[DEFAULT]
backend  = systemd
usedns   = no

# Explicite (sinon fail2ban logue un WARNING par jail : "'allowipv6' not
# defined ... Using default one: 'auto'"). Cohérent avec le pare-feu, qui
# désactive IPv6 partout (sysctl disable_ipv6=1, ip6tables en DROP total,
# voir generic/firewall/firewall-launcher.sh) : rien à laisser matcher.
allowipv6 = false

# IPs exclues : loopback, VPN clients, réseau local
ignoreip = 127.0.0.0/8 10.8.0.0/24 192.168.250.0/24 192.168.1.0/24

findtime  = 5m
maxretry  = 3
bantime   = 1h

# banaction en ligne unique — le port est passé explicitement dans action (voir ci-dessous)
banaction          = f2b-iptables-multiport
banaction_allports = f2b-iptables-allports

# Passage explicite de port/protocol/chain pour éviter le défaut port=ssh (22)
# du [Init] de l'action. %(port)s est résolu dans le contexte de chaque jail.
action = %(banaction)s[name=%(__name__)s, port="%(port)s", protocol="%(protocol)s", chain="%(chain)s"]
         f2b-mqtt-action-banisher[port="%(port)s", protocol="%(protocol)s"]

destemail  = postmaster@domain.net
sendername = Fail2Ban
mta        = mail