В продолжение вопроса про nginx
Установил fail2ban, закоментил весь jail.conf и в jail.local сделал конф:
[DEFAULT]
ignoreip = 127.0.0.1/8 ХХ.ХХХ.0.0/16
bantime = 1200
findtime = 600
maxretry = 5
backend = auto
usedns = warn
destemail = root@localhost
sendername = Fail2Ban
sender = fail2ban@localhost
banaction = hostsdeny
[nginx-404]
enabled = true
filter = nginx-404
action = hostsdeny
logpath = /var/log/nginx/error.log
findtime = 600
bantime = -7200
maxretry = 5
В /etc/fail2ban/filter.d/nginx-404.conf
сделал регулярку по моим логам, в месте ip адреса в регулярку поставил конструкцию <HOST>
по аналогии с другими правилами.
Ребутнул fail2ban, в логе:
2015-06-25 14:50:58,950 fail2ban.server [32170]: INFO Changed logging target to /var/log/fail2ban.log for Fail2ban v0.8.13
2015-06-25 14:50:58,951 fail2ban.jail [32170]: INFO Creating new jail 'nginx-404'
2015-06-25 14:50:58,984 fail2ban.jail [32170]: INFO Jail 'nginx-404' uses pyinotify
2015-06-25 14:50:59,004 fail2ban.jail [32170]: INFO Initiated 'pyinotify' backend
2015-06-25 14:50:59,006 fail2ban.filter [32170]: INFO Added logfile = /var/log/nginx/error.log
2015-06-25 14:50:59,007 fail2ban.filter [32170]: INFO Set maxRetry = 5
2015-06-25 14:50:59,009 fail2ban.filter [32170]: INFO Set findtime = 600
2015-06-25 14:50:59,010 fail2ban.actions[32170]: INFO Set banTime = -7200
2015-06-25 14:50:59,013 fail2ban.jail [32170]: INFO Jail 'nginx-404' started
Зашел с чужого ip вызвал ошибку на которую срабатывает регулярка много раз подряд... ничего.
nginx-404.conf
[Definition]
failregex = ^\d+/\d+/\d+ \d+:\d+:\d+ \[error\].*open\(\).*failed.*No such file or directory\), client\: <HOST>\, server.*?$
ignoreregex =
в логах соответствует записям типа
2015/06/25 17:39:51 [error] 2099#0: *31 open() "/var/www/site.ru/images/2015.libs.php.j" failed (2: No such file or directory), client: 188.18.29.221, server: site.ru, request: "GET /images/2015.libs.php.j HTTP/1.1", host: "site.ru"
Еще столкнулся с проблемой, что try_files $1 =404
пишет в лог ошибок nginx, а return 404
в логах не появляется, не совсем понятно как однозначно маркировать директорию, чтобы она в логах была всегда, писать заведомо ложный try_files
?
Добавлено
Результат проверки регулярного выражения у меня выглядит так:
fail2ban-regex '2015/06/25 17:39:51 [error] 2099#0: *31 open() "/var/www/site.ru/images/2015.libs.php.j" failed (2: No such file or directory), client: 188.18.29.221, server: site.ru, request: "GET /images/2015.libs.php.j HTTP/1.1", host: "site.ru"' 'No such file or directory.* client: <HOST>,'
Running tests
=============
Use failregex line : No such file or directory.* client: <HOST>,
Use single line : 2015/06/25 17:39:51 [error] 2099#0: *31 open() "/v...
Results
=======
Failregex: 1 total
|- #) [# of hits] regular expression
| 1) [1] No such file or directory.* client: <HOST>,
`-
Ignoreregex: 0 total
Date template hits:
|- [# of hits] date format
| [1] Year/Month/Day Hour:Minute:Second
`-
Lines: 1 lines, 0 ignored, 1 matched, 0 missed
maxretry=1
, чтобы одного запроса было достаточно. 2. приведите иnginx-404.conf
, и образцы записей из логаnginx
, на которыеfail2ban
должен реагировать.