[gelöst] fail2ban: Jail für proftpd blockiert nichts

[GwenDragon]

Ich benutze den Jail für proftpd aber fail2ban blockiert nixhts.
Alle anderen Filter klappen.

jail.local:

[DEFAULT]
ignoreip = 127.0.0.1/8 ::1 2.28....... 2a01:.......::1
destemail = [email protected]
bantime = 600
maxretry = 3
findtime = 600
backend = pyinotify
#
bantime.increment    = true
bantime.rndtime      = 30m
bantime.maxtime      = 60d
bantime.factor       = 2
bantime.formula      = ban.Time * math.exp(float(ban.Count+1)*banFactor)/math.exp(1*banFactor)
bantime.overalljails = true

[proftpd]
enabled = true
maxretry = 3
logpath  = /var/log/proftpd/proftpd.log

fail2regex findet auch welche wie Failregex: 6 total zeigt:

# fail2ban-regex /var/log/proftpd/proftpd.log proftpd

Running tests
=============

Use             jail : proftpd
Use      datepattern : {^LN-BEG} : Default Detectors
Use         log file : /var/log/proftpd/proftpd.log
Use         encoding : UTF-8


Results
=======

Prefregex: 6 total
|  ^(?:\[\])?\s*(?:<[^.]+\.[^.]+>\s+)?(?:\S+\s+)?(?:kernel:\s?\[ *\d+\.\d+\]:?\s+)?(?:@vserver_\S+\s+)?(?:(?:(?:\[\d+\])?:\s+[\[\(]?proftpd(?:\(\S+\))?[\]\)]?:?|[\[\(]?proftpd(?:\(\S+\))?[\]\)]?:?(?:\[\d+\])?:?)\s+)?(?:\[ID \d+ \S+\]\s+)?\S+ \(\S+\[(?:\[?(?:(?:::f{4,6}:)?(?P<ip4>(?:\d{1,3}\.){3}\d{1,3})|(?P<ip6>(?:[0-9a-fA-F]{1,4}::?|:){1,7}(?:[0-9a-fA-F]{1,4}|(?<=:):)))\]?|(?P<dns>[\w\-.^_]*\w))\]\)[: -]+ (?P<content>(?:USER|SECURITY|Maximum) .+)$
`-

Failregex: 6 total
|-  #) [# of hits] regular expression
|   1) [6] ^USER <F-USER>\S+|.*?</F-USER>(?: \(Login failed\))?: ([uU]ser not authorized for login|[nN]o such user found|[iI]ncorrect password|[pP]assword expired|[aA]ccount disabled|[iI]nvalid shell: '\S+'|[uU]ser in \S+|[lL]imit (access|configuration) denies login|[nN]ot a UserAlias|[mM]aximum login length exceeded)
`-

Ignoreregex: 0 total

Date template hits:
|- [# of hits] date format
|  [6] {^LN-BEG}ExYear(?P<_sep>[-/.])Month(?P=_sep)Day(?:T|  ?)24hour:Minute:Second(?:[.,]Microseconds)?(?:\s*Zone offset)?
`-

Lines: 6 lines, 0 ignored, 6 matched, 0 missed
[processed in 0.00 sec]

Status des Jails:

fail2ban-client status proftpd
Status for the jail: proftpd
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- Journal matches:  _SYSTEMD_UNIT=proftpd.service
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

 

[nexus]

| `- Journal matches: _SYSTEMD_UNIT=proftpd.service

Es wird das Journal durchsucht und nicht das unter logfile angebene File.

Versuche es mal so:

[proftpd]
enabled = true
filter = proftpd
backend = polling
journalmatch =
logpath = /var/log/proftpd/proftpd.log
maxretry = 3
findtime = 600
bantime = 600

 

[GwenDragon]

Ein grep auf "Jail 'dovecot' uses systemd" brachte bei fail2ban.log den Jail proftpd.

Trotz Eintrag [DEFAULT] wird das backend ignoriert. Ich dachte, das überschriebt global, sonst hätte ich das nicht so gesetzt.


Explizites setzen von pyinotify für [proftpd] im jail.local löste das.