Etwa eine halbe Stunde um aus einem GREP ein #Grafana #Dashboard zu bauen, dass das gleiche kann...

Das Log ist aus einer #pfSense

GREP:
zstdcat syslog-pfsense.log-2026* | grep :995 | awk '{ print $8; }' | awk -F ':' '{ print $1; }' | sort | uniq -c | sort -rn

#LogQL für #Loki:
sum by(from) (count_over_time({job="syslog", instance="pfsense"} |= `:995` | regexp `from (?P<from>[0-9.]+).+` [24h]))

Help #pfsense #opnsense #network colleagues! My imagination is failing me.

I have two locations, each with its own special snowflake pfsense and WAN, also joined by a (meagre but reliable) link. These are the things I cannot change.

I have dreamed for years of allowing the locations to fail over between one another seamlessly: if one WAN goes down, limp-along traffic passes over the minimal link and out the other WAN.

Recientemente cambié el mecanismo por el cual el firewall bloquea IPs maliciosas, que me estaban medio que acalambrando todos los días. Ahora el sistema cada 1h, carga una lista de IPs bloqueadas por fail2ban que es publicada por el servidor principal. El cambio requirió que eliminara los bloqueos cumulativos anteriores, que eran de unas 1500 - 1800 IPs y dejar que ahora fail2ban las incorpore solo a la lista (independiente de las que pfSense ya bloquea y que baja de blocklists conocidas, que son otro tanto). Vamos 2 días de este sistema y en promedio el servidor está bloqueando unas 100 IPs por día, en forma lineal, hasta que se estabilice, calculo yo, cuando lleguemos a eso de 1000 IPs, porque supongo que algunas que las 1500 que estaban bloqueadas de antes, ya no eran maliciosas. Ahora todas las IP que bloqueaba fail2ban, eran bloqueadas por el servidor que está expuesto, ahora también están bloqueadas para toda la red de Undernet. Veremos como sigue...

Edit: Agregué bloquear todos los bot/scrappers IA Googlebot, SummalyBot, GPTBot, Amazonbot, ClaudeBot y la cosa aumentó dramáticamente...

Seguimos transmitiendo desde el bunker...

#seguridad #undernet #pfsense #fail2ban