0

因此,在我最后一次apt-get update && apt-get upgrade && apt-get dist-upgrade之后,我的 Fail2Ban 升级到 0.9.5 没有任何问题,我仔细检查了配置,但它似乎不再工作了。

以下是我 /var/log/auth.log 中登录失败的一些日志

Aug 30 03:39:02 ns3031426 sshd[25824]: Invalid user admin from xx.xxx.xxx.xxx port 45282

通常这种尝试应该被fail2ban 识别。我仔细检查了 fail2ban 日志,发现在那个时间范围内没有任何记录。在网上搜索后,我发现了fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf命令。我的问题是正则表达式不再识别失败的尝试。我总是得到这个结果:

Running tests
=============

Use   failregex filter file : sshd, basedir: /etc/fail2ban
Use         maxlines : 10
Use         log file : /var/log/auth.log
Use         encoding : ANSI_X3.4-1968


Results
=======

Failregex: 0 total

Ignoreregex: 0 total

Date template hits:
|- [# of hits] date format
|  [9739] (?:DAY )?MON Day 24hour:Minute:Second(?:\.Microseconds)?(?: Year)?
`-

Lines: 9739 lines, 0 ignored, 0 matched, 9739 missed
[processed in 3.16 sec]

Missed line(s): too many to print.  Use --print-all-missed to print all 9739 lines

这里有什么问题?我意识到我的日志记录也发生了变化。在我更新系统之前,日志没有关于端口的任何信息,在更新它之后,它会记录端口。给出的例子:

Old logging: Aug 27 16:40:09 ns3031426 sshd[13245]: Invalid user oracle from xx.xxx.xxx.xxx
New logging: Aug 30 03:39:02 ns3031426 sshd[25824]: Invalid user admin from xx.xxx.xxx.xxx port 45282

谢谢你的帮助。

4

1 回答 1

0

所以结果证明是一个普遍的问题,就是改变了 sshd 日志的格式。你可以在这里找到状态:https ://github.com/fail2ban/fail2ban/issues/1533

此致

于 2016-08-31T21:51:52.930 回答