First commit

generic/fail2ban/jail.local

@@ -0,0 +1,29 @@
+[DEFAULT]
+backend  = systemd
+usedns   = no
+
+# Explicite (sinon fail2ban logue un WARNING par jail : "'allowipv6' not
+# defined ... Using default one: 'auto'"). Cohérent avec le pare-feu, qui
+# désactive IPv6 partout (sysctl disable_ipv6=1, ip6tables en DROP total,
+# voir generic/firewall/firewall-launcher.sh) : rien à laisser matcher.
+allowipv6 = false
+
+# IPs exclues : loopback, VPN clients, réseau local
+ignoreip = 127.0.0.0/8 10.8.0.0/24 192.168.250.0/24 192.168.1.0/24
+
+findtime  = 5m
+maxretry  = 3
+bantime   = 1h
+
+# banaction en ligne unique — le port est passé explicitement dans action (voir ci-dessous)
+banaction          = f2b-iptables-multiport
+banaction_allports = f2b-iptables-allports
+
+# Passage explicite de port/protocol/chain pour éviter le défaut port=ssh (22)
+# du [Init] de l'action. %(port)s est résolu dans le contexte de chaque jail.
+action = %(banaction)s[name=%(__name__)s, port="%(port)s", protocol="%(protocol)s", chain="%(chain)s"]
+         f2b-mqtt-action-banisher[port="%(port)s", protocol="%(protocol)s"]
+
+destemail  = postmaster@domain.net
+sendername = Fail2Ban
+mta        = mail