Fail2ban verursacht load [GELÖST]

[passi]

Hallo zusammen,

ich habe das Problem, dass Fail2ban CPU Last und load verursacht. Wenn ich fail2ban stoppe, läuft das System ruhig.
Da die auth.log relativ groß wird, durch den minütlichen Cron von KH, habe ich die auth.log neu erstellt, jedoch bleibt das CPU/load Problem.

Ich hatte den SSH Port geändert und in der KH Firewall auch angepasst. Dort lief die Übernahme beim ersten Versuch in Fehler. Der zweite Versuch wurde von KH erfolgreich umgesetzt.
Wenn ich mir den f2b Log anschaue, finde ich aber folgenden Inhalt: (f2b wurde von mir gestoppt)

Code: Select all

2018-09-02 09:42:27,816 fail2ban.server         [7270]: INFO    Stopping all jails
2018-09-02 09:42:28,875 fail2ban.jail           [7270]: INFO    Jail 'keyhelp-phpmyadmin' stopped
2018-09-02 09:42:29,730 fail2ban.action         [7270]: ERROR   iptables -w -D fail2ban -p tcp -m multiport --dports SSHPort -j f2b-sshd
iptables -w -F f2b-sshd
iptables -w -X f2b-sshd -- stdout: b''
2018-09-02 09:42:29,731 fail2ban.action         [7270]: ERROR   iptables -w -D fail2ban -p tcp -m multiport --dports SSHPort -j f2b-sshd
iptables -w -F f2b-sshd
iptables -w -X f2b-sshd -- stderr: b'iptables: Too many links.\n'
2018-09-02 09:42:29,731 fail2ban.action         [7270]: ERROR   iptables -w -D fail2ban -p tcp -m multiport --dports SSHPort -j f2b-sshd
iptables -w -F f2b-sshd
iptables -w -X f2b-sshd -- returned 1
2018-09-02 09:42:29,731 fail2ban.actions        [7270]: ERROR   Failed to stop jail 'sshd' action 'iptables-multiport': Error stopping action
2018-09-02 09:42:29,731 fail2ban.jail           [7270]: INFO    Jail 'sshd' stopped
2018-09-02 09:42:29,733 fail2ban.server         [7270]: INFO    Exiting Fail2ban

Könnte das schon meine CPU Last verursachen?
Ich habe den SSH Port in der KH Firewall angepasst, sowie in der Jail.conf unter [sshd].

Vielen Dank!

[passi]

Die Fehlermeldungen im Log sind mittlerweile weg. Ich habe die Firewall Regeln nochmal ausführen lassen und jetzt taucht das nicht mehr auf.

Dennoch verursacht Fail2Ban weiterhin load. Hat das Problem sonst keiner?

[Daniel]

Hallo,

die Last wird meist durch das Durchsuchen der Logs verursacht. Je nach System kommt hier ggf. noch eine hohe IO-wait dazu, durch welche das System noch zäher arbeitet.

Die Fehlermeldung könnte durch fehlgeschlagene flushes der Firewall erzeugt werden. Waren zu dem Zeitpunkt die fail2ban chains vorhanden?

[passi]

Vielen Dank für die Antwort.

Aber das dadurch der load erhöht ist, war vor einigen Monaten noch nicht der Fall. Oder ist es mir nur nicht aufgefallen?
Ich lege nun in gewissen Abständen eine neue auth.log an, damit Fail2ban nicht mehr alles durchsuchen muss.

Die Fehlermeldung ist, wie oben geschrieben, seit dem ich die Firewall Regeln neu von KH ausführen lassen habe, weg.