Firewall, Fail2ban - was funktioniert da nicht?

[technotravel]

Blöde Skriptkiddies arbeiten sich ab an meinem asterisk und müllen mir damit die logs zu

Ein Jail für asterisk existiert, und f2b berichtet auch brav, dass die IP schon gebannt ist (fail2ban.log):

Code: Select all

2026-10-03 11:26:04,982 fail2ban.filter         [363437]: INFO    [asterisk] Found 160.119.76.64 - 2026-10-03 11:26:04
2026-10-03 11:26:05,009 fail2ban.actions        [363437]: WARNING [asterisk] 160.119.76.64 already banned
2026-10-03 11:26:30,105 fail2ban.filter         [363437]: INFO    [asterisk] Found 160.119.76.64 - 2026-10-03 11:26:29

Die IP (sowie eine weitere) greift aber trotzdem unverändert an (asterisk messages):

Code: Select all

[2026-10-03 11:16:32] NOTICE[1743] chan_sip.c: Registration from '<sip:44011@152.53.160.190:26611>' failed for '160.119.76.64:56829' - Wrong password
[2026-10-03 11:16:39] NOTICE[1743] chan_sip.c: Registration from '<sip:2001@152.53.160.190:26611>' failed for '37.49.227.165:51528' - Wrong password

Testweise mal die beiden IPs in der Firewall gesperrt, aber auch das hat nichts gebracht. Hier mein Eintrag:

10-03-2026, 11-29-23.png (10.26 KiB) Viewed 64 times

Wie kann das sein? Da dürfte doch gar nichts reinkommen, auf jeglichem port, oder?

[tab-kh]

Einen Zugriff nach dem ersten Ban sehe ich in deinen Logs nicht. Sie mögen vorhanden sein, aber aus den gezeigten Daten geht nichts derartiges hervor. Die Asterisk-Meldungen sind ja von 10 Minuten früher, danach kam wohl der erste Ban. Nach dem Ban kann die Verbindung aber trotzdem bestehen bleiben, wenn keine der beiden Seiten sie abbricht. Der Angreifer macht sich diese Mühe oft nicht.

So kommen dann meist auch diese "already banned" Warnungen zustande, nämlich wenn dann irgendwann die Verbindung tatsächlich unterbrochen wird. Je nach Filter ergibt das dann auch nochmal eine gefundene Logzeile und man wundert sich, warum das nach dem Ban noch auftreten kann. Das fail2ban.log sagt ja nicht, welcher Teil der regexp jeweils gegriffen hat. Also mal ins Log schauen zum Zeitpunkt der zuoberst angezeigten Fail2ban Logeinträge, um zu sehen, was da Fail2Ban getriggert hat.

Das kann im Prinzip auch nach der manuellen Sperrung in der Firewall noch auftreten, sofern der auslösende Logeintrag von einer bereits vor dem Firewall-Eintrag bestehende Verbindung erzeugt wird. Je nach regexp eben. Eine neue Verbindung darf dann allerdings nicht mehr zustande kommen, sonst haben wir ein echtes Problem.

Bei Fail2Ban dagegen ist die Default-Bantime derJails oft nur 10 Minuten, danach kann es auch wieder eine neue Verbindung geben.

[technotravel]

Sorry - die divergierenden Uhrzeiten waren einfach dem Umstand geschuldet, dass ich das zu unterschiedlichen Zeiten aus den jeweiligen Konsolen kopiert hatte. Ich wollte ja nur ein Beispiel nennen, ohne die zwei jetzt direkt miteinander zu vebinden. Tatsächlich verwirrend - my bad

An der F2B config sollte es nicht liegen:

Code: Select all

[asterisk]
enabled  = true
filter   = asterisk
# Der Pfad zu Ihrem Asterisk-Logfile (Standard bei manueller Installation)
logpath  = /var/log/asterisk/security_log
maxretry = 3
findtime = 1h
bantime  = 24h
backend  = auto

Das kann im Prinzip auch nach der manuellen Sperrung in der Firewall noch auftreten, sofern der auslösende Logeintrag von einer bereits vor dem Firewall-Eintrag bestehende Verbindung erzeugt wird. Je nach regexp eben. Eine neue Verbindung darf dann allerdings nicht mehr zustande kommen, sonst haben wir ein echtes Problem.

Das ist es halt, was mich irritiert hat - war mir nicht bewusst. Und das Log füllte sich fleißig weiter

Nach einem reboot herrschte allerdings sofortige Ruhe. Mal schauen, wie lange ...

Danke für deinen Input, schönes Wochenende!