DocFraggle
Sorry, da hab ich mich wohl zu kompliziert ausgedrückt. Es ging mir ausschließlich darum, dass “Verhalten” dieses Spammers (81.30.107.0/24) zu vergleichen, wenn er bisher mit Fail2Ban und danach durch dein Skript mit IPtables konfrontiert wurde.
Fail2Ban:
Es erfolgte ein Loginversuch mit einer IP (z. B. 81.30.107.34), dann wurde die nächste ausgepackt (“…..58”).
Somit konnte Fail2Ban niemals irgendeine IP bannen, da immer nur ein Versuch pro IP gestartet wurde und diese dann erst viel später ggfs. erneut verwendet wurde.
IPTables:
Eine IP Adresse versucht es innerhalb kürzester Zeit mehrmals, z. B. die “….189” auf dem Screenshot.
Danach habe ich einfach nur für mich die (sinnlose) Schlussfolgerung gezogen, dass Fail2Ban auch gebannt hätte, wenn der Angreifer es eben auch dort nach einem Login Versuch sofort nochmals mit der selben IP und ggfs. einem anderen Login Namen versucht hätte.
Natürlich sind das grund verschiedene Voraussetzungen (einmal konnte er ja die Verbindung herstellen, bei IPTables wird er einfach gedropt, und dann versucht er es halt mehrmals mit derselben IP.
Diese Einträge hatte ich jedenfalls mehrere Tage in den Logs, aber eben bisher aus den obigen Gründen keinerlei “Reaktion” von Fail2Ban.
