Fail2Ban und dovecot

[Darkside2009]

seit einiger zeit sehe ich folgende einträge in der mail.log

Quote:Feb 17 04:05:43 server85195 postfix/smtpd[2543]: connect from 118-167-11-149.dynamic.hinet.net[118.167.11.149]
Feb 17 04:05:46 server85195 dovecot: Bad username "inna" from unknown ip to smtp server
Feb 17 04:05:46 server85195 dovecot: auth(default): dovecot: Bad username "inna" from unknown ip to smtp server
Feb 17 04:05:47 server85195 postfix/smtpd[2543]: warning: 118-167-11-149.dynamic.hinet.net[118.167.11.149]: SASL LOGIN authentication failed: UGFzc3dvcmQ6

wer kann mir dafür eine Failregex zeile geben die ich in der /fail2ban/filter.d/dovecot.conf eintragen kann, damit diese ip von fail2ban gesperrt wird ?

danke schon mal

[TheCry]

http://wiki.dovecot.org/HowTo/Fail2Ban

Ich denke das ist doch das was Du suchst, oder?

[Darkside2009]

(02-19-2010 05:35 AM)TheCry Wrote:  http://wiki.dovecot.org/HowTo/Fail2Ban

Ich denke das ist doch das was Du suchst, oder?

das hatte ich auch schon gefunden. nur wenn ich das mit diesen einstellungen testen möchte, gibt es wieder fehler......

Quote:server85195:~# fail2ban-regex /var/log/mail.log /etc/fail2ban/filter.d/dovecot.conf

Running tests
=============

Use regex file : /etc/fail2ban/filter.d/dovecot.conf
Use log file : /var/log/mail.log


Results
=======

Failregex
|- Regular expressions:
| [1] (?: pop3-login|imap-login): (?:Authentication failure|Aborted login \(auth failed|Disconnected \(auth failed).*rip=(?P<host>\S*),.*
|
`- Number of matches:
[1] 0 match(es)

Ignoreregex
|- Regular expressions:
|
`- Number of matches:

Summary
=======

Sorry, no match

Look at the above section 'Running tests' which could contain important
information.

[BeNe]

Ist zwar schon fast ein Jahr her als ich darüber geschrieben habe,
aber schau es Dir einfach mal an.

--> http://www.deluxe-stylez.de/2009/03/05/d...an-sichern

Greez BeNe

[Darkside2009]

(02-19-2010 05:00 PM)BeNe Wrote:  Ist zwar schon fast ein Jahr her als ich darüber geschrieben habe,
aber schau es Dir einfach mal an.

--> http://www.deluxe-stylez.de/2009/03/05/d...an-sichern

Greez BeNe

Thx..... aber das hatte ich auch schon durch Freund Google gefunden. Mit diesen Einstellungen erhalte ich folgende ausgabe :

Quote:No 'host' group in '(?:imap|pop3)-login: Disconnected: user=<.*>, method=(?:LOGIN|PLAIN|(?:CRAM|DIGEST)-MD5), rip=, lip'
Cannot remove regular expression. Index 0 is not valid

Results
=======

Failregex
|- Regular expressions:
| [1] (?:imap|pop3)-login: Disconnected: user=<.*>, method=(?:LOGIN|PLAIN|(?:CRAM|DIGEST)-MD5), rip=, lip
|
`- Number of matches:
[1] 0 match(es)

Ignoreregex
|- Regular expressions:
|
`- Number of matches:

Summary
=======

Sorry, no match

Look at the above section 'Running tests' which could contain important
information.

Sieht so aus, das fail2ban garnicht auf die logausgabe greift die ich im ersten post eingefügt habe.

[BeNe]

Zum Post #3 nochmals.
Du schreibst von einem "Fehler". Sind denn solche Einträge in der jetzigen mail.conf enthalten ?

Habe grad eben mal das Standard REGEX aus dem Dovecot wiki genommen welches sauber bei mir funktioniert.

Greez BeNe

[Darkside2009]

(02-19-2010 08:32 PM)BeNe Wrote:  Zum Post #3 nochmals.
Du schreibst von einem "Fehler". Sind denn solche Einträge in der jetzigen mail.conf enthalten ?

Habe grad eben mal das Standard REGEX aus dem Dovecot wiki genommen welches sauber bei mir funktioniert.

Greez BeNe

" Fehler " ist evtl falsch ausgedrückt........
es geht sich darum, das fail2ban nicht auf die sachen reagiert wie in meinem 1. post zu sehen.

meine mail.conf sieht so aus :

Quote:# Fail2Ban configuration file
#
# Author: Cyril Jaquier
#
# $Revision: 660 $
#

[Definition]

# Option: actionstart
# Notes.: command executed once at the start of Fail2Ban.
# Values: CMD
#
actionstart = printf %%b "Hi,\n
The jail <name> has been started successfully.\n
Regards,\n
Fail2Ban"|mail -s "[Fail2Ban] <name>: started" <dest>

# Option: actionstop
# Notes.: command executed once at the end of Fail2Ban
# Values: CMD
#
actionstop = printf %%b "Hi,\n
The jail <name> has been stopped.\n
Regards,\n
Fail2Ban"|mail -s "[Fail2Ban] <name>: stopped" <dest>

# Option: actioncheck
# Notes.: command executed once before each actionban command
# Values: CMD
#
actioncheck =

# Option: actionban
# Notes.: command executed when banning an IP. Take care that the
# command is executed with Fail2Ban user rights.
# Tags: <ip> IP address
# <failures> number of failures
# <time> unix timestamp of the ban time
# Values: CMD
#
actionban = printf %%b "Hi,\n
The IP <ip> has just been banned by Fail2Ban after
<failures> attempts against <name>.\n
Regards,\n
Fail2Ban"|mail -s "[Fail2Ban] <name>: banned <ip>" <dest>

# Option: actionunban
# Notes.: command executed when unbanning an IP. Take care that the
# command is executed with Fail2Ban user rights.
# Tags: <ip> IP address
# <failures> number of failures
# <time> unix timestamp of the ban time
# Values: CMD
#
actionunban =

[Init]

# Defaut name of the chain
#
name = default

# Destination/Addressee of the mail
#
dest = root

[BeNe]

Was hat das mit der mail.conf zu tun ?
Oder wirst Du nur nicht per Mail von Fail2Ban informiert

Greez BeNe

[Darkside2009]

(02-19-2010 11:37 PM)BeNe Wrote:  Was hat das mit der mail.conf zu tun ?
Oder wirst Du nur nicht per Mail von Fail2Ban informiert

Greez BeNe

Sind denn solche Einträge in der jetzigen mail.conf enthalten ? <----- danach hast du doch gefragt ?? oder hab ich das falsch verstanden ???

es geht sich alleine darum, das fail2ban nicht greift und die ip bannt ....

Quote:Feb 17 04:05:43 server85195 postfix/smtpd[2543]: connect from 118-167-11-149.dynamic.hinet.net[118.167.11.149]
Feb 17 04:05:46 server85195 dovecot: Bad username "inna" from unknown ip to smtp server
Feb 17 04:05:46 server85195 dovecot: auth(default): dovecot: Bad username "inna" from unknown ip to smtp server
Feb 17 04:05:47 server85195 postfix/smtpd[2543]: warning: 118-167-11-149.dynamic.hinet.net[118.167.11.149]: SASL LOGIN authentication failed: UGFzc3dvcmQ6

es sieht so aus, das fail2ban da nichts mit anfangen und lässt es unberührt. alle 2 min. erscheinen solche einträge in der mail.log ( nachts in der zeit von 23.00 - 2.00 uhr )
immer mit einem anderen benutzernamen aber die gleiche ip.

[TheCry]

Schau mal ob Dir hier was von hilft:
http://www.fail2ban.org/wiki/index.php/Talk:Dovecot
http://www.fail2ban.org/wiki/index.php/Dovecot