首页
/ Fail2Ban中ipset类型配置问题解析与解决方案

Fail2Ban中ipset类型配置问题解析与解决方案

2025-05-16 07:55:20作者:咎岭娴Homer

问题背景

在使用Fail2Ban进行网络防护时,管理员可能会遇到需要批量封禁IP段(CIDR格式)的需求。然而,默认配置下Fail2Ban使用ipset的hash:ip类型,这会导致在处理大量IP段时出现"Hash is full"错误,因为每个IP地址都会被单独存储,快速耗尽ipset的容量限制。

问题分析

当尝试封禁类似103.131.71.0/24这样的IP段时,系统日志会显示"ipset v7.17: Hash is full, cannot add more elements"错误。这是因为:

  1. 默认的ipset类型为hash:ip,会将整个IP段展开为256个独立IP地址
  2. 即使设置了较大的maxelem值(如1000000),对于大规模IP段封禁仍可能不足
  3. 使用hash:ip类型处理IP段不仅效率低下,还可能造成IP段之间的冲突

解决方案

方法一:自定义action配置

  1. 创建自定义action文件/etc/fail2ban/action.d/manual.local
[INCLUDES]
before = iptables-ipset.conf

[Definition]
actionstart = ipset -exist create <ipmset> hash:net timeout <default-ipsettime> maxelem <maxelem> <familyopt>
              <_ipt_add_rules>
  1. 在jail配置中指定使用此action:
[manual]
enabled = true
banaction = manual

方法二:使用新版参数(Fail2Ban v1.0+)

在较新版本的Fail2Ban中,可以直接通过参数指定ipset类型:

[manual]
enabled = true
action = iptables-ipset[type=allports, ipsettype=hash:net]

重要注意事项

  1. 修改配置后必须完全重启Fail2Ban服务,简单的reload可能不会生效
  2. 如果已有ipset存在,需要先手动销毁旧的ipset集合
  3. 确保配置文件中的action名称与实际使用的action匹配

技术原理

hash:net与hash:ip的主要区别:

  • hash:ip:将每个IP地址单独存储,适合精确到单个IP的封禁
  • hash:net:将IP段作为整体存储,适合批量封禁,节省存储空间

例如,封禁192.0.2.0/24:

  • hash:ip会存储256个条目(192.0.2.0-192.0.2.255)
  • hash:net仅存储1个条目(192.0.2.0/24)

最佳实践

  1. 根据实际需求选择合适的ipset类型:

    • 主要封禁单个IP:使用hash:ip
    • 主要封禁IP段:使用hash:net
  2. 合理设置maxelem参数,平衡内存使用和封禁容量

  3. 定期检查ipset使用情况:

    ipset list <setname>
    
  4. 对于混合场景(既有IP段又有单个IP),hash:net类型同样适用,因为单个IP可以视为/32或/128的子网

通过正确配置ipset类型,管理员可以更高效地利用Fail2Ban进行大规模网络防护,避免"Hash is full"错误,同时确保安全策略的准确执行。

登录后查看全文
热门项目推荐
相关项目推荐

项目优选

收起
kernelkernel
deepin linux kernel
C
27
11
docsdocs
OpenHarmony documentation | OpenHarmony开发者文档
Dockerfile
470
3.48 K
nop-entropynop-entropy
Nop Platform 2.0是基于可逆计算理论实现的采用面向语言编程范式的新一代低代码开发平台,包含基于全新原理从零开始研发的GraphQL引擎、ORM引擎、工作流引擎、报表引擎、规则引擎、批处理引引擎等完整设计。nop-entropy是它的后端部分,采用java语言实现,可选择集成Spring框架或者Quarkus框架。中小企业可以免费商用
Java
10
1
leetcodeleetcode
🔥LeetCode solutions in any programming language | 多种编程语言实现 LeetCode、《剑指 Offer(第 2 版)》、《程序员面试金典(第 6 版)》题解
Java
65
19
flutter_flutterflutter_flutter
暂无简介
Dart
718
172
giteagitea
喝着茶写代码!最易用的自托管一站式代码托管平台,包含Git托管,代码审查,团队协作,软件包和CI/CD。
Go
23
0
kernelkernel
openEuler内核是openEuler操作系统的核心,既是系统性能与稳定性的基石,也是连接处理器、设备与服务的桥梁。
C
212
85
RuoYi-Vue3RuoYi-Vue3
🎉 (RuoYi)官方仓库 基于SpringBoot,Spring Security,JWT,Vue3 & Vite、Element Plus 的前后端分离权限管理系统
Vue
1.27 K
696
rainbondrainbond
无需学习 Kubernetes 的容器平台,在 Kubernetes 上构建、部署、组装和管理应用,无需 K8s 专业知识,全流程图形化管理
Go
15
1
apintoapinto
基于golang开发的网关。具有各种插件,可以自行扩展,即插即用。此外,它可以快速帮助企业管理API服务,提高API服务的稳定性和安全性。
Go
22
1