fail2ban не слушает сеть сам — он читает журнал службы и реагирует на записи об отказах входа.
Связку «что читать, что искать, что делать» называют jail. У jail три части: источник записей — журнал нужной службы; фильтр — шаблон строки отказа, например Failed password ... from <IP>; действие — бан адреса через файрвол. Для SSH готовый jail называется sshd. Его состояние показывает fail2ban-client status sshd: сколько отказов насчитано (Total failed), кто сейчас забанен (Banned IP list) и за каким источником следит jail (Journal matches).
Главное в шаге
- fail2ban читает журнал службы, ловит в нём отказы фильтром и банит адрес через файрвол.
-
Связка «источник → фильтр → действие» — это jail; для SSH он называется
sshd. -
Состояние jail показывает
fail2ban-client status sshd:Total failed,Banned IP list,Journal matches.