Назад | Перейти на главную страницу

Баны с истекшим сроком действия fail2ban не удаляются из iptables

Я недавно установил fail2ban на Ubuntu 16, и он работает в том смысле, что запреты / назначения для тюрем работают правильно, но после истечения срока назначения заблокированный IP-адрес остается в iptables как REJECT. Я ожидал, что он будет удален из iptables по истечении времени блокировки.

Пример ниже, очень простая тюрьма для DOS, банит всех, кто загружает 100 страниц за 30 секунд, блокируя их на 1 час (3600 секунд).

NB, время блокировки по умолчанию в jail.conf составляет 600 секунд.

jail.local

 [http-get-dos]
 enabled = true
 port = http,https
 filter = http-get-dos
 logpath = /var/log/apache*/access.log
       /home/*/logs/access.log
 maxretry = 100
 findtime = 30
 bantime = 3600
 ignoreip = 127.0.0.1/8 ::1
 action = iptables[name=HTTP, port=http, protocol=tcp]

filter.d / http-get-dos

# Fail2Ban configuration file
[Definition]
failregex = ^<HOST> -.*"(GET|POST).*
ignoreregex =

Я сам это протестировал, отправив 1000 подключений с трех других серверов, и он работал правильно - все три сервера были добавлены в джейл, а правило iptables:

iptables -L -n

Chain f2b-HTTP (2 references)
target     prot opt source               destination         
REJECT     all  --  xx.xx.xx.xx         0.0.0.0/0            reject-with 
REJECT     all  --  xx.xx.xx.xx         0.0.0.0/0            reject-with 
REJECT     all  --  xx.xx.xx.xx         0.0.0.0/0            reject-with 
icmp-port-unreachable

Однако прошло около 2 часов, а три REJECT все еще существуют в iptables, и серверы не могут подключиться.

Текущий статус в тюрьме http-get-dos (статус fail2ban-client http-get-dos) возвращает правильные некоторые IP-адреса. мы забанен, но в настоящее время нет.

Status for the jail: http-get-dos
|- Filter
|  |- Currently failed: 1
|  |- Total failed:     613
|  `- File list:        /var/log/apache2/access.log /home/*/logs/access.log 
`- Actions
|- Currently banned: 0
|- Total banned:     3
`- Banned IP list:

При установке fail2ban я запустил:

 apt-get install iptables-persistent

Чтобы сохранить запреты на перезагрузку, но это не (??) игнорирует время запрета.

Я знаю, что могу вручную удалить IP-адрес из iptables, но я ожидаю, что fail2ban сделает это автоматически после истечения времени блокировки.

Что мне не хватает?

iptables fail2ban