怎么在Linux利用Fail2ban自定义Action实现封禁黑名单IP后的自动报警-linux运维-PHP中文网

fail2ban可通过自定义action在封禁ip时同步触发报警；需编写可执行告警脚本接收$1（ip）、$2（jail名）等参数，再在action.d下定义alert-and-ban.conf，于actionban行调用脚本，最后在jail.local中指定action=alert-and-ban。

怎么在linux利用fail2ban自定义action实现封禁黑名单ip后的自动报警

Fail2ban 默认支持通过 action 在封禁 IP 后触发外部操作，比如发邮件、调用脚本或推送通知。要实现“封禁黑名单 IP 后自动报警”，关键在于：自定义一个 action，在执行 iptables（或 nftables）封禁的同时，同步触发告警（如邮件、企业微信、钉钉、Syslog 或 Slack）。下面分步说明如何安全、可靠地实现。

1. 编写自定义报警脚本

先准备一个可执行的 shell 脚本（例如 /usr/local/bin/fail2ban-alert.sh），接收 Fail2ban 传入的参数（被封 IP、服务名、封禁时长等）并发送报警：

脚本需有执行权限：chmod +x /usr/local/bin/fail2ban-alert.sh
使用 $1（IP）、$2（Jail 名）、$3（封禁时长）等变量（Fail2ban 会按顺序传入）
示例（发邮件）：

#!/bin/bash
IP=$1
JAIL=$2
TIME=$3
SUBJECT="⚠️ Fail2ban 封禁告警: $IP ($JAIL)"
BODY="时间: $(date)\nIP: $IP\n服务: $JAIL\n封禁时长: ${TIME:-permanently}\n服务器: $(hostname)"
<p>echo -e "$BODY" | mail -s "$SUBJECT" admin@example.com</p>

如需接入钉钉/企业微信，可用 curl 调用 Webhook；注意对敏感 URL 做权限保护（如仅 root 可读）。

2. 定义自定义 Action（在 jail.local 中引用）

Fail2ban 的 action 是由 .conf 文件定义的，推荐在 /etc/fail2ban/action.d/ 下新建文件（如 alert-and-ban.conf）：

[Definition]
actionstart = iptables -N f2b-<name>
              iptables -A f2b-<name> -j RETURN
              iptables -I INPUT -p <protocol> -m multiport --dports <port> -j f2b-<name>
actionstop = iptables -D INPUT -p <protocol> -m multiport --dports <port> -j f2b-<name>
             iptables -F f2b-<name>
             iptables -X f2b-<name>
actioncheck = iptables -n -L INPUT | grep -q 'f2b-<name>[ \t]'
actionban = iptables -I f2b-<name> 1 -s <ip> -j DROP
            /usr/local/bin/fail2ban-alert.sh <ip><name><bantime>
actionunban = iptables -D f2b-<name> -s <ip> -j DROP
</ip></name></bantime></name></ip></ip></name></name></name></name></name></port></protocol></name></port></protocol></name></name>

⚠️ 注意：actionban 行末尾调用了你的报警脚本，并传入了 <ip></ip>、<name></name>、<bantime></bantime> —— 这些是 Fail2ban 内置宏，无需修改。

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

3. 在 jail 配置中启用该 action

编辑 /etc/fail2ban/jail.local，为指定 jail（如 sshd）指定新 action：

[sshd]
enabled = true
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600
# 使用自定义 action（不带 .conf 后缀）
action = alert-and-ban[name=sshd, port="ssh", protocol="tcp"]

如果希望所有 jail 统一使用，可在 [DEFAULT] 段设置 action = alert-and-ban[...]。多个 action 可用空格分隔（如同时保留邮件 action 和自定义 action）。