Pages : 1
#1 Le 07/12/2013, à 15:37
- tize
Fail2ban, jail.conf et tentatives de connexions ssh
Bonjour,
je suis débutant et je loue un petit serveur dédié debian chez ovh(kimsufi).
en regardant les logs (/var/log/auth.log) j'ai remarqué quelque chose d'étrange :
Dec 6 12:07:15 ks358444 sshd[599]: Failed password for root from 62.210.209.180 port 63372 ssh2
Dec 6 12:07:17 ks358444 sshd[601]: Failed password for root from 62.210.209.180 port 63374 ssh2
Dec 6 12:07:17 ks358444 sshd[603]: Failed password for root from 62.210.209.180 port 63375 ssh2
Dec 6 12:07:17 ks358444 sshd[606]: Failed password for root from 62.210.209.180 port 63377 ssh2
Dec 6 12:07:17 ks358444 sshd[605]: Failed password for root from 62.210.209.180 port 63376 ssh2
Dec 6 12:07:17 ks358444 sshd[609]: Failed password for root from 62.210.209.180 port 63390 ssh2ce qui m'étonne ce ne sont pas vraiment les tentatives mais leurs répétitions avec la même adresse IP, il me semble que cela ne devrait pas être possible avec la configuration de mon jail.conf (/etc/fail2ban/jail.conf) :
[ssh]
enabled = true
port = ssh,sftp
filter = sshd
banaction = iptables-multiport[name=SSH, port=ssh, protocol=tcp]
findtime = 86400
logpath = /var/log/auth.log
maxretry = 1
bantime = 86400Je précise que mon serveur est à jour et que j'ai évidemment redémarré fail2ban...
Quelqu'un sait il pourquoi cela se produit ?
Bien cordialement.
En espérant ne pas avoir dit trop de bêtises...
Cordialement Tize
Hors ligne
#2 Le 07/12/2013, à 23:07
- bru38
Re : Fail2ban, jail.conf et tentatives de connexions ssh
Salut !
Tu peux faire un
sudo fail2ban-client statusdis moi ce qu'elle te renvoi.
Est-ce que ton ssh est configuré sur le port 22 (par defaut)?
Je vois que t'a mis "Banaction", je peux me tromper mais tu es sur que c'est paq plutot "action"?
A+
-- Bru38 --
------- Partageons notre savoir faire pour en savoir encore plus ! --------
http://bidouilleit.com
--- Administrateur Système et Réseaux de l'informatique ---
Hors ligne
#3 Le 08/12/2013, à 10:31
- tize
Re : Fail2ban, jail.conf et tentatives de connexions ssh
Salut,
merci pour la réponse, voici le résultat de fail2ban-client status :
Status
|- Number of jail: 1
`- Jail list: sshPour ta première question : oui
Pour la seconde je ne suis pas sûr...
En espérant ne pas avoir dit trop de bêtises...
Cordialement Tize
Hors ligne
#4 Le 08/12/2013, à 11:18
- bru38
Re : Fail2ban, jail.conf et tentatives de connexions ssh
Tu peux me dire ce que tu as dans /var/log/fail2ban.log ?
Essaye de remplacer "banaction" par action..
J'ai cherché et même sur le wiki de fail2ban.org ils disent
action = iptables[name=SSH, port=ssh, protocol=tcp]A+
Dernière modification par bru38 (Le 08/12/2013, à 11:20)
-- Bru38 --
------- Partageons notre savoir faire pour en savoir encore plus ! --------
http://bidouilleit.com
--- Administrateur Système et Réseaux de l'informatique ---
Hors ligne
#5 Le 08/12/2013, à 13:53
- tize
Re : Fail2ban, jail.conf et tentatives de connexions ssh
les logs se remettent à zero le dimanche... je n'ai donc rien en ce qui concerne 62.210.209.180 sinon :
2013-12-08 06:25:05,478 fail2ban.server : INFO Changed logging target to /var/log/fail2ban.log for Fail2ban v0.8.4-SVN
2013-12-08 06:25:08,742 fail2ban.filter : INFO Log rotation detected for /var/log/auth.log
2013-12-08 07:39:48,356 fail2ban.actions: WARNING [ssh] Unban 61.155.150.163
2013-12-08 08:18:24,558 fail2ban.filter : INFO Log rotation detected for /var/log/auth.logJe vais tenter action à la place de banaction et vois ce que cela donne sur la durée...
Dans tous les cas merci pour tes conseils 
A+
En espérant ne pas avoir dit trop de bêtises...
Cordialement Tize
Hors ligne
Pages : 1