Fail2Ban 在 Ubuntu 16.04 上不起作用（日期问题）答案

【问题标题】：Fail2Ban not working on Ubuntu 16.04 (Date issues)Fail2Ban 在 Ubuntu 16.04 上不起作用（日期问题）
【发布时间】：2018-02-23 10:41:41
【问题描述】：

我对 Fail2Ban 有疑问

2018-02-23 18:23:48,727 fail2ban.datedetector   [4859]: DEBUG   Matched time     template (?:DAY )?MON Day 24hour:Minute:Second(?:\.Microseconds)?(?: Year)?
2018-02-23 18:23:48,727 fail2ban.datedetector   [4859]: DEBUG   Got time  1519352628.000000 for "'Feb 23 10:23:48'" using template (?:DAY )?MON Day     24hour:Minute:Second(?:\.Microseconds)?(?: Year)?
2018-02-23 18:23:48,727 fail2ban.filter         [4859]: DEBUG   Processing line with time:1519352628.0 and ip:158.140.140.217
2018-02-23 18:23:48,727 fail2ban.filter         [4859]: DEBUG   Ignore line since time 1519352628.0 < 1519381428.727771 - 600

它说“忽略线”，因为时间偏差大于检查周期。然而，事实并非如此。

如果确实 1519352628.0 源自 2 月 23 日 10:23:48，那么另一个日期：1519381428.727771 肯定是错误的。

我已经针对“无效用户”反复运行测试进行了测试。但是 Fail2ban 总是忽略这条线。

我很肯定我会在 1 秒内获得过滤器匹配。

这是 Ubuntu 16.04 和 Fail2ban 0.9.3

感谢您提供的任何帮助！

【问题讨论】：

标签： fail2ban

【解决方案1】：

您的机器上似乎存在可能导致混淆的时区问题。 尝试set the correct time zone 并重新启动rsyslogd 和fail2ban。

关于您的调试日志：

1519352628.0      = Feb 23 02:23:48

-> 时间戳从日志文件中的行解析，时间为 2 月 23 日 10:23:48 - 08:00 时区偏移量！

1519381428.727771 = Feb 23 10:23:48

-> fail2ban 处理日志的当前时间的时间戳。

巧合的是，这与日志文件中的时间相同。 这就是在这种情况下造成如此混乱的原因。

1519381428.727771 - 600 = Feb 23 10:13:48

-> 自从您在 jail.conf 中设置 findtime = 10m 以来，限制在日志文件中向后查看的时间。

Fail2ban '正确地' 忽略似乎早于 10 分钟的日志条目，因为设置的时区为 -08:00。

顺便说一句：

如果您需要 IPv6 支持来禁止，请考虑将 fail2ban 升级到 v0.10.x。

还有一个全新的 fail2ban 版本 v0.11（尚未标记为稳定，但在我的机器上运行了 1 个多月没有问题）具有这个美妙的新的自动增量 bantime 功能。

【讨论】：

鲍勃，谢谢。是的，时区设置正确。时区为 UTC+8:00，rtc 设置为 UTC。日志文件采用 UTC（上午 10:23），时钟日期返回正确的时间 18:23。似乎 f2b 不知道我的 tz 或者它不知道日志文件正在记录 UTC
或者更确切地说，也许日志文件正在记录当地时间（上午 10:23 是正确的），这就是我在日志中记得的内容。 02:23 将是 UTC 时间。无论如何，我如何让它们对齐？