URL: https://linuxfr.org/users/err404/journaux/fail2ban-ajustement-des-valeurs-par-defaut Title: Fail2ban, ajustement des valeurs par defaut Authors: err404 Date: 2025年06月21日T11:16:07+02:00 License: CC By-SA Tags: fail2ban, auto-hébergement, yunohost, autopromotion et sécurité Score: 12 Bonjour tout le monde. J'ai peu d'expérience avec fail2ban, mais j'ai pu observer que certaines valeurs ou réglages par défaut me semblaient assez laxistes ou inefficaces. Par exemple j'ai pu constater sur mes serveurs web perso de nombreuses tentatives d'extraction de données confidentielles vers des fichiers qui n'existent pas sur mes machines, ce qui renvoi suivant les cas des erreur 404 ou des erreur 302. je peux comprendre qu'on ne va pas bannir sur ce genre d'erreur, mais quand ça se répète c'est vraisemblablement une attaque (ou un robot indexeur mal conçu). Je me suis déjà retrouvé avec 5Go de logs en quelques jours parce que des robots indexeurs avaient abusés de mon serveur et que je n'avais pas encore filtré sur les répétitions d'erreur. actuellement j'utilise le paquet fail2ban de Yunohost, donc j'ai une redirection 302 sur les nombreuses tentatives. mais sur mon reverse proxy SNI c'est un fail2ban de Debian. voici mes fichiers: les prisons ----------- **extrait** de /etc/fail2ban/jail.local (qui est une copie de /etc/fail2ban/jail.conf): ``` [nginx-3xx] enabled = true port = http,https logpath = /var/log/nginx/access.log backend = polling bantime = 180000 [nginx-4xx] enabled = true port = http,https logpath = /var/log/nginx/access.log backend = polling bantime = 180000 [nginx-400] enabled = true port = http,https logpath = /var/log/nginx/access.log backend = polling bantime = 180000 maxretry = 0 ``` les filtres ----------- fichier **complet** pour /etc/fail2ban/filter.d/nginx-3xx.conf ``` [Definition] failregex = ^.*"(GET|POST|HEAD).*" (301|302) .*$ ignoreregex = ``` fichier **complet** pour /etc/fail2ban/filter.d/nginx-4xx.conf ``` [Definition] failregex = ^.*"(GET|POST|HEAD).*" (404|444|403|405) .*$ ignoreregex = ``` fichier **complet** pour /etc/fail2ban/filter.d/nginx-400.conf ``` [Definition] failregex = ^.*".*" (400) .*$ ignoreregex = ``` Ce journal est une copie de https://err404.numericore.com/wiki/Divers/fail2ban/ (d'ou le tag autopromotion), mais linuxfr est un moyen d'avoir un retour que je ne peux pas avoir sur mon site web qui n'est pas ouvert aux commentaires. Résultat: --------- je peux facilement voir ce qui est banni avec la commande: ```bash watch "fail2ban-client status nginx-3xx | grep Banned && fail2ban-client status nginx-400 | grep Banned && fail2ban-client status nginx-4xx | grep Banned && fail2ban-client status recidive | grep Banned" ``` sur mon réverse proxy sni (qui va attraper les requêtes en ipv4 seulement):>- Banned IP list: - Banned IP list: 167.94.146.50 206.168.34.37 80.82.77.202 92.255.57.58 93.174.93.12 185.242.226.99 79.124.58.198 45.131.155.254 190.60.4.138 193.46.255.235 162.142.125.33 205.210.31.52 165.232.57.178 199.45.155.93 185.194.204.246 16.176.192.135 206.168.34.91 45.140.17.107 117.48.157.75 162.142.125.218 206.168.34.40 178.79.129.239 167.94.138.205 3.132.23.201 173.212.223.233 167.94.138.186 167.94.138.51 199.45.154.148 162.142.125.221 199.45.154.138 167.94.138.179 46.186.234.127 83.222.191.94 206.168.34.45 162.142.125.201 167.71.10.54 167.94.138.125 206.168.34.127 185.91.69.5 129.146.4.238 109.199.96.191 204.76.203.220 20.127.200.74 188.243.188.142 45.43.33.218 167.94.145.100 205.210.31.96 3.131.215.38 78.153.140.151 3.130.96.91 185.189.182.234 78.153.140.177 - Banned IP list: 175.206.113.91 95.167.133.150 51.159.102.237 165.232.57.178 194.50.16.252 82.102.18.116 167.71.10.54 148.153.45.235 85.204.70.98 - Banned IP list: 164.90.193.142 172.105.246.139 213.55.247.234 35.216.163.43 45.148.10.34 45.148.10.35 68.183.14.33 80.82.77.202 93.174.93.12 165.232.57.178 167.71.10.54 78.153.140.151 78.153.140.177 sur mon serveur web (qui va attraper les requêtes en ipv4 et ipv6):>- Banned IP list: 192.168.1.1 - Banned IP list: 2a03:b0c0:2:d0::1713:9001 - Banned IP list: - Banned IP list: on peut constater que c'est bien plus paisible en ipv6 (j'ai bien plus de requêtes légitimes en ipv6 qu'en ipv4, les bots par contre c'est surtout de l'ip4) on observe que l'ip de mon routeur (192.168.1.1) est bannie, je ne sais pas comment ni pourquoi ça arrive directement sans passer par le reverse proxy sni en ipv4. Quelle est votre expérience avec Fail2ban?