fail2ban正则表达式嵌套或错误？

Question

因此，今天我正尝试将一些正则表达式组合在一起以使用fail2ban过滤器。 这就是我注意到fail2ban在正则表达式模式中嵌套OR'ing有一些问题的地方。

输入字符串： 127.0.0.1 - - [13/Aug/2016:07:01:45 -0400] "a

模式： ^<HOST> -.*\\"(c|b)|a

这是一个例子：

$ fail2ban-regex "127.0.0.1 - - [13/Aug/2016:07:01:45 -0400] \"a" '^<HOST> -.*\"(c|b)|a'

Running tests
=============

Use   failregex line : ^<HOST> -.*\"(c|b)|a
Use      single line : 127.0.0.1 - - [13/Aug/2016:07:01:45 -0400] "a


Results
=======

Failregex: 0 total

Ignoreregex: 0 total

Date template hits:
|- [# of hits] date format
|  [1] Day/MONTH/Year:Hour:Minute:Second
`-

Lines: 1 lines, 0 ignored, 0 matched, 1 missed
|- Missed line(s):
|  127.0.0.1 - - [13/Aug/2016:07:01:45 -0400] "a
`-

我已经注意到，如果您运行正则表达式模式a|(c|b) ，这实际上将成功并报告匹配项，但是我需要能够检查第一个OR的两侧，以查看第一个条件是否匹配（例如，如果HTTP请求类型不是POST或GET），则忽略其余的正则表达式模式，否则在第一个OR之后运行其余的正则表达式模式。 另一件事是分组似乎无关紧要，因为它看起来总是总是在最外部的OR的第一部分匹配。

在这里，我们得到一个匹配：

$ fail2ban-regex "127.0.0.1 - - [13/Aug/2016:07:01:45 -0400] \"a" '^<HOST> -.*\"a|(c|b)'

Running tests
=============

Use   failregex line : ^<HOST> -.*\"a|(c|b)
Use      single line : 127.0.0.1 - - [13/Aug/2016:07:01:45 -0400] "a


Results
=======

Failregex: 1 total
|-  #) [# of hits] regular expression
|   1) [1] ^<HOST> -.*\"a|(c|b)
`-

Ignoreregex: 0 total

Date template hits:
|- [# of hits] date format
|  [1] Day/MONTH/Year:Hour:Minute:Second
`-

Lines: 1 lines, 0 ignored, 1 matched, 0 missed

我说这可能是一个错误，因为我在regex101.com和debuggex.com之类的网站上进行了测试，报告这两种正则表达式模式都匹配。

Answer 1

此正则表达式：

^<HOST> -.*\"(c|b)|a

...与此相同：

a|^<HOST> -.*\"(c|b)

唯一的区别是替代方法的尝试顺序。如果正则表达式很重要，则这两种方法都应匹配。 但是，快速浏览一下fail2ban文档会告诉我，每个failregex必须匹配与请求关联的主机名/ IP。 那里实际上有两个正则表达式（ ^<HOST> -.*\\"(c|b)和a ），其中一个不包含<HOST> 。

我不确定您要完成什么，但是如果无法通过将管道放在parens（ (a|b|c) ）中来完成此操作，则可能需要使用两个单独的正则表达式。