Eu tenho um site com um script php que pode ser chamado com pouca frequência. Alguns usuários irritantes estão acessando meu script a cada poucos segundos e preciso bani-los. Eu configurei o failban, mas eles não estão sendo capturados. Eu li o wiki e modelei minha configuração após exemplos. Alguém pode me dizer o que não está certo aqui?
Primeiro minha prisão:
[my-checkversion]
enabled = true
filter = checkversion
logpath = /data/logs/mydomain.com-access_log
findtime = 60
bantime = 86400
maxretry = 6
action = iptables[name=HTTP, port=http, protocol=tcp]
Em seguida meu filtro:
[INCLUDES]
before = apache-common.conf
[Definition]
# Example
# 144.217.80.24 - - [02/May/2019:07:02:00 -0500] "POST /hidden/readversion.php HTTP/1.1" 200 -
failregex = ^<HOST> - - \[.*\] "POST <checkversion_url> HTTP/1\.[01]" 200 .*$
ignoreregex =
[Init]
checkversion_url = /hidden/readversion.php
Coloquei um trecho de 1 linha do arquivo de acesso do apache mostrando um usuário acessando a URL em questão em um comentário acima da linha regex.
Alguém pode me dizer o que está errado? É o regex? Os editores de regex online não ajudarão por causa das substituições de variáveis...
Há uma opção com fail2ban para forçá-lo a olhar para um arquivo para tentar suas regras, e imprime se funciona ou não.
Você já olhou
fail2ban-regex <logfile> <fail2ban rule .conf>?