Политики по сервисам
Помимо девяти jail для HTTP-сканеров, работают ещё шесть — для SSH, почты, HTTP, повторных нарушений и поддельного Googlebot. Здесь обычно подсчитывается число подходящих записей за заданный период, а не применяется вечная блокировка после одного запроса.
Ниже приведены настройки, проверенные 1 ноября 2026 года. Они не предназначены для бездумного копирования на другие серверы.
| Jail | Окно обнаружения | Совпадения | Длительность блокировки freebsd | Длительность блокировки oci |
|---|---|---|---|---|
sshd | 1 неделя | 3 | 10 недель | 10 недель |
postfix | 1 день | 4 | 2 недели | 2 недели |
dovecot | 1 день | 4 | 2 недели | 2 недели |
nginx | 60 секунд | 60 | 1 неделя | 1 день |
recidive | 2 недели | 5 | 52 недели | 52 недели |
fake-googlebot | 1 неделя | 1 | 99 999 недель | 99 999 недель |
SSH и почта
sshd оценивает сбои аутентификации SSH и подобные события, а postfix и dovecot — журналы соответствующей почтовой службы, каждый со своим фильтром. Это количество совпадений строк журнала, а не общее число отправленных сообщений или подключений.
HTTP
nginx — особенно показательный пример: имя jail одинаковое, а фильтры на двух источниках разные.
freebsd: 60 совпадений за 60 секунд для ответов на GET, POST и HEAD с кодами 200, 4xx или 5xx.oci: 60 совпадений за 60 секунд для ответов 429, 444, 499, 503 и 504 на методы в верхнем регистре.
Поэтому одно и то же имя jail не означает одинаковое обнаружение. Читайте результаты API, сочетая source и jail.
Повторные нарушители
recidive оценивает повторные нарушения на основе блокировок, зафиксированных Fail2ban. Один и тот же IP может пересекаться с jail отдельных сервисов. Дубликаты сохраняются в списке наблюдений API, но объединяются по IP в текстовом потоке.
Фальшивый Googlebot
fake-googlebot использует действующую DNS-проверку для запросов, представляющихся Googlebot.
freebsd: разрешает имя и проверяет, что прямое разрешение совпадает с исходным IP.oci: проверяет, что разрешённое имя заканчивается наgooglebot.comилиgoogle.com.
В варианте oci нет дополнительной проверки, что прямой DNS-запрос возвращает исходный IP. Поэтому строгость двух проверок различается. Длительность блокировки — действующее очень большое конечное значение, а не постоянная блокировка bantime = -1, применяемая в противодействии сканерам.