Beiträge von masterspirit

Zitat von MoritzJ

/etc/nftables/fail2ban.conf (edit)

Code

#!/usr/sbin/nft -f

# Use ip as fail2ban doesn't support ipv6 yet
table ip fail2ban {
        chain input {
                # Assign a high priority to reject as fast as possible and avoid more complex rule evaluation
                type filter hook input priority 100;
        }
}

Ich würde die Datei ganz weg lassen, die Einstellungen werden schon in der /etc/fail2ban/action.d/nftables.conf gesetzt, und dort für ip4 und ip6.

In der /etc/fail2ban/action.d/nftables-common.local am besten die Tabellendefinition auch weg lassen, sonst überschreibt sie den Wert in der .conf, da wird die Tabelle ja schon auf inet gesetzt.

Die priority kann ja auch in der .local gesetzt werden, allerdings sollte der Wert negativ sein. Je niedriger der Wert, desto früher ist die Regel dran.
Die Input Chain hat standardmäßig 0, daher sollte die f2b-chain höchstens -1 haben.

# nft list ruleset >

table inet f2b-table {
    set addr-set-sshd {
        type ipv4_addr
        elements = {  }
    }
    set addr6-set-sshd {
        type ipv6_addr
        elements = { }
    }
    chain f2b-chain {
        type filter hook input priority filter - 1; policy accept;
            tcp dport { 22 } ip saddr @addr-set-sshd drop
            tcp dport { 22 } ip6 saddr @addr6-set-sshd drop
    }
}