2

В продолжение вопроса про nginx

Установил fail2ban, закоментил весь jail.conf и в jail.local сделал конф:

[DEFAULT]
ignoreip = 127.0.0.1/8 ХХ.ХХХ.0.0/16
bantime  = 1200
findtime = 600
maxretry = 5
backend = auto
usedns = warn
destemail = root@localhost
sendername = Fail2Ban
sender = fail2ban@localhost
banaction = hostsdeny
[nginx-404]
enabled = true
filter = nginx-404
action = hostsdeny
logpath = /var/log/nginx/error.log
findtime = 600
bantime = -7200
maxretry = 5

В /etc/fail2ban/filter.d/nginx-404.conf сделал регулярку по моим логам, в месте ip адреса в регулярку поставил конструкцию <HOST> по аналогии с другими правилами.

Ребутнул fail2ban, в логе:

2015-06-25 14:50:58,950 fail2ban.server [32170]: INFO    Changed logging target to /var/log/fail2ban.log for Fail2ban v0.8.13
2015-06-25 14:50:58,951 fail2ban.jail   [32170]: INFO    Creating new jail 'nginx-404'
2015-06-25 14:50:58,984 fail2ban.jail   [32170]: INFO    Jail 'nginx-404' uses pyinotify
2015-06-25 14:50:59,004 fail2ban.jail   [32170]: INFO    Initiated 'pyinotify' backend
2015-06-25 14:50:59,006 fail2ban.filter [32170]: INFO    Added logfile = /var/log/nginx/error.log
2015-06-25 14:50:59,007 fail2ban.filter [32170]: INFO    Set maxRetry = 5
2015-06-25 14:50:59,009 fail2ban.filter [32170]: INFO    Set findtime = 600
2015-06-25 14:50:59,010 fail2ban.actions[32170]: INFO    Set banTime = -7200
2015-06-25 14:50:59,013 fail2ban.jail   [32170]: INFO    Jail 'nginx-404' started

Зашел с чужого ip вызвал ошибку на которую срабатывает регулярка много раз подряд... ничего.

nginx-404.conf

[Definition] 
failregex = ^\d+/\d+/\d+ \d+:\d+:\d+ \[error\].*open\(\).*failed.*No such file or directory\), client\: <HOST>\, server.*?$ 
ignoreregex =

в логах соответствует записям типа

2015/06/25 17:39:51 [error] 2099#0: *31 open() "/var/www/site.ru/images/2015.libs.php.j" failed (2: No such file or directory), client: 188.18.29.221, server: site.ru, request: "GET /images/2015.libs.php.j HTTP/1.1", host: "site.ru"

Еще столкнулся с проблемой, что try_files $1 =404 пишет в лог ошибок nginx, а return 404 в логах не появляется, не совсем понятно как однозначно маркировать директорию, чтобы она в логах была всегда, писать заведомо ложный try_files ?

Добавлено


Результат проверки регулярного выражения у меня выглядит так:

fail2ban-regex '2015/06/25 17:39:51 [error] 2099#0: *31 open() "/var/www/site.ru/images/2015.libs.php.j" failed (2: No such file or directory), client: 188.18.29.221, server: site.ru, request: "GET /images/2015.libs.php.j HTTP/1.1", host: "site.ru"' 'No such file or directory.* client: <HOST>,'

Running tests
=============

Use   failregex line : No such file or directory.* client: <HOST>,
Use      single line : 2015/06/25 17:39:51 [error] 2099#0: *31 open() "/v...


Results
=======

Failregex: 1 total
|-  #) [# of hits] regular expression
|   1) [1] No such file or directory.* client: <HOST>,
`-

Ignoreregex: 0 total

Date template hits:
|- [# of hits] date format
|  [1] Year/Month/Day Hour:Minute:Second
`-

Lines: 1 lines, 0 ignored, 1 matched, 0 missed
3
  • 1. для тестов лучше поставить maxretry=1, чтобы одного запроса было достаточно. 2. приведите и nginx-404.conf, и образцы записей из лога nginx, на которые fail2ban должен реагировать. 25 июн 2015 в 14:41
  • внесите это, пожалуйста, в вопрос: в виде комментария эта информация нечитабельна. 25 июн 2015 в 15:34
  • Добавил информацию в вопрос.
    – A-off
    25 июн 2015 в 21:56

1 ответ 1

1

из приведённого образца:

2015/06/25 17:39:51 [error] 2099#0: *31 open()
"/var/www/site.ru/images/2015.libs.php.j"
failed (2: No such file or directory), client: 188.18.29.221,
server: site.ru, request: "GET /images/2015.libs.php.j HTTP/1.1", host: "site.ru"

видно, что для его идентификации необходимо и достаточно, по-моему, лишь наличие строки:

No such file or directory

а для самого fail2ban-а нужен ещё ip-адрес, который ограничен фрагментами client: и ,.

таким образом, строка с регулярным выражением должна выглядеть примерно так:

failregex = No such file or directory.* client: <HOST>,

проверить, как fail2ban распарсит произвольную строку с произвольным регулярным выражением можно, воспользовавшись командой fail2ban-regex 'строка (из лога)' 'регулярное выражение'. вместо строки (из лога) можно указать и путь к лог-файлу (например, /var/log/nginx/error.log, а вместо регулярного выражения — путь к фильтру (например, filter.d/nginx-404.conf).

пример с актуальными данными:

$ fail2ban-regex '2015/06/25 17:39:51 [error] 2099#0: *31 open() "/var/www/site.ru/images/2015.libs.php.j" failed (2: No such file or directory), client: 188.18.29.221, server: site.ru, request: "GET /images/2015.libs.php.j HTTP/1.1", host: "site.ru"' 'No such file or directory.* client: <HOST>,'

наиболее существенная (в данном случае) информация из отчёта:

Addresses found:
[1] 
    188.18.29.221 (Thu Jun 25 17:39:51 2015)

и

Success, the total number of match is 1

в более новой версии fail2ban-regex поменялся формат вывода и добавились опции. в частности, надо добавить опцию -v, тогда на тех же данных существенной информацией будет:

Failregex: 1 total
|-  #) [# of hits] regular expression
|   1) [1] No such file or directory.* client: <HOST>,
|      188.18.29.221  Thu Jun 25 17:39:51 2015

где видно, что ip-адрес удачно извлечён, и:

Lines: 1 lines, 0 ignored, 1 matched, 0 missed

где видно, что строка совпала с регулярным выражением: 1 matched


return 404 в логах не появляется

скорее всего, выполнение директивы return относится к «нормальному» завершению обработки запроса, и отчёт о её выполнении отправляется не в error_log, а в access_log.

если это верно, то можно завести отдельный location, в котором переопределить лог-файл, а в переменную logpath добавить этот файл:

logpath = /путь/к/файлу
          /путь/к/другому/файлу

а если понадобится ещё одно регулярное выражение, то можно добавить строку с ним примерно так:

failregex = первое регулярное выражение
            второе регулярное выражение
12
  • Добавил в вопрос как выглядит результат проверки регулярки у меня (скопипастил прямо из вашего сообщения). Мне по выводу не понятно до конца, но по факту ни один вариант регулярки (если в них дело) не работает, в hosts.deny новых строк нет...
    – A-off
    26 июн 2015 в 9:07
  • В hostsdeny.conf кстати строка бана выглядит так actionban = IP=<ip> && printf %%b "<daemon_list>: $IP\n" >> <file>, может вместо <HOST> нужно писать в регулярке <ip> ?
    – A-off
    26 июн 2015 в 9:51
  • ни один вариант регулярки не работает — тут как обычно: откуда установлен пакет, какой версии? 26 июн 2015 в 10:47
  • понятно, в более новой версии fail2ban несколько изменили формат вывода и опций добавили. в частности, -v: при её использовании показывает «выловленный» ip-адрес. сейчас обновлю ответ. 26 июн 2015 в 11:53
  • ни один вариант регулярки не работает — вы учитываете, что нужно maxretry раз повторить попытку с одного и того же ip, причём в течение findtime секунд. а вообще проанализируйте сам лог с помощью fail2ban-regex, указав путь к нему первым параметром. 26 июн 2015 в 12:06

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.