Fail2Ban und dovecot

[Darkside2009]

(02-25-2010 07:58 PM)TheCry Wrote:  Ich habe heute mal die Zeit gefunden Dovecot in Fail2Ban einzupflegen.
Sieht soweit auch gut aus...
Nun mache ich mir aber ein bisschen Gedanken über diesen Eintrag

Code:

failregex = (?: pop3-login|imap-login): (?:Authentication failure|Aborted login \(auth failed|Disconnected \(auth failed).*rip=(?P<host>\S*),.*

Wenn man sich vom Webmailer falsch einlggt, würde ich mir 127.0.0.1 auf die Sperrung legen, oder sehe ich das falsch?

Code:

Feb 25 10:16:51 SRV dovecot: imap-login: Disconnected (auth failed, 1 attempts): user=<email@meine-domain.tld>, method=PLAIN, rip=127.0.0.1, lip=127.0.0.1, secured

Im Prinzip müsste in den RegExp eine Negation rein, die nicht nach 127.0.0.1 sucht.

Oder wird das schon durch

Code:

ignoreip = 127.0.0.1

erledigt?

in der zeile ignoreip trägst du alle ip´s ein die nicht gebannt werden sollen ...... 127.0.0.1 192.168.1.1 <----- beispiel ..... zwischen jeder ip ein space ( leerzeichen )

meine regex für dovecot sieht so aus :

Quote:failregex = (?: pop3-login|imap-login): (?:Authentication failure|Aborted login \(auth failed|Disconnected \(auth failed).*rip=(?P<host>\S*),.*
(?:imap|pop3)-login: Disconnected: user=<.*>, method=(?:LOGIN|PLAIN|(?:CRAM|DIGEST)-MD5), rip=(?P<host>\S*), lip
(?:imap|pop3)-login: Aborted login.*user=<.*>, .*rip=(?P<host>\S*),.*