Newsgroup: it.comp.os.linux.sys
Titolo: fail2ban / iptables non capisco questa cosa.....

Ciao,
dunque, ho installato e configurato fail2ban in modo da droppare chi tenta
troppe autenticazioni fasulle su sasl. Ho modificato il comportamento di unban
in modo tale da NON togliere gli indirizzi bannati con iptables ma lasciarli
lì all'infinito, sarò io a toglierli "a mano", se necessario, oppure toglierli
in massa facendo ripartire fail2ban. Come è possibile una situazione come
quella qua sotto ?
 
Chain fail2ban-sasl (1 references)
  pkts bytes target     prot opt in     out     source               destination
    37  2368 DROP       all  --  any    any     192.168.20.146       anywhere
   405 25845 DROP       all  --  any    any     192.168.20.146       anywhere
   217 13816 DROP       all  --  any    any     192.168.20.138       anywhere
32917   57M RETURN     all  --  any    any     anywhere             anywhere
 
Se fail2ban mette in iptables 192.168.20.146 e iptables droppa quell'IP come
fa lo stesso indirizzo IP ad "entrare" di nuovo e a far scatenare ancora una
volta fail2ban ? Capita che ci siano anche più di due righe con lo stesso IP.
 
fulvio
 

 volta fail2ban ? Capita che ci siano anche più di due righe con lo stesso IP.
 
Ho notato anch'io questo atteggiamento, in particolare, se metto 4 tentativi
prima di "droppare" un ip, a volte vedo nei log che quel dato ip é riuscito a
farne anche piú di 6.
Siccome fail2ban, legge un file di log creato da una applicazione per eseguire
le sue azioni, molto probabilmente non é cosí immediato ad agire, per cui
quell'ip é riuscito passare piú volte nel frattempo.
 
-- 
+---------------------------------------------------------------------------+
|  Un tacchino all'agnello: Buona pasqua!                                   |
|  L'agnello al tacchino: Vaffaculo, buon Natale!                           |
+-----#23------------------------Campagna contro gli auguri idioti.---------+

 quell'ip é riuscito passare piú volte nel frattempo.
Nella documentazione di fail2ban ti dice proprio che il limite che poni può 
essere indicativo perché mentre viene salvato il log, elaborato e prese le 
contromisure, l'ip "attaccante" può avere il tempo di fare altri attacchi.
 
... ovvio che se il problema è "dopo due attacchi banna" e ne trovi 
tre-quattro prima che si chiuda la porta, può essere quello. A meno che tu 
non intendi che nonostante il ban fra un'ora ne fa altri due, fra due ore 
altri tre eccetera. Ma non so se intendi questo...
 
-- 
Saluti, Grizzly - 
http://www.g-sr.eu/
 
  73 de 1uGRZ - PMR Chan  8 CTCSS 24 - SIRACUSA
  Compra i miei libri su 
http://www.lulu.com/g-sr
 
 
-Questo messaggio e' sottoposto a Licenza Creative Commons-
(CC)by-nc-nd 
http://creativecommons.org/licenses/by-nc-nd/2.5/it/
 
 


Esistono dei bot che fanno anche 30-40 tentativi di accesso in pochi 
secondi. Fail2Ban effettua un parsing dei log ogni secondo, quindi è 
normale trovare un numero maggiore di tentativi di accesso.
 

 altri tre eccetera. Ma non so se intendi questo...
 
No, non si tratta ne di ore ne di minuti!
Avevo scritto appunto che non essendo immediato il blocco di un ip, il limite
di "attacchi" impostato poteva essere leggermente sforato.
Se un ip fa 8-10 attacchi al secondo, ovvio che non viene bloccato subito al
primo.
Se poi il programma che genera il log a cui si affida fail2ban per le sue
azioni, mette piú righe uguali, si generano righe multiple in iptables.
Se poi quella riga viene "matchata" da piú regole, allora vedi cose
apparentemente strane, ma nella sintesi assolutamente corrette.
 
-- 
+---------------------------------------------------------------------------+
|  Le figlie di Maria, sono le prime a darla via.                           |
|  I figli di Gesu' lo voglion tutto su!                                    |
+-----#24--------------------Campagna contro le pubblicita` idiote.---------+

 dunque, ho installato e configurato fail2ban in modo da droppare chi tenta
 
Grazie per le risposte, ma avevo già considerato il comportamento di fail2ban
con il caso in cui ci fossero più tentativi di attacco al secondo.
Per farmi capire meglio guardate i log qui sotto, come fa 109.113.243.xx
ad "entrare" alle 23:10:57,267 (primo attacco)
poi fail2fan si accorge che è già bannato per 4 volte
e poi alle 23:14:14,326 lo ribanna
e poi alle 23:17:59,587 lo ribanna
ecc.
ed infine alle 00:00:17,791 lo ribanna
 
Ed anche 188.218.37.2xx come fa a generare tutti quegli "ingressi" ad orari
diversi.
 
2014-03-19 23:10:57,267 fail2ban.actions: WARNING [sasl] Ban 109.113.243.xx
2014-03-19 23:14:14,326 fail2ban.actions: WARNING [sasl] 109.113.243.xx 
already banned
2014-03-19 23:15:56,445 fail2ban.actions: WARNING [sasl] 109.113.243.xx 
already banned
2014-03-19 23:17:59,587 fail2ban.actions: WARNING [sasl] 109.113.243.xx 
already banned
2014-03-19 23:18:16,607 fail2ban.actions: WARNING [sasl] 109.113.243.xx 
already banned
2014-03-19 23:34:36,748 fail2ban.actions: WARNING [sasl] Ban 109.113.243.xx
2014-03-19 23:45:13,513 fail2ban.actions: WARNING [sasl] Ban 109.113.243.xx
2014-03-20 00:00:17,791 fail2ban.actions: WARNING [sasl] Ban 109.113.243.xx
2014-03-20 00:00:56,031 fail2ban.actions: WARNING [sasl] Ban 188.218.37.2xx
2014-03-20 00:07:10,629 fail2ban.actions: WARNING [sasl] 188.218.37.2xx 
already banned
2014-03-20 00:07:27,649 fail2ban.actions: WARNING [sasl] 188.218.37.2xx 
already banned
2014-03-20 00:22:47,718 fail2ban.actions: WARNING [sasl] Ban 188.218.37.2xx
2014-03-20 00:34:37,985 fail2ban.actions: WARNING [sasl] Ban 188.218.37.2xx
2014-03-20 00:55:15,631 fail2ban.actions: WARNING [sasl] Ban 188.218.37.2xx
2014-03-20 15:36:23,716 fail2ban.actions: WARNING [sasl] Ban 192.168.20.138
2014-03-20 15:41:23,688 fail2ban.actions: WARNING [sasl] 192.168.20.138 
already banned
 
Come dicevo all'inizio del thread ho modificato la regola di unban e quindi 
l'operazione di unban NON viene mai eseguita, di conseguenza mi ritrovo in 
iptables regole multiple come questa:
 
37  2368 DROP       all  --  any    any     109.113.243.xx       anywhere
405 25845 DROP      all  --  any    any     109.113.243.xx       anywhere
217 13816 DROP      all  --  any    any     109.113.243.xx       anywhere
 
Come è possibile ?
Vuol dire che iptables NON droppa !!!!
 
fulvio

 Vuol dire che iptables NON droppa !!!!
 
Controlla la chain di fail2ban dov'è che viene chiamata all'interno
della catena INPUT, magari c'è qualche regola prima.
 
Enrico


 
Questo è quello che ho:
- faccio ripartire fail2ban:
 
Chain INPUT (policy ACCEPT 110K packets, 15M bytes)
  pkts bytes target     prot opt in   out   source     destination
15457 1062K fail2ban-sasl  tcp  --  any any anywhere  anywhere multiport 
dports smtp,ssmtp,imap2,imap3,imaps,pop3,pop3s
     0     0 fail2ban-ssh  tcp  --  any  any anywhere  anywhere multiport 
dports ssh
 
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
  pkts bytes target     prot opt in     out     source destination
 
Chain OUTPUT (policy ACCEPT 3840 packets, 2854K bytes)
  pkts bytes target     prot opt in     out     source destination
 
Chain fail2ban-sasl (1 references)
  pkts bytes target     prot opt in     out     source   destination
15457 1062K RETURN     all  --  any    any     anywhere anywhere
 
Chain fail2ban-ssh (1 references)
  pkts bytes target     prot opt in     out     source   destination
     0     0 RETURN     all  --  any    any     anywhere anywhere
 
- Eseguo dei tentativi per utilizzare smtp (autenticato) verso questa macchina 
da una macchina remota, con password volutamente sbagliata:
 
Chain INPUT (policy ACCEPT 474K packets, 68M bytes)
  pkts bytes target        prot opt in   out   source  destination
  6363  712K fail2ban-sasl tcp  --  any  any anywhere  anywhere   multiport 
dports smtp,ssmtp,imap2,imap3,imaps,pop3,pop3s
  2153  175K fail2ban-ssh  tcp  --  any  any anywhere  anywhere   multiport 
dports ssh
 
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
  pkts bytes target     prot opt in     out     source  destination
 
Chain OUTPUT (policy ACCEPT 92942 packets, 28M)
  pkts bytes target     prot opt in     out     source  destination
 
Chain fail2ban-sasl (1 references)
  pkts bytes target     prot opt in     out     source         destination
    82 10732 DROP       all  --  any    any     46.232.150.xx  anywhere
    36  3145 DROP       all  --  any    any     46.232.150.xx  anywhere
  5098  389K RETURN     all  --  any    any     anywhere       anywhere
 
Chain fail2ban-ssh (1 references)
  pkts bytes target     prot opt in     out     source         destination
   968 77546 RETURN     all  --  any    any     anywhere       anywhere
 
Nei log:
 
2014-03-24 15:26:16,668 fail2ban.actions: WARNING [sasl] Ban 46.232.150.xx
2014-03-24 15:29:24,928 fail2ban.actions: WARNING [sasl] 46.232.150.xx already 
banned
2014-03-24 15:32:44,089 fail2ban.actions: WARNING [sasl] 46.232.150.xx already 
banned
2014-03-24 15:38:51,585 fail2ban.actions: WARNING [sasl] Ban 46.232.150.xx
 
Se invece faccio dei tentativi, volutamente sbagliati, su ssh, il DROP 
funziona immediatamente.
 
Ho altre 3 macchine (Debian 7) identiche a questa, quelle 3 non risentono di 
questa anomalia.
 
fulvio

 macchina da una macchina remota, con password volutamente sbagliata:
 
Con quale porta?
 
Che valori ci sono se scrivi
 
$ grep smtp /etc/services
 
?
 
Enrico

 ?
 
smtp            25/tcp          mail
ssmtp           465/tcp         smtps           # SMTP over SSL
 
fulvio