Passwort-Geschütztes Verzeichnis & Fail2Ban --> keine Funktion

maban · 28. Januar 2016

Hallo !

Ich beschäftige mich aktuell mit " Fail2Ban ", setze ich Plesk ein, so wird die
IP direkt nach X Fehleingaben gesperrt !

Mittels LC & einer manuellen Fail2Ban Installation klappt es "irgendwie" nur
mit dem " SSH Jail " !
Laut LOG werden dort IPs geBANNED und unBANNED ...
... nur bei den passwortgeschützten Verzeichnissen klappt es nicht !
( die ich mittels LC angelegt habe ... )

Hier ein Auszug meiner "jail.conf" :

Code

#
# HTTP servers
#


[apache]


enabled  = true
port     = http,https
filter   = apache-auth
logpath  = /var/log/apache*/*error.log
# HTTP servers
#


[apache]


enabled  = true
port     = http,https
filter   = apache-auth
logpath  = /var/log/apache*/*error.log
maxretry = 3


# default action is now multiport, so apache-multiport jail was left
# for compatibility with previous (<0.7.6-2) releases
[apache-multiport]


enabled   = true
port      = http,https
filter    = apache-auth
logpath   = /var/log/apache*/*error.log
maxretry  = 3


[apache-noscript]


enabled  = true
port     = http,https
filter   = apache-noscript
logpath  = /var/log/apache*/*error.log
maxretry = 3


[apache-overflows]


enabled  = true
port     = http,https
filter   = apache-overflows
logpath  = /var/log/apache*/*error.log
maxretry = 2

Alles anzeigen

Hier mein Fail2Ban Status :

Code

Status
|- Number of jail:      5
`- Jail list:           apache, apache-overflows, apache-noscript, ssh, apache-multiport

Wie immer bin ich für Eure Tips dankbar ... :o

Gruß, Martin

mandal · 29. Januar 2016

Hey, du musst nicht nur das global Log durchsuchen sondern auch jedes andere Log von den einzelnen Webs, ansonsten kommt Fail2Ban die Loginversuche nicht mit!

also musst du die einzelnen Webs auch hinzufügen:
logpath = /var/log/apache*/*error.log
logpath = /var/www/*/log/error.log

maban · 31. Januar 2016

Danke für die Rückmeldung !

Obwohl ich jetzt den Eintrag um eine weitere "logpath" Zeile ergänzt habe,
konnte keine Änderung bemerken !

Werde mich daher also noch weiter mit dem Thema beschäftigen ... :o

Gruß, Martin

WebService4U · 9. Februar 2016

Hallo,

ich rate dringend davon ab, alle Kundenlogs in f2b durchsuchen zu lassen, das führt bei vielen webs nur dazu, dass f2b seinen Dienst einstellen und nicht mehr starten wird.

Wir arbeiten mittlerweile mit einer großen zusätzlichen Logdatei für f2b. Das lässt sich bestimmt ausbauen.

Hier mal kurz ein Beispiel.

/etc/apache2/conf.d/other-vhosts-access-log
# Define an access log for VirtualHosts that don't define their own logfile
CustomLog ${APACHE_LOG_DIR}/other_vhosts_access.log vhost_combined
CustomLog ${APACHE_LOG_DIR}/fail2ban_access.log combined

/etc/fail2ban/jail.local
...
[ssh]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 10
...
[apache-wplogin]
enabled = true
filter = apache-wplogin
action = iptables-multiport[name=apache-wplogin, port='http,https', protocol=tcp]
port = http,https
logpath = /var/log/apache2/fail2ban_access.log
maxretry = 30
findtime = 180
bantime = 86400

/etc/fail2ban/filter.d/apache-wplogin.conf
[Definition]
failregex = <HOST>.*] "POST \/wp-login.php
<HOST>.*] "POST \/xmlrpc.php
ignoreregex =

Das funktioniert bei uns ganz gut. Natürlich nicht so schön, dass man quasi 2 große access-logs laufen hat.

Febas · 10. Februar 2016

Wir haben für die xmlrpc.php Attacken auch fail2ban im Einsatz. Lassen allerdings alle Kundenlogs durchsuchen:

logpath = /var/www/*/logs/access.log

Bisher kein Problem damit. Man sollte am besten alle Logs vor dem Start von f2b leeren, sonst läuft der Prozess mit 100% ..

Zitat

also musst du die einzelnen Webs auch hinzufügen:
logpath = /var/log/apache*/*error.log
logpath = /var/www/*/log/error.log

...

Obwohl ich jetzt den Eintrag um eine weitere "logpath" Zeile ergänzt habe,
konnte keine Änderung bemerken !

Alles anzeigen

Kein Wunder.. Es muss auch "logs" heißen und nicht "log" :p

mandal · 10. Februar 2016

Wir haben auch keine Probleme mit den Kundenlogs Fail2Ban arbeitet das ohne Probleme ab...

Passwort-Geschütztes Verzeichnis & Fail2Ban --> keine Funktion

Jetzt mitmachen!

Benutzer online in diesem Thema