SMG2016: fail2ban на 3.5.1

[borisk]

Добрый день!

Сделали мне сегодня DDoS железки, причем fail2ban был включен. Сделали посылая кучу INVITE (несколько десятков в секунду). Вот и захотел я тщательно разобраться как же все-таки настроен fail2ban на SMG. Полез в системные конфиги и... сломал мозг Что я нашел:
1) каталог /tmp/disk/fail2ban - с пустыми blacklist и whitelist (хотя в логах система пишет, например: Адрес '88.150.240.102' заблокирован на 3600+ сек. по причине: 'SIP: Too many requests from address'). И в веб конфигураторе на закладке fail2ban все списки пусты, хотя я отлично помню, что в 3.4.2 там были IP, и много IP.
2) файл /etc/config/scripts/fail2ban весьма лаконичного содержания
3) запущенный /sbin/sshguard
4) все, больше ничего не нашел

Из вышеизложенного сделал вывод, что в системе на самом деле не fail2ban, а sshguard. Но, (тысяча чертей!), я не понимаю как он настроен!
Уважаемая техподдержка, разъясните, пожалуйста.

[Dmitriy_eltex]

Здравствуйте.
Пришлите файл конфигурации cfg.yaml мне в личку.
Посмотрим как настроен.

Проблема сейчас воспроизводится у вас?

[Dmitriy_eltex]

1. система защиты SMG строится на кодовой базе проекта sshguard
2. в системе конфигурирования используется термин fail2ban т.к. это "говорящее название" для системы защиты, но к реальному проекту fail2ban наша система защиты отношения не имеет
3. "как настроен" - зависит от конкретных настроек в конфигурации в разделе "Безопасность - Fail2ban"
в общем принцип блокировки адреса можно описать так: "N ошибок авторизации/установления вызова - бан на M секунд", по-умолчанию N=3 и M=600
4. изначально блокировка временная, т.е. через некоторое время бан с адреса снимается, если же источник продолжает опасную деятельность, то после нескольких временных блокировок (по-умолчанию 4) адрес попадает в черный список.

Если система пишет "Адрес '88.150.240.102' заблокирован на 3600+ сек. по причине: 'SIP: Too many requests from address'"
значит блокировка работает.

[borisk]

Дмитрий, нет, я имел в виду именно где посмотреть конфигурационные файлы sshguard, по каким критериям он блокирует. В частности блокирует ли именно шторм INVITE? Ну и отвечая на предыдущий вопрос - поскольку железка боевая, то ждать и эксперементировать не стал, а прикрутил firewall к внешним интерфейсам и инцидентов больше нет.

Настройка у меня тривиальная (если все же надо, пришлю конфиг):

Параметры fail2ban
Включить +
Время блокировки, с 3600
Время прощения, с 1800
Количество попыток 3
доступа
Количество временных 4
блокировок
Прогрессирующая блокировка