Massive Bruteforce attacke seit Wochen

bekenz762

DocFraggle
Vielen Dank! Hat jetzt geklappt lag an der “PATH Umgebungsvariable” für Cron.

accolon

Danke für das Skript! Ich hatte mir etwas ähnliches für einen anderen Server gestrickt, wo ich die Regeln einfach in die INPUT-Chain packe bzw. packen kann, da ich dort ohne Docker kein FORWARDING hab. Das hier hilft mir sehr auf der mailcow.

Zwei spontane Anmerkungen:

Die aktuelle Version des Skripts prüft noch auf jq, aber das wird gar nicht mehr verwendet.
Der Name der Chain MAILCOW wird einerseits in einer Variable festgelegt und an ensure_rule_at_top() übergeben, andererseits ist der Name aber an einigen Stellen innerhalb der Funktion (und in dem Block zu den Logging-Regeln) trotzdem fest kodiert.

DocFraggle

accolon Super, danke für die Info! Beides gefit mit v2.3

DocFraggle/mailcow-scriptsreleases/tag/v2.3

curiosity

semaf Crowdsec installation gibt es hier -> Protecting mailcow with Crowdsec

Hier nochmal eine schöne Seite als Ergänzung, die auf die Absicherung eines Linux Servers mit Crowdsec eingeht (was man natürlich auch in Verbindung mit mailcow gilt) und noch mal ein paar konfigurations Beispiele für die Benachrichtung per Mail oder Telegramm und den Bannzeiten eingeht. Mir hat es gut geholfen bei der Einarbeitung in Crowdsec. Vor allem da es mal eine der wenigen Anleitung ist, die in meiner Muttersprache verfasst wurde. 😇 Stehe leider mit Englisch etwas auf Kriegsfuß. 🥴 Hätte ich das damals in der Schule gewusst wie wichtig das mal wird, dann hätte ich besser aufgepasst. 😆

Hier der Link -> https://andersgood.de/blog/linux-server-in-15-minuten-mit-crowdsec-absichern#banzeit-dynamisch-erhoehen

maybl8

DocFraggle The cronjob is running fine however I am noticing that I lose the LOG entry but I don’t know when . When I first run it manually the LOG is there. Somewhere after the script runs it looks like I lose the LOG function.

Chain MAILCOW (2 references)
 pkts bytes target     prot opt in     out     source               destination
  810 51144 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            match-set abuseipdb_blacklist_v4 src
   20  1552 REJECT     all  --  *      *       73.173.151.120       0.0.0.0/0            reject-with icmp-port-unreachable
    9   513 REJECT     all  --  *      *       129.224.201.45       0.0.0.0/0            reject-with icmp-port-unreachable
   21  1604 REJECT     all  --  *      *       73.138.56.10         0.0.0.0/0            reject-with icmp-port-unreachable
   20  1552 REJECT     all  --  *      *       67.242.117.151       0.0.0.0/0            reject-with icmp-port-unreachable

DocFraggle

maybl8 You have to add --enable-log to the crontab line

netsrot303

Ich habe mal eine Frage zu diesem script. Auf meinem mailcow server habe ich ufw installiert, beisst sich das wenn ich zusätzlich dieses script mit einbinde?

Ganzjahresgriller

Mailcow + UFW beisst sich, bitte hier lesen: https://docs.mailcow.email/getstarted/prerequisite-system/

netsrot303

Ja ich weiss, ich habe habe das mit ufw gemacht weil es damals auch so in der Doku stand. Bis jetzt habe ich da zum Glück noch keine Probleme gehabt. Würde denn das script funktionieren obwohl ich noch ufw mit installiert habe? Oder hat hier vielleicht noch einer ufw noch installiert und auch das abuseip script laufen?

maybl8

To my knowledge and you can search for other posts about ufw here is that mailcow uses its own firewall via iptables. You don’t need an additional ufw on the mailcow server. You can run other firewalls in front of mailcow if you want as far as I know.
I am using the script and also set up crowdsec and this is very effective blocking scheme.

netsrot303

Ich werde mich mal darum kümmern ufw von dem Server zu schmeissen wenn das ja so Probleme macht. Wie macht ihr das denn um nur die geforderten eingehenden Ports für mailcow zuzulassen? Alles direkt über iptables?

esackbauer

netsrot303 Wie macht ihr das denn um nur die geforderten eingehenden Ports für mailcow zuzulassen?

Wie gesagt, das macht mailcow ja schon selber.

netsrot303

Okay, also ist es nicht notwendig erstmal alle eingehende Ports zu schliessen und explizit nur gewünschte eingehenden Ports zu öffnen auf dem Server. Wie z.B. der Port für ssh.

Ganzjahresgriller

Naja, ssh ist ja ein Thema für sich. Ich habs z. B. standradmäßig ausgeschalten und aktiviere es nur wenn ich es brauche

smart

Sers Zusammen,
vielen herzliche Dank für dieses Script und allen welche hier fleissig mitgeholfen haben.
Ich hätte evtl. noch ein paar Anmerkungen.

ich sehe im Script keine Versionsnummer - woran erkenne ich ob ich die 2.3 (von hier) habe ?
Sollte evtl. im Script die Version mit reingeschrieben sein damit dies klar ist?

das läßt mich auch zu Punkt 2 kommen.

hier steht noch in der ‘Anleitung’ das ‘jq’ und ‘ipset’ benötigt werden.
Hier steht aber irgendwo das ‘jq’ gar nicht mehr benötigt wird.
Was ist nun richtig bzw. aktuell?
Darf ich freundlich um eine aktuelle Anleitung (für Dummies) fragen - für die aktuelle v2.3 bitte?
Zudem scheint mir, dass hier auch verschiedene Pfade für die Script-Datei genutzt werden. Gibt es hier einen optimalen Vorschlag oder jeder wie er will?
Ich bin der Meinung, dass eine Anleitung ruhig einen default Pfad angeben kann (für Dummies) damit am Ende z.B. auch der Pfad in cron Eintrag passt.

Nochmals vielen Dank für die Mühen und das Script - bitte mich nicht falsch verstehen.
VG
Mike

DocFraggle

smart Sollte evtl. im Script die Version mit reingeschrieben sein damit dies klar ist?

Hi, ja, könnte man machen, aber am besten direkt via GitHub Tag runterladen

DocFraggle/mailcow-scriptsblob/v2.3/abuseipdb.sh

Zu 2.: Du hast Recht, ich habe jq mit Version 2 rausgeschmissen, das muss noch in den Docs entfernt werden.

Zu 3.: die Anleitung in den Docs ist nach wie vor aktuell, nur das mit jq ist obsolet. Das Script kann man irgendwo hin packen, welchen Sinn macht es denn in der Anleitung einen Pfad anzugeben?

smart

zu 1
dann ggf. mein Vorschlag (falls ich nicht etwas übersehen habe), dass der GitHub Tag auch ins Doc rein kommt?

zu 3
war nur ein Vorschlag.
z.b. weil Dummies es irgendwohin legen (ausserhalb path) und es deswegen nicht automatisch funktioniert.
so wäre es vorgegeben und somit grundlegend funktionell - wer es dann woanders haben möchte, der muss halt wissen was er tut.

wie geschrieben - bitte nicht falsch verstehen.
Ich möchte nur Vorschlagen wie es evtl. ‘Dummies’ sicher gemacht werden könnte…

Freundliche Grüße
Mike

maybl8

Since update to 2025-09 and 09a this error is back. I haven’t changed anything.

[demo@mail iptables]$  sudo /etc/iptables/./abuseipdb.sh --enable-log
Retrieve IPs from AbuseIPDB
Ensure the ipsets exist
Flush existing ipset entries
Process each IP and add it to the appropriate ipset
Ensure iptables/ip6tables rules exist at the top
ip6tables: No chain/target/match by that name.
ip6tables: No chain/target/match by that name.
ip6tables: No chain/target/match by that name.
ip6tables: No chain/target/match by that name.
ip6tables: No chain/target/match by that name.


All done, have fun.

Check your current iplist entries with 'ipset list | less'

DocFraggle

I didn’t update yet, I guess the ipv6 chain is different now due to the changes

EDIT: I updated my mailcow testsystem, I still have the chain “MAILCOW” in my ip6tables output

testcow:/opt/mailcow-dockerized# ip6tables -L | grep Chain
Chain INPUT (policy ACCEPT)
Chain FORWARD (policy DROP)
Chain OUTPUT (policy ACCEPT)
Chain DOCKER (1 references)
Chain DOCKER-BRIDGE (1 references)
Chain DOCKER-CT (1 references)
Chain DOCKER-FORWARD (1 references)
Chain DOCKER-ISOLATION-STAGE-1 (1 references)
Chain DOCKER-ISOLATION-STAGE-2 (1 references)
Chain DOCKER-USER (1 references)
Chain MAILCOW (1 references)

Just ran the script there, works as intended. Maybe don’t run it with sudo but directly as root user

mlcwuser

Leute, warum macht ihr euch das Leben auch so schwer? Netfilter funktioniret doch: Hatte heute etwa 50 Mails in meiner Notifications Inbox, mit IP’s, die geblockt wurden. Nutzt anständige Passwörter, und lasst die Mailcow ihr Ding machen. ;-)

« Previous Page Next Page »