Политики блокировки

Fail2ban блокирует адреса, когда записи журнала совпадают с фильтрами. Но разные jail принимают решение по-разному.

Для SSH и почтовых сервисов обычно учитывается число совпадений за определённое время. Для характерных запросов HTTP-сканеров бывает достаточно одного совпадения для постоянной блокировки. Это различие важно при чтении данных API.

Действующая конфигурация

Здесь описана конфигурация, проверенная 1 ноября 2026 года, а не настройки, рекомендуемые каждому серверу. Метки источников сбора — freebsd и oci. Каждый использует 15 jail: 6 для традиционных сервисов и 9 для противодействия сканерам.

Два метода оценки

Метод	Охват	Критерий блокировки
Повторное обнаружение	SSH, аутентификация почты, HTTP, повторные нарушители	Число совпадений в заданном окне обнаружения
Однократное обнаружение	Заданные сигнатуры HTTP-сканеров	Постоянная блокировка при одном совпадении

«Совпадение» здесь означает, что строка журнала соответствует фильтру jail. Настройки агрегации и исключений могут делать это отличным от простого подсчёта запросов.

Общие настройки сканеров

maxretry = 1
findtime = 10m
bantime = -1
bantime.increment = false

Девять настроенных jail блокируют навсегда при одном совпадении. bantime = -1 означает отсутствие автоматического истечения срока. Окно обнаружения в 10 минут не отражает длительность блокировки.

Область блокировки охватывает HTTP/HTTPS по TCP и UDP на портах 80 и 443. freebsd применяет её через PF, oci — через nftables. Обнаружение и применение правил межсетевого экрана выполняются Fail2ban каждого источника; этот публичный API не рассылает инструкции по блокировке.

Почему эти правила нельзя копировать без проверки

В сервисах, которые правомерно используют административные панели, WebDAV, WordPress, PHP или расширенные методы HTTP, тот же запрос может быть нормальным. Перечисленные здесь условия — это рабочие стандарты источников сбора, а не рекомендуемые настройки, которые можно без изменений применять к любому сайту.

Административные сети исключений, конечные точки, учётные данные и содержимое внутренних журналов не публикуются. Публичное описание и полная конфигурация, управляемая на каждом сервере, разделены.