Fail2Ban + Asterisk: Funktionsprüfung

[MET]

Fail2ban (und asterisk) laufen bei mir jetzt auf Debian Lenny stable. Fail2ban hat Einträge unter /etc/init.d/ und auch unter /etc/rc3.d/ d.h. dem runlevel 3, auf dem auch der vServer läuft. Ich vermute deshalb, dass schon ein Autostart vorhanden ist. Wie könnte ich aber testen, ob nach dem Reboot fail2ban schon gestartet hat?

Ich wollte sehen, ob ich bei gestartetem fail2ban mit einem Softphone einen Bann provozieren könnte, um auf diese Weise dann testen zu können, ob fail2ban nach einem Reboot läuft. Dazu versuchte ich mehrmals mit falschen Passwörtern einzuloggen. Dies bewirkte aber nichts. Dies könnte zwei Gründe haben. Enweder fail2ban vergleicht den ganzen String im meassages-File von asterisk oder an der conf stimmt etwas nicht. Um im messages-File einen gleichen String in der gewünschten Anzahl zu erzeugen, müsste ich wegen dem time-stamp vermutlich innerhalb der gleichen Sekunde mehrere Meldungen provozieren. Manuell krieg ich dies aber nicht hin.

Gibt es noch eine andere Möglichkeit zu überprüfen, ob fail2ban nach einem Reboot automatisch gestartet hat? Um zu sehen, ob fail2ban dann auch tatsächlich funktioniert muss ich wohl die nächste Attacke abwarten ....

 

[schogge]

müsste ich wegen dem time-stamp vermutlich innerhalb der gleichen Sekunde mehrere Meldungen provozieren.

Die Anzahl der nötigen Meldungen und den Zeitraum in dem diese auftreten müssen, kannst du in der jail.conf einstellen (maxretry und findtime)

Gibt es noch eine andere Möglichkeit zu überprüfen, ob fail2ban nach einem Reboot automatisch gestartet hat?

Mit "iptables -L" solltest du neben den Standard-Chains INPUT, FORWARD und OUTPUT eine zusätzliche Chain Namens fail2ban-XYZ (XYZ = je nach Konfiguration der jail.conf) sehen.

Ich empfehle dir noch folgende Links:
http://www.voip-info.org/wiki/view/Fail2Ban+(with+iptables)+And+Asterisk
http://www.fail2ban.org/wiki/index.php/MANUAL_0_8

 

[MET]

Habe den Titel dieses Threads angepasst, da es offensichtlich nich nur um den Autostart geht.

Entweder fail2ban vergleicht im messages-file von Asterisk die ganzen Zeilen mit dem time-stamp oder etwas funktioniert nicht bei mir. Habe in der jail.conf unter [asterisk-iptables]
maxretry = 3
findtime = 300
bantime = 300
gesetzt und mit dem Softphone mit falschen Passwörtern >3x registriert. Da passiert gar nichts. Die messages vom Asterisk zeigen die Versuche mit "Wrong password", das fail2ban.log gar nichts

Anscheinend liegt es an iptables:

vs8709:~# iptables -L
iptables v1.4.2: can't initialize iptables table `filter': Permission denied (you must be root)
Perhaps iptables or your kernel needs to be upgraded.

Hatte iptables zusammen mit dem Debian Lenny stable installiert, dies müsste eigentlich jetzt i.O. sein. Muss man aber iptables zuert irgendwo starten, dachte dies erfolgt automatisch?

 

[schogge]

Bei einigen v-Server-Anbietern werden iptables nicht unterstützt. Das musst du ggf. mit deinem Server-Anbieter abklären.

Wenn das der Fall ist, kannst du Fail2Ban auch ohne iptables nutzen. Hier gibts ein entsprechendes Thema dazu:
http://www.ip-phone-forum.de/showthread.php?t=201398&highlight=fail2ban

 

[MET]

Dieser Thread ist mir wohl bekannt. Ich möchte auch wie dort beschrieben f2b ohne iptables sondern mit dem messages-file von asterisk nutzen. Kann es sein, dass f2b nur zusammen mit iptables geht, auch wenn ptables selbst gar nicht gebraucht wird? Wenn nicht, dann müsste ja f2b auch so gehen, tut es aber nicht, dies vielleicht aber aus einem ganz anderen Grund.

Wie könnte man überprüfen weshalb fail2ban nicht geht?

Nachtrag:
Sehe erst jetzt auf der CLI, dass beim reload von fail2ban ein Fehler auftrat. Das Wort "failed" war in einer Farbe, die auf meinem Computer fast nicht erkennbar ist.

vs8709:~# /etc/init.d/fail2ban reload
Reloading authentication failure monitor: fail2ban failed!

Die oben aufgeführten Einstellungen für den vorher durchgeführten Test waren deshalb gar nicht aktiv.

 

[schogge]

Wenn das so ist, fällt mir nur ein ins Log (/var/log/fail2ban.log) zu schauen, ob sich dort ein Hinweis findet.

Ich betreibe Fail2Ban mit iptables. Wie es ohne geht, weiß ich nicht.