Fail2ban正则表达式

Question

我曾尝试为exim邮件服务器编写一个fail2ban的正则表达式，但似乎找不到任何匹配项。 即使在拒绝的日志文件上。

这是我的exim_mainlog中的一行：

2014-09-18 16:34:30 dovecot_login authenticator failed for xx-xx-78-xx.dedicated.abac.net (User) [xx.xx.78.xx]:64298: 535 Incorrect authentication data (set_id=sexy)
2014-09-18 16:50:17 dovecot_login authenticator failed for (User) [xx.xx.xx.231]:9859: 535 Incorrect authentication data (set_id=evans)
2014-09-18 16:52:30 dovecot_login authenticator failed for (User) [xx.xx.16.128]:60350: 535 Incorrect authentication data (set_id=orange)
2014-09-18 17:10:19 dovecot_login authenticator failed for XXXX.onlinehome-server.com (User) [xx.xx.96.171]:52799: 535 Incorrect authentication data (set_id=matrix)

相同的条目在我的exim_rejectlog中。

这是我在exim_mainlog和exim_reject日志上都尝试过的过滤器

failregex = \[<HOST>\]: 535 Incorrect authentication data

但是我什至没有从拒绝日志中找到任何点击

Lines: 257 lines, 0 ignored, 0 matched, 257 missed

我不太擅长使用正则表达式，希望能帮助您将垃圾邮件发送者拒之门外

Answer 1

您的服务器配置为也记录传入端口，而不仅仅是IP地址。 更改您的正则表达式以容纳其他字符：

failregex = \[<HOST>\]:\d+: 535 Incorrect authentication data

带有exim解析功能的官方发布版本（如果存在端口，它将立即处理该端口）。 https://github.com/fail2ban/fail2ban/blob/master/config/filter.d/exim.conf