Сколько промахов и за какое время приводят к бану, задают три параметра, а свои адреса от бана уберегает четвёртый.
maxretry — сколько отказов до бана; findtime — окно, в котором они считаются (отказы старше окна забываются); bantime — насколько адрес уходит в бан. ignoreip — список сетей и адресов, которые jail пропускает, даже если с них идут отказы: туда вносят рабочие станции администраторов, чтобы не отрезать себя от сервера. Все эти параметры пишут в свой файл jail.local — он переживает обновление пакета; jail.conf из пакета не правят. Кроме него fail2ban читает каталог jail.d/: файлы *.conf оттуда — до jail.local, *.local — после, и действует последнее значение (порядок файлов). Итог для jail печатает sudo fail2ban-client -d.
В jail maxretry = 3, findtime = 10m. Что приведёт к бану?
-
findtime— окно: учитываются отказы за последние десять минут, более старые забываются. Три давних промаха к бану не приведут. -
Порог — это
maxretry(3), а окно —findtime(10m). Здесь числа переставлены местами.
maxretry — порог отказов, findtime — окно, в котором они считаются. Три отказа за десять минут набирают порог и дают бан; старше окна промахи забываются.
Главное в шаге
-
maxretry— порог отказов,findtime— окно их подсчёта,bantime— срок бана. -
ignoreipисключает из бана свои сети и адреса. -
Свои настройки пишут в
jail.local; файлыjail.d/*.localчитаются после него и перекрывают его значения.