当您通过fail2ban被屏蔽时，这是客户端终端中的样子吗？

Question

我是新的服务器管理员。我只是在 ubuntu 12.04 VPS 上设置了 fail2ban。我用过这个教程。然后我尝试从朋友的机器上通过 ssh 登录系统。显示“操作超时”。这似乎意味着fail2ban 正在工作——但我想再次检查以确认。当fail2ban阻止您的IP时，这是客户端的样子吗？您的 SSH 登录超时，因为 fail2ban/iptables 不允许它在服务器端启动？

$ ssh -p# user@IP
user@IP's password: 
Permission denied, please try again.
user@IP's password: 
Permission denied, please try again.
user@IP's password: 
^C
$ ssh -p# user@IP
ssh: connect to host IP port #: Operation timed out
$ ssh -p# user@IP
ssh: connect to host IP port #: Operation timed out

Answer 1

如果您查看本教程，它会指出您将看到与您所看到的一致的超时，标题为：Fail2ban - Rackspace 知识中心。

摘录

让我们测试 fail2ban 以确保它按照我们希望的方式运行。我们将通过几次 ssh 登录失败来做到这一点。

我们将使用两台机器：我们要保护的服务器和另一台充当攻击者的机器。

• 攻击机IP：123.45.67.89
• 服务器的IP：98.76.54.32

要运行测试，只需进入攻击机器并尝试 ssh 到您的服务器五次。例如：

   $ ssh fakeuser@98.76.54.32

在第六次尝试（假设您将 ssh 的 maxretry 设置为 5）时，如果您再次尝试 ssh，您的连接应该会超时。

注意：最后一句话就是你所看到的！

您也可以设置fail2ban发送类似于此的电子邮件：

如果您已将 fail2ban 设置为向您发送电子邮件，请检查您是否收到这样的消息：

    From fail2ban@ITSecurity  Thu Jul 16 04:59:24 2009
    Subject: [Fail2Ban] ssh: banned 123.45.67.89
    Hi,

    The ip 123.45.67.89 has just been banned by Fail2Ban after 5 attempts 
    against ssh.

    Here are more information about 123.45.67.89:

    {whois info}

    Lines containing IP:123.45.67.89 in /var/log/auth.log

    Jul 16 04:59:16 example.com sshd[10390]: Failed password for root from 123.45.67.89 port 46023 ssh2
    Jul 16 04:59:18 example.com sshd[10390]: Failed password for root from 123.45.67.89 port 46023 ssh2
    Jul 16 04:59:20 example.com sshd[10390]: Failed password for root from 123.45.67.89 port 46023 ssh2
    Jul 16 04:59:21 example.comsshd[10394]: reverse mapping checking getaddrinfo for 123.45.67.89.example.com [123.45.67.89] failed - POSSIBLE BREAK-IN ATTEMPT!
    Jul 16 04:59:22 example.com sshd[10394]: Failed password for root from 123.45.67.89 port 46024 ssh2

    Regards,

    Fail2Ban

尽管有效，但最好的迹象可能fail2ban是存在一条iptables阻止攻击 IP 地址的新规则。

例如：

iptables -L 

Chain fail2ban-ssh (1 references)
target     prot opt source               destination
DROP       all  --  208-78-96-200.realinfosec.com  anywhere