durée).
Le résultat est que le traffic sur le serveur est fortement réduit et que je peux analyser les logs (avec awstats par exemple) pour voir de vraies choses (pics de traffic quand un lien a été beaucoup partagé, liste d'erreurs 404 qui méritent que je vérifie des choses, ...).
Du côté du ssh, j'avais des gens essayant de bruteforcer des mots de passes depuis longtemps, fail2ban a l'air d'avoir pas mal calmé les choses, les bots dans ce cas semblent peu insistants et ne reviennent pas quand ils sont bannis.
Je peux surveiller la liste des bans fail2ban de temps en temps et décider si je peux retirer une plage d'IP bloquée de la config de mon serveur web de temps en temps, une fois que les bots ne l'utilisent plus.