Server administrieren - wo fange ich an?

Zitat von aRaphael

Naja, budcup.de wäre noch frei.

Obwohl:

budcup.de

selinux-ssh? klingt mir als hättest du das falsche Jail aktiviert. es sei denn du nutzt Rocky Linux o.ä....dächte aber du wolltest auf Debian setzen.

Hier ein Auszug aus meiner jail.local eines Debian:

[sshd]
enabled = true
port    = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s
banaction = iptables-allports

[selinux-ssh]
port     = ssh
logpath  = %(auditd_log)s

man beachte, dass [selinux-ssh] nicht enabled wurde, sondern nur [sshd].

fail2ban auch neu gestartet?

Welche jails sind denn tatsächlich aktiviert? Was sagt also

fail2ban-client status

Edit: Ich meine gleich nach dem Start, bevor sich fail2ban wieder beendet. Das hat ja laut Logifle eine gute Viertelstunde gedauert.

Steht irgendwas in der /var/log/syslog oder einer anderen Logdatei, was zu der Zeit passiert ist?

Edit2: Hast du vielleicht versehentlich unter [DEFAULT] alle jails aktiviert? Immerhin deutet der Fehler auf das selinux-ssh jail hin, das du ja eigentlich gar nicht aktiv zu haben glaubst.

Zum Thema fail2ban empfehle ich gerne diesen Artikel zum Thema inkrementelle Bantime.

Ist meiner Ansicht nach eine sehr sinnvolle Ergänzung zu deiner aktuellen Konfiguration.

IPs können sich halt ändern. Wenn du eine IP für immer sperrst besteht die Gefahr dass du Stück für Stück immer mehr berechtigte IPs aussperrst. Dass kann dir bei deinem Server evtl. egal sein, aber wenn du International Besuchet haben willst eventuell nicht.

Und ja, sehr gut aufgepasst. Irgendwelche Anwendungen die nicht richtig abgesichert sind sind der Weg um deinen Server zu hacken. Übrigens kann ich tryhackme.com empfehlen, mach da mal ne Übungsmaschine um dich in einen einfachen Server einzuhacken. Da lernt man viel!

Mit dem Nginx Proxy Manager (Docker) und Netdata auf Dockerbasis könntest Du das mit Basic Auth absichern.

Zitat von Bud

DAS war der Fehler,

ich würd auch die jail.conf nicht nach jail.local kopieren sondern ebendort genau nur die lokalen abweichungen konfigurieren.

Zitat von Bud

Yep, aber warum komme ich trotzdem noch über IP:19999 auf Netdata, obwohl ich den Port aus ufw gelöscht habe?

Hast du die Regeln mit

ufw reload

neu konfigurieren lassen?

Naja, die jail.local ist eigentlich dafür gedacht, dass man darin die Einstellungenen macht, die man eben anders haben will als es in der mitgelieferten jail.conf drinsteht. So ist es eben so updatesicher wie möglich. Steht zuviel drin und man behält die Datei dann auch so bei, wenn durch ein fail2ban-Update die jail.conf - aus möglicherweise guten Gründen - geändert wird, dann kommen diese Änderungen eben nicht zur Anwendung, weil sie in der jail.local mit den alten Werten, mit den Einstellungen aus einer Kopie einer alten jail.conf überschrieben werden. Man kann das auch noch verfeinern, indem man die Änderungen im Verzeichnis /etc/fail2ban/jail.d anlegt. Eine bei systemd gebräuchliche Methode. Bei mir ist da z.B. eine Datei defaults-debian.conf drin. Ich habe die nicht erstellt und sie tut nichts Anderes als das sshd-Jail zu enablen. Falls die Datei so auch bei dir existiert, weisst du dann auch gleich, warum dieses Jail bei dir enabled war, obwohl es in der jail.conf und jail.local nicht drinstand.

Zitat von hoedlmoser

ich würd auch die jail.conf nicht nach jail.local kopieren sondern ebendort genau nur die lokalen abweichungen konfigurieren.

Mache ich auch so.

Meine jail.local ist deshalb auch recht überschaubar.

Ich muss mir dann auch keine großen Sorgen machen, wenn beim nächsten Update von fail2ban die jail.conf irgendwo geändert wird.

jail.conf ist default. jail.local sind deine Anpassungen. NIEMALS die jail.conf anpassen. Kann bei einem Update ueberschrieben werden.

Prinzipiell ist die DeFaAUlt Schreibweise egal. Aber zur besseren Lesbarkeit sollte man klein schreiben.