forum.blocklist.de

Hi,

ich würde mal in der /etc/fail2ban/fail2ban.conf das Logleve auf DEBUG stellen und dann noch mal schauen, ob es mehr Informationen im Log gibt.
Evtl. musst beim jail.conf das Backend manuell einstellen oder noch ein anderen Dienst installieren?

Hi, also Spam selber reporten/behandeln wir nicht.
Was man machen könnte, wäre die "unknown User" Meldungen zu reporten.

mfg Martin

Hi Klaus,

lad die Seite bitte noch mal neu, nun sollte es gehen.

Hi,

du musst dich bei blocklist.de einloggen und ins Profil gehen:
https://www.blocklist.de/de/profile/change.html
und bei:
E-Mail für Abuse-Report-Kopie::
die E-Mailadresse entfernen.
Dann bekommst du die von deinen Server ausgelösten Reports nicht mehr als Copy.

Hi,

also die Mails sind angekommen, aber wegen:
"Mail hat kein Lines containing und somit keine Logs"
gedroppt worden.

Schau bitte mal in der Fail2Ban Config, das bei "logfiles" kein /dev/null und als action "sendmailwhoislines" ausgewählt ist.

Danke, schau ich gleich mal rein und schreib dann wieder, wenn ich den Grund ermittelt habe.

Hally LadyM,

kannst mir evtl. ein paar IP-Adressen, die nicht bei der gezählt wurden per Mail/PN senden, dann kann ich einmal reinschauen.
Am besten welche von 05.11 oder später sind.
Danke.

mfg Martin

Super. Ansonsten die Aktions beide angeben: action = iptables-allports[name=recidive] action_blocklist_de[dest="fail2ban@blocklist.de", sender="fail2ban@domain.tld", sendername="Fail2Ban", name="recidive" apikey="xxxxx"] Dann wird trotzdem von "iptables-allports" die Ban- und Unban-Aktion ausgeführt...

Hi Lars,

es muss einmal auf "sendmail-whois-lines" umgestellt werden, ansonsten werden die Logfiles nicht mit übermittelt.
Ansonsten geht noch auf "action_blocklist_de" umzustellen, dann wird es per https über curl gemeldet.

Hi @Flashtek, in the latest Version, you have already a blocklist.de-Conf and can send the Attacks over the http-Api to us. I think the fasted way is to use the source from fail2ban: https://github.com/fail2ban/fail2ban/releases Then you need only to add: blocklist_de_apikey = yourapi-key-from-block...

Hi Stefano,

can you post an Traceroute ala:

traceroute -I lists.blocklist.de -4 -p 443
and
traceroute -I lists.blocklist.de -6 -p 443

Or
traceroute 2a00:1158:2:6d00::2 -p 443 -I
Or
traceroute 185.21.103.31 -p 443 -I

done.

Problem found and fixed.
The ip-range was now correctly saved.
Please insert the IP-Range in your Profile again.

Thank you for the Report!

Hi Stefano,

can you post the complete wget command, which you execute with the Parameters "-vd" (debug, and headers)?
Thank you.

Hi, ich kann empfehlen mit: fail2ban-regex /var/log/logfile.log /etc/fail2ban/filter.d/filter-name.conf zu testen, ob der Regex matcht. Sehr wahrscheinlich geht folgender Regex: failregex = .*PHP message: user testuser authentication failure" while reading response header from upstream, client: <HOS...

Hi,

mhhh, i can reproduce it.
I will fix it in the evening and answer you again, when it was fixed.

Hallo adlerweb,

super, vielen Dank für den Hinweis!
Falls du auf github bist, kannst du es auch gerne direkt einmal bei fail2ban reporten, das die z.B. eine Prüfung einbauen oder das variable machen, je nach dem, was läuft, damit der richtige Befehl verwendet wird.

Hi Akinos.de,

ja, sollte ausreichend sein.
Allerdings ist die Trefferquote bei "mail" nicht so hoch, da wir alles ausser Spam haben.
Dadurch sind nur harvester-IPs hauptsächlich gelistet, aber keine Spamer.

Hi,

ich hab die neuen IPs mit in die Whitelist hinzugefügt. Die Hälfte war bereits gewhitelisted.

Hi Ciscllc,

in diesem Fall fehlen die Logfiles in der Mail.
Da musst du wahrscheinlich in der /etc/fail2ban/jail.conf bzw. jail.local den "mta=" auf "sendmail-whois-lines" ändern, damit die Logfiles mit gesendet werden.

Hi, das kann viele Gründe haben. Meist ist der Grund, das die gemeldet IP bereits innerhalb der letzten 24 Stunden schon einen Abuse-Report erhalten hat. Bei dem Icon mit dem "Man mit Hut", kannst du die IP-Adressen einsehen und die gemeldeten Angriffe und welcher Server den Report bereits ausgelöst...