Просмотр кода страницы Удалить из fail2ban заблокированный ip

Хочу рассказать в своей теме «Удалить из fail2ban заблокированный ip» как удалить из fail2ban заблокированный ip. Процедура очень простая и сейчас я покажу на готовых примерах как я это выполнял.

== Проверим список ip адресов ==
:
 iptables -L -n
Вот что имеем:
 ┌(captain-notes)─(✓)─(11:54 AM Tue Mar 17)
 └─(/etc/fail2ban)─(12 files, 88Kb)─> iptables -L -n
 Chain INPUT (policy ACCEPT)
 target prot opt source destination 
 f2b-ReqLimit tcp -- 0.0.0.0/0 0.0.0.0/0 multiport dports 80,443
 f2b-phpmyadmin tcp -- 0.0.0.0/0 0.0.0.0/0 multiport dports 80,443
 [...]
 Chain f2b-phpmyadmin (1 references)
 target prot opt source destination 
 REJECT all -- 194.150.168.95 0.0.0.0/0 reject-with icmp-port-unreachable
 REJECT all -- 178.151.40.243 0.0.0.0/0 reject-with icmp-port-unreachable
 RETURN all -- 0.0.0.0/0 0.0.0.0/0
 [...]
Удалить, например, из таблицы fail2ban-roundcube ip можно с помощью команды:

 # iptables -D fail2ban-roundcube -s xxx.xxx.xxx.xxx -j DROP
где xxx.xxx.xxx.xxx — ip адрес который надо разблокировать.

Если брать мой пример, то стоит выполнить:
 # iptables -D f2b-phpmyadmin  -s 194.150.168.95 -j REJECT
 # iptables -D f2b-phpmyadmin  -s 178.151.40.243 -j REJECT
f2b-phpmyadmin — это цепочка.
194.150.168.95, 178.151.40.243 — заблокированные ИП.
REJECT, DROP… — означает (говорит) что ИП был заблокирован.

Можно еще раз вызвать команду:
 # iptables -L -n
Есть еще 1 способ это сделать, средствами самого fail2ban. Сейчас покажу как это можно сделать.

== Выводим список всех наших клеток (jail) ==
:
 # fail2ban-client status 
 Status
 |- Number of jail: 10
 `- Jail list: nginx-req-limit, phpmyadmin, sshd, w00tw00t-scans

=== Вывод списка IP для конкретной клетки ( для конкретного jail) ===
:
 # fail2ban-client status phpmyadmin

 Status for the jail: phpmyadmin
 |- Filter
 | |- Currently failed: 0
 | |- Total failed: 15
 | `- File list: /var/log/nginx/pma.windows-notes.org.log
 `- Actions
  |- Currently banned: 1
  |- Total banned: 5
  `- Banned IP list: 178.151.40.243

=== То для того чтобы разбанить === 
( удалить ИП с заблокированного листа) необходимо выполнить следующую команду:
 # fail2ban-client set phpmyadmin unbanip 178.151.40.243

phpmyadmin  — имя клетки.
178.151.40.243 — заблокированный IP (меняем на свой).

=== Создадим скрипт для подчета количиства  забаненных ИП во всех jail-ах ===
:
 # vim /root/checklist_ban 


 #!/bin/bash
 JAILS=$(fail2ban-client status | grep " Jail list:" | sed 's/`- Jail list:\t\t//g' | sed 's/,//g')
 for j in $JAILS
 do
 echo "$j $(fail2ban-client status $j | grep " Currently banned:" | sed 's/ |- Currently banned:\t//g')"
 done

Выставим права на данный файл:
 $ chmod 700 /root/checklist_ban

запускаем данный скрипт:
 # /root/checklist_ban

 
== Генерация простых отчетов ==
.

Все из следующих команд можно запустить из командной строки или с помощью скрипта. Они написаны для систем Linux / UNIX, но может работать и на других платформах.

=== Группировка по IP адресу ===
:
 # awk '($(NF-1) = /Ban/){print $NF}' /var/log/fail2ban.log | sort | uniq -c | sort -n

Примечание: переменная NF равна числу полей в каждой строке в лог файле. $NF является значением для последнего поля.

В конце вывода Вы получите:
1 176.108.160.253
1 78.140.128.228
1 91.201.182.29
2 109.86.212.179
4 194.150.168.95
4 213.61.149.100
8 178.151.40.243

Чтобы запустить этот отчет для всех логов нужно небольшое изменение:
 # zgrep -h "Ban " /var/log/fail2ban.log* | awk '{print $NF}' | sort | uniq -c

И получите следующий вывод:
 2 109.86.212.179
 1 176.108.160.253
 8 178.151.40.243
 4 194.150.168.95
 4 213.61.149.100
 1 78.140.128.228
 1 91.201.182.29

=== Какие конкретные IP-адреса участвуют ===
:
 # zcat /var/log/fail2ban.log* | awk '(NF == 6 && $NF ~ /^91\.201\./){print $NF}' | sort | uniq -c

Выход этого будет список IP-адресов, начинающихся с 91.201. Если они выглядят, как будто они частью подсети (или нескольких подсетей).

=== Группировка по IP адрес и имеми хоста ===
:

Команда для включения хостов в списке немного сложнее. Вы также должны вставить правильный путь к программе logresolve, который преобразует IP-адресов для хостов (например /usr/sbin/logresolve ):
 # awk '($(NF-1) = /Ban/){print $NF,"("$NF")"}' /var/log/fail2ban.log | sort | logresolve | uniq -c | sort -n

Примечание: Команда logresolve может занять некоторое время, особенно, если есть много IP-адресов, подлежащих обработке.

Вывод получим следующий:
 1 160-108-176.sktv.ru (176.108.160.253)
 1 91.201.182.29 (91.201.182.29)
 1 nat.webazilla.com (78.140.128.228)
 2 179.212.86.109.triolan.net (109.86.212.179)
 4 h-213.61.149.100.host.de.colt.net (213.61.149.100)
 4 kaputte.li (194.150.168.95)
 8 243.40.151.178.triolan.net (178.151.40.243)

=== Группировка по IP адресу и в разделе Fail2ban ===
:
 # grep "Ban " /var/log/fail2ban.log | awk -F[\ \:] '{print $10,$8}' | sort | uniq -c | sort -n

Это показывает нам, какие услуги каждый IP-адрес пытается открыть / использовать:
 21
=== Отчет о «сегодняшней деятельности» ===
:

Вот отчет я считаю, полезно запускать до полуночи каждого дня, чтобы генерировать итоги деятельности за день:
 # grep "Ban " /var/log/fail2ban.log | grep `date +%Y-%m-%d` | awk '{print $NF}' | sort | awk '{print $1,"("$1")"}' | logresolve | uniq -c | sort -n
=== Группировка по дате и раздел Fail2ban ===
:

Этот отчет проверяет все Fail2ban лог-файлов и дает вам краткую информацию о том, сколько запрет мероприятия были для каждого раздела на каждый день:
 # zgrep -h "Ban " /var/log/fail2ban.log* | awk '{print $5,$1}' | sort | uniq -c

Вывод:
 1 NOTICE 2015-03-13
 2 NOTICE 2015-03-15
 12 NOTICE 2015-03-17
 5 NOTICE 2015-03-19
 1 NOTICE 2015-03-20

И убедится что все работает.

[[Category:Fail2Ban]] [[Category:Debian]] [[Category:Linux]]