Fail2ban - postfix jail funktioniert nicht
Posted: Sat 4. May 2024, 16:57
Ich bin sicher, dass die Ursache des Problems bei KeyHelp liegt
(Probleme ohne KeyHelp-Bezug gehören ins Offtopic-Forum)
ja
Server-Betriebssystem + Version
Debian 12.5 (64-bit)
Eingesetzte Server-Virtualisierung-Technologie
KVM
KeyHelp-Version + Build-Nummer
(24.0 (Build 3220)
Es gab ja schon einige Threads zum Thema Fail2ban, aber ich wollte mich nicht direkt dranhängen - mir geht es hier hauptsächlich um das Postfix Jail (nicht Dovecot), und außerdem bin ich auf Debian (nicht Ubuntu).
Seit ich den Server neu aufgesetzt habe, hat Fail2ban mit den KH-Jails keine einzige IP blockiert (also, wann immer ich auf der Panelseite nachgesehen habe). Dabei schwirren mir bei journalctl -f die "SASL LOGIN authentication failed" etwa im Sekundentakt um die Ohren. Das mag man als Hintergrundrauschen abtun, aber ich würde diese Plagegeister schon gern ein wenig eingedämmt wissen ... dafür ist Fail2ban ja gedacht.
Kürzlich haben aber die scriptkiddies den weg vom Standard verlegten SIP-Port meines asterisk-servers entdeckt und begonnen, den heftig zu beackern. Nach einigen erforderlichen Änderungen im asterisk-eigenen logging habe ich dann in der jail.local eine Sektion asterisk aktiviert, und Fail2ban hat auch gleich mehrere Dutzend IPs blockiert. Seltsamerweise konnte ich dies zwar in der Konsole sehen (fail2ban-client status asterisk), nicht aber im Panel. Dort erscheint zwar das Jail asterisk, aber immer mit 0 im Ergebnis, auch wenn die Konsole zur selben Zeit z.B. 94 ausgab.
Aktuell herrscht Ruhe an der asterisk Front, es scheint also schon was zu bewirken, die attackierenden IPs wenigstens eine Weile lang zu blockieren. Umsomehr irritiert es mich, dass dies mit dem postfix Jail nicht funktioniert.
Ich habe habe in der jail.local ein wenig experimentiert (z.B. eine action hinzugefügt, oder das backend auf systemd[journalflags=1] erweitert), hat aber alles nichts geändert.
Sonstige Änderungen an Fail2ban meinerseits waren ausschließlich in der jail.local:
und halt die erwähnte asterisk Sektion.
Wie könnte ich das kh-postfix Jail (und alle andren KH-Jails) zum Laufen kriegen?
(Probleme ohne KeyHelp-Bezug gehören ins Offtopic-Forum)
ja
Server-Betriebssystem + Version
Debian 12.5 (64-bit)
Eingesetzte Server-Virtualisierung-Technologie
KVM
KeyHelp-Version + Build-Nummer
(24.0 (Build 3220)
Es gab ja schon einige Threads zum Thema Fail2ban, aber ich wollte mich nicht direkt dranhängen - mir geht es hier hauptsächlich um das Postfix Jail (nicht Dovecot), und außerdem bin ich auf Debian (nicht Ubuntu).
Seit ich den Server neu aufgesetzt habe, hat Fail2ban mit den KH-Jails keine einzige IP blockiert (also, wann immer ich auf der Panelseite nachgesehen habe). Dabei schwirren mir bei journalctl -f die "SASL LOGIN authentication failed" etwa im Sekundentakt um die Ohren. Das mag man als Hintergrundrauschen abtun, aber ich würde diese Plagegeister schon gern ein wenig eingedämmt wissen ... dafür ist Fail2ban ja gedacht.
Kürzlich haben aber die scriptkiddies den weg vom Standard verlegten SIP-Port meines asterisk-servers entdeckt und begonnen, den heftig zu beackern. Nach einigen erforderlichen Änderungen im asterisk-eigenen logging habe ich dann in der jail.local eine Sektion asterisk aktiviert, und Fail2ban hat auch gleich mehrere Dutzend IPs blockiert. Seltsamerweise konnte ich dies zwar in der Konsole sehen (fail2ban-client status asterisk), nicht aber im Panel. Dort erscheint zwar das Jail asterisk, aber immer mit 0 im Ergebnis, auch wenn die Konsole zur selben Zeit z.B. 94 ausgab.
Aktuell herrscht Ruhe an der asterisk Front, es scheint also schon was zu bewirken, die attackierenden IPs wenigstens eine Weile lang zu blockieren. Umsomehr irritiert es mich, dass dies mit dem postfix Jail nicht funktioniert.
Ich habe habe in der jail.local ein wenig experimentiert (z.B. eine action hinzugefügt, oder das backend auf systemd[journalflags=1] erweitert), hat aber alles nichts geändert.
Sonstige Änderungen an Fail2ban meinerseits waren ausschließlich in der jail.local:
Code: Select all
[DEFAULT]
logtimezone = UTC+0200
ignoreip = meine IPWie könnte ich das kh-postfix Jail (und alle andren KH-Jails) zum Laufen kriegen?
- schaue ich mal, wie schwer sich mein neuer netcup ARM64 Server damit tut, beides zu übernehmen. Wichtige Mailadressen/Postfächer laufen sowieso schon länger (teils nur ausgehend) nicht mehr über eigene Server, sondern über die grüne Mailbox aus Berlin, was auch Zustellprobleme minimiert. 
), nehme ich erst mal einen der beiden noch eine Weile laufenden Strato VC4-8 für die Mailboxen. Die sind auch beide schon Debian 12 Keyhelp-Server. Dann muss man halt mal sehen, wie es danach weitergeht
