Fail2ban exim

12
Angel OSHQ.cc
На сайте с 23.07.2007
Offline
224
1672

Здравствуйте,

Кто сталкивался с правилами fail2ban

2018-05-04 17:41:11 SMTP protocol error in "AUTH LOGIN" H=dynamic-acs-24-154-85-216.zoominternet.net (domain.com) [24.154.85.216] AUTH command used when not advertised

правило

^%(pid)s SMTP protocol error in "AUTH \S*(?: \S*)?" %(host_info)sAUTH command used when not advertised\s*$

^%(pid)s SMTP protocol error in "AUTH \S*(| \S*)" H=(|\S* )(|\(\S*\) )\[<HOST>\]\:\d+ I=\[\S*\]\:\d+ AUTH command used when not advertised\s*$

^%(pid)s SMTP protocol error in "AUTH \S*(| \S*)" H=(|\S* )(|\(\S*\) )\[<HOST>\](?:\:\d+)? (?:I=\[\S*\]\:\d+ )?AUTH command used when not advertised\s*$

не срабатывает

Fail2ban 0.9.7

Спасибо

Безлимитный хостинг (https://oshq.ru/unlimhost.html) в DE,NL,UA,RU от 0.5$. VPS в России (https://oshq.ru/ru_vps.html) от 350 рублей. Аренда серверов во Франции (https://oshq.ru/serverf.html) от 990 рублей (15 евро)
suffix
На сайте с 26.08.2010
Offline
259
#1

У меня тоже большая часть правил не срабатывает в fail2ban имеено с exim :(

Клуб любителей хрюш (https://www.babai.ru)
M
На сайте с 17.09.2016
Offline
87
#2

В Вашем логе нет "%(pid)s", поэтому регулярка не срабатывает

suffix
На сайте с 26.08.2010
Offline
259
#3
Mobiaaa:
В Вашем логе нет "%(pid)s", поэтому регулярка не срабатывает

В логе main.log должны быть с pid ?

Ни разу такого не видел

M
На сайте с 17.09.2016
Offline
87
#4

suffix, Если добавить в selector_log pid, то будет писаться

suffix
На сайте с 26.08.2010
Offline
259
#5
Mobiaaa:
suffix, Если добавить в selector_log pid, то будет писаться

Как правильно поступить?

В селектор_лог pid добавить или из регулярки exim.conf fail2ban/filter.d убрать pid ?

Если первое то если возможно напишите пожалуйста как именно ?

M
На сайте с 17.09.2016
Offline
87
#6

Извиняюсь за дезу

фомат регулярки pid прописан в exim-common

(?: \[\d+\])?

Что подразумевает наличие или отсутствие благодаря "?"

Попробуйте проверить регулярку regex'ом

# fail2ban-regex '2018-05-04 17:41:11 SMTP protocol error in "AUTH LOGIN" H=dynamic-acs-24-154-85-216.zoominternet.net (domain.com) [24.154.85.216] AUTH command used when not advertised' /etc/fail2ban/filter.d/exim.conf --print-all-matched

У меня лично "съело" без проблем

|- Matched line(s):

| 2018-05-04 17:41:11 SMTP protocol error in "AUTH LOGIN" H=dynamic-acs-24-154-85-216.zoominternet.net (domain.com) [24.154.85.216] AUTH command used when not advertised

suffix
На сайте с 26.08.2010
Offline
259
#7

У меня другое несколько - reject по блеклистам видятся при проверке regex но нет в логах fail2ban и не банятся соответственно.

---------- Добавлено 17.11.2018 в 00:15 ----------

А фильтр exim-common тоже подключать надо ?

M
На сайте с 17.09.2016
Offline
87
#8

suffix, не обязательно

В exim-common описаны "заготовки"

почему не видит fail2ban, но видит regex

Возможно банально где-то ошиблись, не ту регулярку включили, не включили секцию нужную в jail.conf

По дефолту ещё указаны количество совпадений retry за время findtime, если это не выполняется, то и бана не будет

suffix
На сайте с 26.08.2010
Offline
259
#9

Да все filter.d по дефолту. Jail.local подключены что надо. Но вот 535 видит а reject не то что не банит даже find нет :(

M
На сайте с 17.09.2016
Offline
87
#10

в логах может есть ответ ?

debug режим

на регулярке например падает

12

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий