Bonjour à tous,
 
Voilà, j'ai mon petit serveur @home tout tranquille dans son coin d'Internet, ET j'ai des boulets qui tentent de passer en brute force sur mon serveur FTP derrière leur proxy  .
 
Ce que j'aimerai   :
Que fail2ban fasse son job pour pure-ftpd comme pour les autres (comprendre le serveur ssh, mail, apache).
 
Le problème   :
Eh bah il le fait pas !
 
J'ai fais pas mal de recherche sur ce problème, et à part des problèmes de regex merdées dans /etc/fail2ban/filter.d/pure-ftpd.conf j'ai rien trouvé.
J''en ai vu qui disait que ça marchait avec la regex d'origine, d'autre qu'il fallait échapper les caractères spéciaux, toussa, j'ai essayé différente regex, mais rien ne fonctionne, les vilains pas beau reviennent toujours .
Pour vous faire une idée voici mon fichier de conf :

 
J'ai essayé la requête avec un petit grep avec cette regex un peu modifié (pas de <HOST> avec grep) sur le fichier de log avec succès, donc je soupçonne cet alias <HOST> de merder, même si sans l'alias ça ne fonctionne pas plus , mais pourtant il est indiqué qu'il le faut pour pouvoir capturer l'ip à bannir...
 
Quelqu'un utilise fail2ban avec pure-ftpd sur une debian lenny et aurait rencontré ce problème?
Ou une nouvelle piste sur laquelle chercher?
 
 
Merci d'avoir lu =)

Je n'ai pas activé fail2ban pour mon pure-ftpd, je vais essayer et je te tiens au courant.

Merci bien!

Tu as ajouté une section dans le jail.conf ?

Ouaip je te montre :

 
pour la ligne "port = ftp,ftp-data,ftps,ftps-data" j'ai essayé avec seulement "ftp" et avec les autres, mais rien n'a changé...

Alors : l'expression "livrée" avec fail2ban n'a pas l'air de fonctionner. fail2ban démarre mais ne détecte rien. Par contre avec celle que tu as indiqué dans ton fichier je n'ai pas de problème :  

 
 
Voici mon filter.d/pure-ftpd.conf :

 
Et un extrait de mon jail.conf :

 
Donc je ne vois pas d'où ça vient. Dans le log de fail2ban, quand tu lance le service tu as bien quelque chose comme ça ?

Ça marche! En fait j'avais un apostrophe qui s'était glissé à la fin de ma regex lorsque j'ai fais un copier coller de celle-ci suite à mon essai avec grep ce qui fait qu'elle ne fonctionnait pas    
 
Merci beaucoup!
 
EDIT : le seul truc que j'ai pas compris c'est ce message de fail2ban au restart :

M'enfin ça marche très bien avec seulement le port "ftp", donc bon, en attendant je scrute toujours mes logs (vive logcheck) au cas où un petit malin arriverait quand même à jouer avec mon serveur .
 
NB: sujet résolu!

Si tu précises le port 20 au lieu du ftp-data ?

La même chose ...
 
M'enfin de toute façon ça marche avec seulement le port 21, donc pas de quoi s'inquièter

Je ne savais pas que les règles de base étaient foireuses, quand je l'essaye (Fail2ban) sur mon serveur SSH, ça ne faire rien. Je vais le réinstaller et chercher

Personnellement je n'ai eu que la règle de pure-ftpd qui était foireuse, le reste fonctionne très bien à partir du moment où tu modifie bien le port de chaque service dans /etc/services .
 
J'ai cherché pendant bien 1h la première fois avant de penser à changer le port SSH par défaut utilisé par le système .

Moi ma config pour SSH était bonne dès le début. Aucun port à modifier  

Je ne suis pas sur le port par défaut sur mon serveur SSH c'est pour ça

Ah OK

Personnellement, j'écoute aussi sur le port 22 mais quand je simule une attaque, il s'en fout

Ton /etc/services est correctement configuré ? Normalement aucune modification à faire, mais on sait jamais. Vérifie aussi tes regex, voilà les miennes (c'est celles par défaut) :