Newsgroup: it.comp.os.linux.sys
Titolo: Non capisco questo comportamento di iptables (con fail2ban)

Ciao,
ho installato e configurato fail2ban in modo che intervenga sui ripetuti
tentativi di ingresso sulle porte di ssh e ftp. Nella configurazione ho
scelto di utilizzare iptables ed ho fatto in modo che fail2ban NON tolga
gli IP bannati neanche dopo il timeout (quindi dovrei toglierli io a
mano, se necessario).
Qui sotto c'è il risultato di iptables -L
Vi chiedo: come fa l'indirizzo 157.108.xx.213 a tentare di entrare più
volte, dopo la prima ? (Ovviamente sotto ad xx c'è lo stesso numero)
Sono andato a vedere nei log ed effettivamente quell'indirizzo ha fatto
ripetuti tentativi di accedere in ftp ad orari diversi e, dopo il primo
DROP è riuscito comunque ad arrivare ugualmente sulla macchina.
Grazie
Fulvio
Chain INPUT (policy ACCEPT)
target     prot opt source           destination
fail2ban-PUREFTP  tcp  --  anywhere  anywhere     tcp dpt:ftp
fail2ban-SSH  tcp  --  anywhere      anywhere     tcp dpt:ssh
Chain FORWARD (policy ACCEPT)
target     prot opt source           destination
Chain OUTPUT (policy ACCEPT)
target     prot opt source           destination
Chain fail2ban-PUREFTP (1 references)
target     prot opt source           destination
DROP       0    --  157.108.xx.213   anywhere
DROP       0    --  157.108.xx.213   anywhere
DROP       0    --  157.108.xx.213   anywhere
DROP       0    --  157.108.xx.213   anywhere
DROP       0    --  152.66.126.124   anywhere
DROP       0    --  210.71.108.134   anywhere
RETURN     0    --  anywhere         anywhere
Chain fail2ban-SSH (1 references)
target     prot opt source           destination
DROP       0    --  69.65.xx.109     anywhere
DROP       0    --  222.35.xxx.99    anywhere
DROP       0    --  218.108.x.68     anywhere
DROP       0    --  123.233.xxx.226  anywhere
RETURN     0    --  anywhere         anywhere

 volte, dopo la prima ? (Ovviamente sotto ad xx c'è lo stesso numero)
Mah, mi vengono in mente alcune possibilita`:
1) nella chain INPUT ti e` scappata una regola che sta prima della 
fail2ban-PUREFTP che permette l'accesso;
2) la connessione TCP/IP, dopo la prima apertura, non e` mai stata 
chiusa: sono stati fatti vari tentativi di accesso. Se apri una 
connessione ftp (ftp nomeserver) poi puoi dare piu` comandi "user" senza 
chiudere la connessione TCP/IP.
3) hai la solita regola che accetta i pacchetti per le connessioni 
aperte, tipo la seguente:
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
o cosi`, vista con -L
Chain INPUT (policy DROP 0 packets, 0 bytes)
target prot opt in out source    destination
ACCEPT all  --  *  *   
0.0.0.0/0
 
0.0.0.0/0
 state RELATED,ESTABLISHED
e per qualche motivo le seguenti connessioni sono considerate RELATED 
alla prima, e quindi passano.
Di piu` non mi viene in mente.
Magari prova a postare tutte le regole della chain INPUT.
Ciao
	Stefano

Prova anche a dare più dettagli.
Usa: iptables -nvL 

Grazie per le due risposte.
Questo è ciò che compare facendo iptables -nvL PRIMA di lanciare fail2ban:
Chain INPUT (policy ACCEPT 11M packets, 9605M bytes)
pkts bytes target  prot opt in  out  source  destination
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target  prot opt in  out  source  destination
Chain OUTPUT (policy ACCEPT 7105K packets, 9630M bytes)
pkts bytes target  prot opt in  out  source  destination
Questo invece è quello che compare DOPO aver fatto partire fail2ban
Chain INPUT (policy ACCEPT 11M packets, 9605M bytes)
pkts bytes target  prot opt in  out      source     destination
33  1925 fail2ban-PUREFTP tcp -- * * 
0.0.0.0/0
 
0.0.0.0/0
  tcp dpt:21
142 11492 fail2ban-SSH tcp -- * * 
0.0.0.0/0
 
0.0.0.0/0
     tcp dpt:22
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target  prot opt in   out   source  destination
Chain OUTPUT (policy ACCEPT 7107K packets, 9630M bytes)
pkts bytes target  prot opt in  out  source  destination
Chain fail2ban-PUREFTP (1 references)
pkts bytes target  prot opt in  out  source   destination
3   180 DROP       0    --  *   *  87.238.20.xxx   
0.0.0.0/0
30  1745 RETURN    0    --  *   *  
0.0.0.0/0
 
0.0.0.0/0
Chain fail2ban-SSH (1 references)
pkts bytes target  prot opt in  out  source   destination
142 11492 RETURN     0  --  *   *   
0.0.0.0/0
 
0.0.0.0/0
Cercando un po' in rete ho trovato un consiglio da parte di un
utilizzatore di pure-ftpd come me, il quale consiglia di aggiungere il
parametro DontResolve = yes nella configurazione di pure-ftpd
Con questo valore sembra (almeno per ora) che il sistema funzioni
perfettamente. Se invece riscontro ancora problemi mi faccio sentire
nuovamente.
Grazie ancora
Fulvio