Fail2ban 1.0.2-2 Debian 12: Funktionieren die apache-*-Jails/Filter bei euch?

[GwenDragon]

Ich versuche z.B. das mitgelieferte Jail apache-auth zu benutzen, aber anscheinend greift der aktvierte Filter bei der Apache error.log nicht.

Jail ist bei mir:

[apache-auth]
enabled  = true
port     = http,https
#logpath  = %(apache_error_log)s
logpath  = /var/www/vhosts/system/*/logs/*error*log
           /var/log/apache2/*error*log

fail2ban-client status apache-auth zeigt:

Status for the jail: apache-auth
|- Filter
|  |- Currently failed: 0
|  |- Total failed:     0
|  `- File list:        /var/www/vhosts/system/****.de/logs/error_log /var/log/apache2/error.log
`- Actions
   |- Currently banned: 0
   |- Total banned:     0
   `- Banned IP list:

Apaches errorog zeigt aber was:
[Tue Oct 27 08:24:35.564542 2026] [auth_basic:error] [pid 57259:tid 57291] [remote 2003:eb:*****:85f9:56266] AH01618: user a not found: /secret/index.html

Ich würde ja nur gern wissen, ob die apache-*-Jails je funktioniert haben, damit ich nicht erst mühsam fail2ba im Debugmode betreiben müsste.

 

[wakko]

Die (apache) fail2ban Filter bereiten mir in den letzten paar Jahren regelmäßig Kopfzerbrechen.
w00tw00t oder shellshock scan Filter finden ab und zu mal was mit den out-of-the-box regex, aber die anderen finde ich auch zickig.
Ich bin nicht ganz sicher woran es liegt, aber zum Teil sind die Filter veraltet und die host/timestamp Regex passten nicht mehr. Hab mir da inzwischen mehrfach eigene failregex Zeilen gebaut (auch für dovecot). Bin nicht stolz drauf, aber die ganzen KIs helfen ungemein bei solchen Problemen.
Die apache Filter habe ich mittlerweile gegen einen generischen multi-40* Sammelfilter ausgetauscht.
fail2ban-regex aufs Logfile hast Du vermutlich schon ausprobiert.(?)
Evtl. ist fail2ban auch eingestellt, anstatt logfiles das systemd journal zu checken.