Firewall, Fail2ban - was funktioniert da nicht?

[technotravel]

Blöde Skriptkiddies arbeiten sich ab an meinem asterisk und müllen mir damit die logs zu

Ein Jail für asterisk existiert, und f2b berichtet auch brav, dass die IP schon gebannt ist (fail2ban.log):

Code: Select all

2026-10-03 11:26:04,982 fail2ban.filter         [363437]: INFO    [asterisk] Found 160.119.76.64 - 2026-10-03 11:26:04
2026-10-03 11:26:05,009 fail2ban.actions        [363437]: WARNING [asterisk] 160.119.76.64 already banned
2026-10-03 11:26:30,105 fail2ban.filter         [363437]: INFO    [asterisk] Found 160.119.76.64 - 2026-10-03 11:26:29

Die IP (sowie eine weitere) greift aber trotzdem unverändert an (asterisk messages):

Code: Select all

[2026-10-03 11:16:32] NOTICE[1743] chan_sip.c: Registration from '<sip:44011@152.53.160.190:26611>' failed for '160.119.76.64:56829' - Wrong password
[2026-10-03 11:16:39] NOTICE[1743] chan_sip.c: Registration from '<sip:2001@152.53.160.190:26611>' failed for '37.49.227.165:51528' - Wrong password

Testweise mal die beiden IPs in der Firewall gesperrt, aber auch das hat nichts gebracht. Hier mein Eintrag:

10-03-2026, 11-29-23.png (10.26 KiB) Viewed 348 times

Wie kann das sein? Da dürfte doch gar nichts reinkommen, auf jeglichem port, oder?

[tab-kh]

Einen Zugriff nach dem ersten Ban sehe ich in deinen Logs nicht. Sie mögen vorhanden sein, aber aus den gezeigten Daten geht nichts derartiges hervor. Die Asterisk-Meldungen sind ja von 10 Minuten früher, danach kam wohl der erste Ban. Nach dem Ban kann die Verbindung aber trotzdem bestehen bleiben, wenn keine der beiden Seiten sie abbricht. Der Angreifer macht sich diese Mühe oft nicht.

So kommen dann meist auch diese "already banned" Warnungen zustande, nämlich wenn dann irgendwann die Verbindung tatsächlich unterbrochen wird. Je nach Filter ergibt das dann auch nochmal eine gefundene Logzeile und man wundert sich, warum das nach dem Ban noch auftreten kann. Das fail2ban.log sagt ja nicht, welcher Teil der regexp jeweils gegriffen hat. Also mal ins Log schauen zum Zeitpunkt der zuoberst angezeigten Fail2ban Logeinträge, um zu sehen, was da Fail2Ban getriggert hat.

Das kann im Prinzip auch nach der manuellen Sperrung in der Firewall noch auftreten, sofern der auslösende Logeintrag von einer bereits vor dem Firewall-Eintrag bestehende Verbindung erzeugt wird. Je nach regexp eben. Eine neue Verbindung darf dann allerdings nicht mehr zustande kommen, sonst haben wir ein echtes Problem.

Bei Fail2Ban dagegen ist die Default-Bantime derJails oft nur 10 Minuten, danach kann es auch wieder eine neue Verbindung geben.

[technotravel]

Sorry - die divergierenden Uhrzeiten waren einfach dem Umstand geschuldet, dass ich das zu unterschiedlichen Zeiten aus den jeweiligen Konsolen kopiert hatte. Ich wollte ja nur ein Beispiel nennen, ohne die zwei jetzt direkt miteinander zu vebinden. Tatsächlich verwirrend - my bad

An der F2B config sollte es nicht liegen:

Code: Select all

[asterisk]
enabled  = true
filter   = asterisk
# Der Pfad zu Ihrem Asterisk-Logfile (Standard bei manueller Installation)
logpath  = /var/log/asterisk/security_log
maxretry = 3
findtime = 1h
bantime  = 24h
backend  = auto

Das kann im Prinzip auch nach der manuellen Sperrung in der Firewall noch auftreten, sofern der auslösende Logeintrag von einer bereits vor dem Firewall-Eintrag bestehende Verbindung erzeugt wird. Je nach regexp eben. Eine neue Verbindung darf dann allerdings nicht mehr zustande kommen, sonst haben wir ein echtes Problem.

Das ist es halt, was mich irritiert hat - war mir nicht bewusst. Und das Log füllte sich fleißig weiter

Nach einem reboot herrschte allerdings sofortige Ruhe. Mal schauen, wie lange ...

Danke für deinen Input, schönes Wochenende!

[technotravel]

Ich muss noch mal auf das Thema zurückkommen, da mein asterisk gerade massiv angegriffen wird:

Code: Select all

2026-10-12 08:20:10,516 fail2ban.filter         [1025]: INFO    [asterisk] Found 160.119.76.55 - 2026-10-12 08:20:10
2026-10-12 08:20:10,806 fail2ban.filter         [1025]: INFO    [asterisk] Found 160.119.76.86 - 2026-10-12 08:20:10
2026-10-12 08:20:10,926 fail2ban.filter         [1025]: INFO    [asterisk] Found 160.119.76.82 - 2026-10-12 08:20:10
2026-10-12 08:20:11,502 fail2ban.actions        [1025]: WARNING [asterisk] 160.119.76.86 already banned
2026-10-12 08:20:13,101 fail2ban.filter         [1025]: INFO    [asterisk] Found 160.119.76.16 - 2026-10-12 08:20:13
2026-10-12 08:20:13,534 fail2ban.actions        [1025]: WARNING [asterisk] 160.119.76.16 already banned
2026-10-12 08:20:13,803 fail2ban.filter         [1025]: INFO    [asterisk] Found 160.119.76.21 - 2026-10-12 08:20:13
2026-10-12 08:20:14,165 fail2ban.filter         [1025]: INFO    [asterisk] Found 160.119.76.51 - 2026-10-12 08:20:14
2026-10-12 08:20:15,178 fail2ban.filter         [1025]: INFO    [asterisk] Found 160.119.76.56 - 2026-10-12 08:20:15
2026-10-12 08:20:16,781 fail2ban.filter         [1025]: INFO    [asterisk] Found 160.119.76.40 - 2026-10-12 08:20:16
2026-10-12 08:20:17,290 fail2ban.filter         [1025]: INFO    [asterisk] Found 160.119.76.15 - 2026-10-12 08:20:17
2026-10-12 08:20:17,536 fail2ban.actions        [1025]: WARNING [asterisk] 160.119.76.40 already banned
2026-10-12 08:20:17,992 fail2ban.filter         [1025]: INFO    [asterisk] Found 160.119.76.52 - 2026-10-12 08:20:17
2026-10-12 08:20:18,196 fail2ban.filter         [1025]: INFO    [asterisk] Found 160.119.76.151 - 2026-10-12 08:20:18
2026-10-12 08:20:18,548 fail2ban.filter         [1025]: INFO    [asterisk] Found 160.119.76.72 - 2026-10-12 08:20:18
2026-10-12 08:20:18,648 fail2ban.filter         [1025]: INFO    [asterisk] Found 160.119.76.85 - 2026-10-12 08:20:18

Laut der F2B Anzeige ist zum Beispiel die letzte IP der Liste (160.119.76.85) aber bereits gesperrt:

Wie ist es möglich, dass es diese IP dann trotzdem noch versuchen kann? Ich verstehe es einfach nicht - würde erwarten, dass die sofort geblockt wird.

Habe ich da einen Denkfehler? Oder ist bei mir etwas nicht korrekt konfiguriert? Hilfe ...

[Daniel]

Hallo,

wie wird der Asterisk betrieben?
Ist dieser direkt parallel zu Keyhelp installiert?

[technotravel]

Hallo, verstehe nicht ganz, was du mit "paralell" meinst.

Also er läuft nicht in einem Container oder so. Selber kompiliert. Nicht als Programm in KH angemeldet.

Aber halt natürlich auf demselben Vserver.

[technotravel]

Update:

plötzlich um kurz vor 10h00 kehrte Ruhe ein. Hält bis jetzt. Hatte nichts unternommen.

Code: Select all

[2026-10-12 09:59:17] NOTICE[2085] chan_sip.c: Registration from '<sip:8086@152.53.160.190:26611>' failed for '160.119.76.15:58381' - Wrong password
[2026-10-12 09:59:18] NOTICE[2085] chan_sip.c: Registration from '<sip:7586@152.53.160.190:26611>' failed for '160.119.76.86:49942' - Wrong password
[2026-10-12 09:59:28] NOTICE[2085] chan_sip.c: Registration from '<sip:8576@152.53.160.190:26611>' failed for '160.119.76.55:55635' - Wrong password
[2026-10-12 09:59:30] NOTICE[2085] chan_sip.c: Registration from '<sip:8086@152.53.160.190:26611>' failed for '160.119.76.15:58381' - Wrong password
[2026-10-12 09:59:31] NOTICE[2085] chan_sip.c: Registration from '<sip:7586@152.53.160.190:26611>' failed for '160.119.76.86:49942' - Wrong password
[2026-10-12 09:59:43] NOTICE[2085] chan_sip.c: Registration from '<sip:8086@152.53.160.190:26611>' failed for '160.119.76.15:58381' - Wrong password
[2026-10-12 09:59:44] NOTICE[2085] chan_sip.c: Registration from '<sip:7586@152.53.160.190:26611>' failed for '160.119.76.86:49942' - Wrong password
[2026-10-12 09:59:58] NOTICE[2085] chan_sip.c: Registration from '<sip:7586@152.53.160.190:26611>' failed for '160.119.76.86:49942' - Wrong password
[2026-10-12 17:55:39] NOTICE[2085] chan_sip.c: Peer '555' is now UNREACHABLE!  Last qualify: 24
[2026-10-12 18:07:46] NOTICE[2085] chan_sip.c: Peer '555' is now Reachable. (22ms / 2000ms)

Vielleicht der Yandex Effekt haha