fail2ban ban 了 IP，还是能访问是为什么？

[CSGO]

我用 docker 运行了 vaultwarden：

services:
vaultwarden:
image: vaultwarden/server:latest
container_name: vaultwarden
restart: always
ports:
- "127.0.0.1:8001:80"
volumes:
- ./:/data/
- /etc/localtime:/etc/localtime:ro
environment:
- LOG_FILE=/data/log/vaultwarden.log

然后用 Nginx 的反向代理 bitwarden.XXX.com 可以访问，套了 cloudflare CDN 。
配置 fail2ban 之后，测试了故意输入错误密码后，能 ban 到 IP：

Status for the jail: vaultwarden
|- Filter
| |- Currently failed: 1
| |- Total failed: 5
| `- File list: /home/Wi-Fi/Bitwarden/log/vaultwarden.log
`- Actions
|- Currently banned: 1
|- Total banned: 1
`- Banned IP list: 158.101.132.372

但是依然能访问，这是为什么？

[billlee]

因为 fail2ban 默认调用的是系统防火墙，系统防火墙看到的 IP 都是 Cloudflare 服务器的 IP.

[Nt6Z1g]

fail2ban 可以用 cloudflare 的模块调用 API 封 IP

[ruanimal]

套了 cloudflare ，ip 就会一直变吧，你 ban 的是 cloudflare 的 ip ，ban 了个寂寞

[KousukeSakurako]

试试自定义一下 ban action ，让它能把规则插到 DOCKER-USER 里

[xyfan]

你都说了套 CDN ，ban 来 ban 去，ban 的是衣服不是人

[julyclyde]

你这个 docker 是做了 NAT 吧
fail2ban 是在 INPUT 封的吧，你这个 NAT 是不经过 INPUT 的吧？

[yokisama]

不如在 cloudflare 的 WAF 直接屏蔽它的 ip
让 AI 写个脚本，读取 bw 的日志，加入到黑名单就好了
你只 ban 回源 ip 没用

[bingfengfeifei]

如果功能没问题的话，可能是当前的会话没断，阻断的仅仅是新建连接，当前的连接不会断。
我没用过这个不太清楚是不是这个原因，只是之前遇到过类似的问题，是这种原因导致。

[laminux29]

这是 Docker 的安去漏洞，知道这个事情的人很少：

https://www.v2ex.com/t/1147750

[datocp]

当年测试防火墙似乎是默认
iptables -P INPUT ACCEPT

[lifansama]

你的 banaction 是使用的哪一种？换成 iptables-allports 试试？