web-dev-qa-db-ja.com

FirewallDが「拒否」ルールでIPをブロックしないのはなぜですか？

私の設定は次のとおりです。

fail2banFirewallDを使用してキャッチされたIPをブロックするいくつかの刑務所（正常に動作）。

これが私のデフォルトのファイアウォールです：

myzone
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: rcsa dhcpv6-client http https
  ports: 80/tcp 443/tcp
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
        rule family="ipv4" source address="79.48.51.171" port port="3306" protocol="tcp" accept
        rule family="ipv4" source address="155.121.53.253" port port="22" protocol="tcp" accept
        rule family="ipv4" source address="79.48.51.171" port port="22" protocol="tcp" accept

したがって、ポート80および443/tcpは開いています。

次に、（オンラインプロキシを使用して）いくつかのfail2banルールをトリガーし、ファイアウォールでこれを取得します。

myzone
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: rcsa dhcpv6-client http https
  ports: 80/tcp 443/tcp
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
        rule family="ipv4" source address="79.48.51.171" port port="3306" protocol="tcp" accept
        rule family="ipv4" source address="155.121.53.253" port port="22" protocol="tcp" accept
        rule family="ipv4" source address="79.48.51.171" port port="22" protocol="tcp" accept
        rule family="ipv4" source address="37.58.58.206" port port="http" protocol="tcp" reject type="icmp-port-unreachable"
        rule family="ipv4" source address="37.58.58.206" port port="https" protocol="tcp" reject type="icmp-port-unreachable"

そのため、2つの新しいルールが追加されました。結構です。それでも、そのIPは拒否されませんであり、FirewallDのルールにもかかわらず、サーバーをフラッディングし続けます。

これに何か問題がありますか？ UFWからFirewallDに切り替えています。

fail2banfirewalldubuntu-18.04ipset
3
acs-f

Debian/Ubuntuには、firewalldのデフォルトの禁止措置がありません。これは、これらのディストリビューションのデフォルトのファイアウォールではないためです。

Fail2banが禁止されたアドレスを挿入し、ファイアウォールから呼び出されるipsetを作成するには、banaction = firewallcmd-ipsetを設定する必要があります。 Red Hatシステムは、デフォルトでfirewalldを使用するため、すでにこの構成ビットを含んでいます。したがって、/etc/fail2ban/jail.d/00-firewalld.confで、それらに含まれているのと同じファイルを簡単に作成できます。

[DEFAULT]
banaction = firewallcmd-ipset
2
Michael Hampton