jail.conf0 - מקוון בענן

תָכְנִית:

שֵׁם

jail.conf - תצורה עבור שרת fail2ban

תַקצִיר

fail2ban.conf fail2ban.d/*.conf fail2ban.local fail2ban.d/*.local

jail.conf jail.d/*.conf jail.local jail.d/*.local

action.d/*.conf action.d/*.local action.d/*.py

filter.d/*.conf filter.d/*.local

תיאור

ל-Fail2ban יש ארבעה סוגי קבצי תצורה:

fail2ban.conf
תצורה גלובלית של Fail2Ban (כגון רישום)

filter.d/*.conf
מסננים המציינים כיצד לזהות כשלי אימות

action.d/*.conf
פעולות המגדירות את הפקודות לאיסור וביטול החסימה של כתובת IP

jail.conf
בתי כלא המגדירים שילובים של מסננים עם פעולות.

תְצוּרָה קבצים פורמט

*.conf קבצים מופצים על ידי Fail2Ban. מומלץ שקובצי *.conf צריכים
להישאר ללא שינוי כדי להקל על השדרוגים. במידת הצורך, יש לספק התאמות אישיות
*.מְקוֹמִי קבצים. לדוגמה, אם תרצה להפעיל את הכלא [ssh-iptables-ipset]
שצוין ב-jail.conf, צור jail.local המכיל

jail.local
[ssh-iptables-ipset]

מופעל = נכון

בקבצי .local ציין רק את ההגדרות שברצונך לשנות ואת שאר ההגדרות
התצורה תגיע מקובץ ה-conf המתאים אשר מנותח ראשון.

jail.d/ ו fail2ban.d/

בנוסף ל-.local, עבור קובץ jail.conf או fail2ban.conf יכול להיות א
מקביל .d/ ספרייה המכילה קובצי .conf נוספים. ההזמנה למשל עבור
כלא התצורה תהיה:

jail.conf
jail.d/*.conf (בסדר אלפביתי)
jail.local
jail.d/*.local (לפי סדר אלפביתי).

כלומר כל קבצי ה-.local מנותחים לאחר קבצי .conf בתצורה המקורית
קובץ וקבצים תחת ספריית .d. הגדרות בקובץ מנותח מאוחר יותר לקחת
עדיפות על פני ערכים זהים בקבצים שמנותחו בעבר. קבצים מסודרים
בסדר אלפביתי, למשל

fail2ban.d/01_custom_log.conf - כדי להשתמש בנתיב יומן אחר
jail.d/01_enable.conf - כדי לאפשר כלא ספציפי
jail.d/02_custom_port.conf - כדי לשנות את היציאות של הכלא.

לקבצי תצורה יש קטעים, אלה שצוינו עם [שם קטע], ושם = ערך
זוגות. עבור אותם פריטי שמות שיכולים לקבל ערכים מרובים, ציין את הערכים המופרדים
לפי רווחים, או בשורות נפרדות רווח המוזח בתחילת השורה לפני ה-
ערך שני.

קובצי תצורה יכולים לכלול קובצי תצורה אחרים (מגדירים משתנים נפוצים),
אשר משמש לעתים קרובות במסננים ופעולות. תכלילים כאלה מוגדרים בסעיף
נקרא [כולל]:

לפני מציין שיש לנתח את הקובץ שצוין לפני הקובץ הנוכחי.

לאחר מציין שיש לנתח את הקובץ שצוין לאחר הקובץ הנוכחי.

באמצעות מנגנוני "אינטרפולציה מחרוזת" של Python, הגדרות אחרות מותרות ויכולות
מאוחר יותר ישמש בהגדרות אחרות כ-%(name)s. לדוגמה.

baduseragents = IE|wget
failregex = useragent=%(baduseragents)s

הערות: השתמש ב-'#' עבור שורות הערה ו-'; ' (רווח חשוב) להערות מוטבעות.
בעת שימוש ב-Python2.X '; ' ניתן להשתמש רק בשורה הראשונה עקב באג בספריית Python.

FAIL2BAN תְצוּרָה קבצים) (fail2ban.conf)

לקבצים האלה יש סעיף אחד, [הגדרה].

הפריטים שניתן להגדיר הם:

רמת יומן
רמת מילולית של פלט יומן: קריטי, שגיאה, אזהרה, הודעה, מידע, ניפוי באגים.
ברירת מחדל: ERROR

logtarget
יעד יומן: שם קובץ, SYSLOG, STDERR או STDOUT. ברירת מחדל: STDERR . רק יומן בודד
ניתן לציין יעד. אם תשנה את logtarget מערך ברירת המחדל ואתה
משתמשים ב-logrotate -- גם כוונן או השבת את הסיבוב בהתאם
קובץ תצורה (למשל /etc/logrotate.d/fail2ban במערכות דביאן).

שקע שם קובץ socket. ברירת מחדל: /var/run/fail2ban/fail2ban.sock . זה משמש עבור
תקשורת עם דמון השרת fail2ban. אל תסיר את הקובץ הזה כאשר
Fail2ban פועל. לא ניתן יהיה לתקשר עם השרת
לאחר מכן.

pidfile
שם קובץ PID. ברירת מחדל: /var/run/fail2ban/fail2ban.pid. זה משמש לאחסון
מזהה תהליך של שרת fail2ban.

dbfile שם קובץ מסד נתונים. ברירת מחדל: /var/lib/fail2ban/fail2ban.sqlite3 זה מגדיר היכן
הנתונים הקבועים עבור fail2ban מאוחסנים. נתונים מתמשכים אלה מאפשרים איסורים להיות
הוחזר והמשך לקרוא קובצי יומן ממיקום הקריאה האחרון כאשר fail2ban
מופעל מחדש. ערך של ללא חתימה משבית תכונה זו.

dbpurgeage
גיל טיהור מסד הנתונים בשניות. ברירת מחדל: 86400 (24 שעות) זה מגדיר את הגיל שבו
יש למחוק איסורים ממסד הנתונים.

כלא תְצוּרָה קבצים) (jail.conf)

האפשרויות הבאות חלות על כל בית סוהר. הם מופיעים בסעיף המציין את
שם הכלא או ב- [בְּרִירַת מֶחדָל] סעיף המגדיר ערכי ברירת מחדל לשימוש אם לא
המפורטים בסעיף הפרטני.

לסנן שם המסנן -- שם הקובץ של המסנן ב-/etc/fail2ban/filter.d/ ללא
סיומת .conf/.local. ניתן לציין מסנן אחד בלבד.

logpath
שמות הקבצים של קובצי היומן שיש לנטר, מופרדים בשורות חדשות. גלובס --
נתיבים המכילים * ו-? או [0-9] -- ניתן להשתמש אך ורק בקבצים הקיימים
בעת ההפעלה תיחשב התאמת דפוס גלוב זה.

ניתן להוסיף לסוף הנתיב את האפשרות 'זנב' המופרדים מרווחים
קובץ היומן שיש לקרוא מהסוף, אחרת אפשרות ברירת המחדל של 'ראש' קוראת קובץ ממנו
תחילת

ודא ש-syslog או התוכנית שיוצרת את קובץ היומן אינם מוגדרים ל
דחוס הודעות יומן חוזרות ונשנות ל"*אחרון הודעה חזר 5 פִּי" אחרת זה
לא יצליח לזהות. זה נקרא RepeatedMsgReduction ב-rsyslog וצריך להיות
כבוי.

קידוד לוגן
קידוד של קבצי יומן המשמשים לפענוח. ערך ברירת המחדל של "אוטומטי" משתמש בזרם
מיקום המערכת.

פעולה פעולות מ /etc/fail2ban/action.d/ בלי ה .conf/.מְקוֹמִי סיומת.
ניתן להעביר טיעונים לפעולות לעקוף את ערכי ברירת המחדל מה-[Init]
סעיף בקובץ הפעולה. הטיעונים מפורטים על ידי:

[name=value,name2=value,name3="values,values"]

ניתן גם לצטט ערכים (נדרש כאשר הערך כולל ","). יותר מזה
ניתן לציין פעולה (בשורות נפרדות).

ignoreip
רשימה של כתובות IP שאסור לאסור. הם יכולים לכלול גם מסכת CIDR.

התעלם מפקודה
פקודה שמתבצעת כדי לקבוע אם ה-IP המועמד הנוכחי לאיסור
אסור לאסור. IP לא ייחסם אם הפקודה תחזור בהצלחה (יציאה
קוד 0). כמו ACTION FILES, תגים כמו הם יכולים להיכלל ב
ערך ignorecommand ויוחלף לפני הביצוע. כרגע בלבד
נתמך, אולם עוד יתווספו בהמשך.

bantime
משך החסימה האפקטיבי (בשניות).

למצוא זמן
מרווח זמן (בשניות) לפני הזמן הנוכחי שבו כשלים ייחשבו
לקראת איסור.

maxretry
מספר הכשלים שצריכים להתרחש באחרונה למצוא זמן שניות לאסור ואז IP.

Backend
אחורי שישמש לאיתור שינויים בנתיב הלוג. ברירת המחדל היא "אוטומטי" אשר
ינסה "pyinotify", "gamin", "systemd" לפני "סקר". כל אחד מאלה יכול להיות
נָקוּב. "pyinotify" תקף רק במערכות לינוקס עם Python "pyinotify".
ספריות. "gamin" דורש את ספריות "gamin".

usedns השתמש ב-DNS כדי לפתור שמות HOST המופיעים ביומנים. כברירת מחדל זה "הזהיר"
אשר יפתור שמות מארחים ל-IP, אולם הוא גם ירשום אזהרה. אם אתה
באמצעות DNS כאן אתה עלול לחסום את כתובות ה-IP הלא נכונות בגלל האופי הא-סימטרי של
DNS הפוך (שהאפליקציה נהגה לכתוב את שם הדומיין ללוג) בהשוואה אליו
העבר DNS ש-fail2ban משתמש בו כדי לפתור את זה בחזרה ל-IP (אך לא בהכרח
אותו אחד). באופן אידיאלי, עליך להגדיר את היישומים שלך לרישום IP אמיתי.
ניתן להגדיר זאת ל"כן" כדי למנוע אזהרות ביומן או "לא" כדי להשבית את ה-DNS
רזולוציה מוחלטת (ולכן מתעלמים מערכים שבהם נרשם שם מארח, לא IP).

כשל רגולרי
regex (Python רגנָחָשׁ expression) שיתווספו ל-failregexes של המסנן. אם זה
שימושי עבור אחרים המשתמשים באפליקציה שלך, אנא שתף ​​את הביטוי הרגולרי שלך
עם מפתחי fail2ban על ידי דיווח על בעיה (ראה דיווח על באגים למטה).

ignoreregex
regex אשר, אם שורת היומן תואמת, יגרום ל-Fail2Ban לא לשקול את הקו הזה.
השורה הזו תתעלם גם אם היא תואמת ל-failregex של הכלא או כל אחד שלו
מסננים.

Backends
האפשרויות הזמינות מפורטות להלן.

pyinotify
דורש התקנה של pyinotify (צג שינוי קבצים). אם pyinotify לא
מותקן, Fail2ban ישתמש אוטומטי.

שׁוֹבָב דורש התקנת Gamin (צג שינוי קבצים). אם גאמין לא
מותקן, Fail2ban ישתמש אוטומטי.

תשאול
משתמש באלגוריתם סקר שאינו דורש ספריות חיצוניות.

system
משתמש בספריית systemd python כדי לגשת ל-systemd journal. מפרט logpath is
לא תקף עבור backend זה ובמקום זאת משתמש journalmatch מבתי הכלא
תצורת המסנן המשויכת.

פעולות
כל כלא יכול להיות מוגדר עם מסנן בודד בלבד, אך עשוי לכלול מספר פעולות. על ידי
ברירת המחדל, שם הפעולה הוא שם קובץ הפעולה, ובמקרה של פעולות Python,
סיומת הקובץ ".py" מופשטת. כאשר יש להשתמש במספרים של אותה פעולה,
מה היא שם מעשה ניתן להקצות אפשרות לפעולה כדי למנוע כפילות, למשל:

[ssh-iptables-ipset]
מופעל = נכון
action = smtp.py[dest=[מוגן בדוא"ל], actname=smtp-chris]
smtp.py[dest=[מוגן בדוא"ל], actname=smtp-sally]

פעולה תְצוּרָה קבצים (action.d/*.conf)

קובצי פעולה מציינים אילו פקודות מבוצעות כדי לחסום ולבטל את החסימה של כתובת IP.

כמו בקבצי jail.conf, אם אתה רוצה שינויים מקומיים צור קובץ [actionname].local פילה
ב /etc/fail2ban/action.d ספרייה ודרוס את ההגדרות הנדרשות.

לקובצי פעולה יש שני חלקים, הַגדָרָה ו ראשית .

הסעיף [Init] מאפשר הגדרות ספציפיות לפעולה. ב jail.conf/jail.local אלה יכולים להיות
מוחלף עבור כלא מסוים כאפשרויות של מפרט הפעולה באותו כלא.

הפקודות הבאות יכולות להיות נוכחות בסעיף [הגדרה].

actionstart
פקודות מבוצעות כאשר הכלא מתחיל.

actionstop
פקודות מבוצעות כאשר הכלא נעצר.

בדיקת פעולה
הפקודות פעלו לפני כל פעולה אחרת. זה נועד לאמת אם הסביבה היא
עדיין בסדר.

איסור פעולה
פקודות האוסרות את כתובת ה-IP לאחר מכן maxretry שורות יומן תואמות בתוך האחרון
למצוא זמן שניות.

actionunban
פקודות שמבטלות את החסימה של כתובת ה-IP לאחר מכן bantime.

הסעיף [Init] מאפשר הגדרות ספציפיות לפעולה. ב jail.conf/jail.local אלה יכולים
יוחלף עבור כלא מסוים כאפשרויות לכלא. הדברים הבאים מיוחדים
תגים שניתן להגדיר בקטע [Init]:

פסק זמן
פרק הזמן המקסימלי בשניות שניתן לבצע פקודה לפני שהיא
נהרג.

פקודות המצוינות בסעיף [הגדרה] מבוצעות דרך מעטפת מערכת כך
הפניית מעטפת ובקרת תהליכים מותרת. הפקודות צריכות להחזיר 0, אחרת
שגיאה תירשם. יתרה מכך אם בדיקת פעולה יציאות עם סטטוס לא-0, זה נלקח בתור
אינדיקציה שסטטוס חומת האש השתנה ו-fail2ban צריך לאתחל את עצמו מחדש
(כלומר בעיה actionstop ו actionstart פקודות). התגים מוקפים ב-<>. כל ה
אלמנטים של [Init] הם תגים שמוחלפים בכל פקודות הפעולה. ניתן להוסיף תגים
על ידי fail2ban-client באמצעות "סט פעולה " פקודה. הוא תג כלומר
תמיד שורה חדשה (\n).

מותר לציין יותר מפקודה בודדת. כל פקודה צריכה להיות על a
שורה נפרדת והוזחה עם רווחים לבנים ללא שורות ריקות. הדוגמה הבאה
מגדיר שתי פקודות לביצוע.

actionban = iptables -I fail2ban- --מָקוֹר -j ירידה
echo ip= , match= , זמן= >> /var/log/fail2ban.log

פעולה תגים
התגים הבאים מוחלפים ב-actionban, actionunban ו-actioncheck (מתי
נקרא לפני פקודות actionban/actionunban).

ip יש לחסום כתובת IPv4. למשל 192.168.0.2

כישלונות
מספר הפעמים שהכשל התרחש בקובץ היומן. למשל 3

ipfailures
לפי כישלונות, אבל סך כל הכשלים עבור כתובת ה-IP הזו בכל בתי הכלא
ממסד הנתונים הקבוע של fail2ban. לכן יש להגדיר את מסד הנתונים לכך
תג לתפקד.

ipjailfailures
לפי ipfailures, אבל סך הכל מבוסס על כשלי ה-IP עבור הכלא הנוכחי.

זמן זמן האיסור של UNIX (תקופה). למשל 1357508484

גפרורים
מחרוזת משורשרת של שורות קובץ היומן של ההתאמות שיצרו את החסימה.
דמויות רבות המתפרשות על ידי פגז נמלטות כדי למנוע הזרקה, בכל זאת
להשתמש בזהירות.

ipmatches
לפי גפרורים, אך כולל את כל השורות עבור ה-IP הכלולות ב-
מסד נתונים מתמיד של fail2ban. לכן יש להגדיר את מסד הנתונים עבור תג זה
פונקציה.

ipjailmatches
לפי ipmatches, אך התאמות מוגבלות עבור ה-IP ועבור הכלא הנוכחי.

פייתון פעולה קבצים

ניתן להשתמש גם בפעולות מבוססות Python, כאשר שם הקובץ חייב להיות [actionname].py. ה
קובץ Python חייב להכיל משתנה פעולה מה שמצביע על מחלקה Python. הכיתה הזו חייבת
ליישם ממשק מינימלי כמתואר על ידי fail2ban.server.action.ActionBase, שיכול
לעבור בירושה כדי להקל על היישום.

סנן קבצים (filter.d/*.conf)

הגדרות המסנן הן אלה שב /etc/fail2ban/filter.d/*.conf ו filter.d/*.local.

אלה משמשים לזיהוי ניסיונות אימות כושלים בקובצי יומן ולחלץ את
כתובת ה-IP של המארח (או שם המארח אם usedns is נָכוֹן).

כמו קובצי פעולה, קבצי סינון הם קובצי ini. החלק העיקרי הוא [הגדרה]
סָעִיף.

ישנן שתי הגדרות מסנן בשימוש בסעיף [הגדרה]:

כשל רגולרי
הוא הביטוי הרגולרי (רגנָחָשׁ expression) שתתאים לניסיונות כושלים. התג
משמש כחלק מהביטוי הרגולרי והוא עצמו ביטוי רגולרי עבור כתובות IPv4 (ו
שמות מארחים אם usedns). Fail2Ban יברר באיזה מהם מדובר בפועל.
עבור ביטויים רגולריים מרובי שורות התג צריך לשמש להפרדת קווים. זֶה
מאפשר המשך חיפוש אחר קווים בין השורות התואמות
כשלים. ניתן להשתמש בתג מספר פעמים.

ignoreregex
הוא הביטוי הרגולרי לזיהוי ערכי יומן ש-Fail2Ban צריך להתעלם מהם, גם אם
הם תואמים ל-failregex.

בדומה לפעולות, למסננים יש קטע [Init] שניתן לעקוף בו
jail.conf/jail.local. קטע המסנן [Init] מוגבל לאפשרויות הבאות:

maxlines
מציין את המספר המרבי של שורות לאגירה כדי להתאים לביטויים רגולריים מרובי שורות. ל
פורמטים מסוימים של יומן זה לא יידרש לשנות. יומנים אחרים עשויים לדרוש
הגדל ערך זה אם נכתב לעתים קרובות לקובץ יומן מסוים.

דפוס תאריך
מציין דפוס תאריך/ביטוי רגיל מותאם אישית כחלופה לתאריך ברירת המחדל
גלאים למשל %Y-%m-%d %H:%M(?::%S)?. לרשימה של הנחיות פורמט חוקיות, ראה
תיעוד ספריית Python עבור התנהגות strptime.
כמו כן, ערכים מיוחדים של תקופה (חותמת זמן של UNIX), TAI64N ו ISO8601 יכול לשמש.
הערה: עקב החלפת מחרוזת קבצי תצורה, יש להמלט על %'s ב-% in
קבצי תצורה.

journalmatch
מציין את התאמת היומן systemd המשמשת לסינון תנועות היומן. לִרְאוֹת
journalctl(1) ו systemd.journal-fields(7) עבור תחביר התאמות ופרטים נוספים על
תחומי כתב עת מיוחדים. אפשרות זו תקפה רק עבור system סוף אחורי.

למסננים יכול להיות גם קטע שנקרא [INCLUDES]. זה משמש לקריאת אחרים
קבצי תצורה.

לפני מציין שהקובץ הזה נקרא לפני הסעיף [הגדרה].

לאחר מציין שקובץ זה נקרא לאחר הסעיף [הגדרה].

השתמש ב-jail.conf0 באינטרנט באמצעות שירותי onworks.net