Fail2Ban Script funktioniert nicht richtig

[informant]

Hallo zusammen, ich habe Fail2Ban installiert. Folgender Eintrag kommt mehrfach hintereinander.

[2015-12-13 10:01:39] NOTICE[3314][C-0000095c] chan_sip.c: Call from '' (217.172.189.171:5071) to extension '50061390287572' rejected because extension not found in context 'from-sip'.

In der Config habe ich 4 Fails in 6 h eingestellt. Alle anderen Fails klappen auch, nur dieser nicht. Lasse ich mein Script mit der Regex per Command prüfen, dann zeigt es diese Zeile auch als "zu sperren" an.
Test-Command:

fail2ban-regex '/var/log/asterisk/messages' /etc/fail2ban/filter.d/asterisk.conf

Jedoch wird die IP nicht gesperrt. Warum? jmd. eine Idee? Anbei noch die Regex-Zeichenfolge.

# Fail2Ban filter for asterisk authentication failures
#

[INCLUDES]

# Read common prefixes. If any customizations available -- read them from
# common.local
before = common.conf

[Definition]

_daemon = asterisk

__pid_re = (?:\[\d+\])

iso8601 = \d{4}-\d{2}-\d{2}T\d{2}:\d{2}:\d{2}\.\d+[+-]\d{4}

# All Asterisk log messages begin like this:
log_prefix= (?:NOTICE|SECURITY)%(__pid_re)s:?(?:\[C-[\da-f]*\])? \S+:\d*( in \w+?

failregex = ^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s Registration from '[^']*' failed for '<HOST>\d+)?' - (Wrong password|Username/auth name mismatch|No matching peer found|Not a local domain|Device does not match ACL|Peer is not supposed to register|ACL error \(permit/deny\)|Not a local domain)$
^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s Call from '[^']*' \(<HOST>:\d+\) to extension '\d+' rejected because extension not found in context 'from-sip'\.$
^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s Host <HOST> failed to authenticate as '[^']*'$
^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s No registration for peer '[^']*' \(from <HOST>\)$
^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s Host <HOST> failed MD5 authentication for '[^']*' \([^)]+\)$
^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s Failed to authenticate (user|device) [^@]+@<HOST>\S*$
^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s hacking attempt detected '<HOST>'$
^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s SecurityEvent="(FailedACL|InvalidAccountID|ChallengeResponseFailed|InvalidPassword)",EventTV="([\d-]+|%(iso8601)s)",Severity="[\w]+",Service="[\w]+",EventVersion="\d+",AccountID="(\d*|<unknown>)",SessionID=".+",LocalAddress="IPV[46]/(UDP|TCP|WS)/[\da-fA-F:.]+/\d+",RemoteAddress="IPV[46]/(UDP|TCP|WS)/<HOST>/\d+"(,Challenge="[\w/]+")?(,ReceivedChallenge="\w+")?(,Response="\w+",ExpectedResponse="\w*")?(,ReceivedHash="[\da-f]+")?(,ACLName="\w+")?$
^(%(__prefix_line)s|\[\]\s*WARNING%(__pid_re)s:?(?:\[C-[\da-f]*\])? )Ext\. s: "Rejecting unknown SIP connection from <HOST>"$

ignoreregex =


# Author: Xavier Devlamynck / Daniel Black
#
# General log format - main/logger.c:ast_log
# Address format - ast_sockaddr_stringify
#
# First regex: channels/chan_sip.c
#
# main/logger.c:ast_log_vsyslog - "in {functionname}:" only occurs in syslog

Komisc ist auch, dass im Debug-Modus folgender Eintrag kommt:

2015-12-13 13:51:09,430 fail2ban.filter : DEBUG Processing line with time:1449996267.0 and ip:217.172.189.171
2015-12-13 13:51:09,430 fail2ban.filter : DEBUG Ignore 217.172.189.171

 

[informant]

Lösung lautet: /8 bei einer einzelnen IPs wird scheinbar von fail2ban nicht korrekt erkannt... einzelne IPs, welche ignoriert werden sollen müssen einzeln ohne Subnetz eingetragen werden

MfG