fail2ban 不会将 IP 添加到 ipset (firewalld)

Question

由于某种原因我无法弄清楚，Fail2Ban 拒绝将 IP 地址添加到 ipset/firewalld。

我被一个中国 IP 地址强制使用，Fail2Ban 似乎确实试图禁止它（至少它出现在 fail2ban-client status sshd 命令中），但它实际上并没有停止对服务器进行暴力破解，而且它没有不会出现在 ipset/iptables/firewalld 中。

fail2ban 客户端状态 sshd：

[root@GITserver alex]# fail2ban-client status sshd
Status for the jail: sshd
|- Filter
|  |- Currently failed: 2
|  |- Total failed: 93613
|  `- File list:    /var/log/secure
`- Actions
   |- Currently banned: 2
   |- Total banned: 1003
   `- Banned IP list:   61.177.172.17 95.103.88.106

ipset/防火墙：

[root@GITserver alex]# ipset list
[root@GITserver alex]# firewall-cmd --direct --get-all-rules
[root@GITserver alex]#

有任何想法吗？可以根据要求添加更多日志

编辑，仍然没有解决方案，仍然被蛮力和 DDoS 攻击，这里是完整的 /var/log/fail2ban.log 如果它可能有帮助https://paste.fedoraproject.org/paste/Y5aPF8~WY~fpuhaZBDo7Ml5M1UNdIGYhyRLivL9gydE=/raw (警告：11mb）

任何建议都将受到高度赞赏。还在攻击中。

Edit2：查看日志它似乎仍然使用 iptables，即使 /etc/fail2ban/jail.d/00-firewalld.conf 定义了 banaction=firewallcmd-ipset。我编辑了主要的 jail.conf 来解决这个问题，但它什么也没改变。您可以在上面的日志中看到重新加载后的输出。

Answer 1

检查以确保您的系统上确实存在firewallcmd-ipset；它在 CentOS 7.3 及更高版本上不再存在。

这种基于firewalld的解决方法重新创建firewallcmd-ipset。我即将在我的系统上实现它。