fail2ban有关日志大小、复杂性和finditme设置的性能注意事项

Question

我是fail2ban的新手，很难找出我正在考虑设置的不同配置的性能考虑因素。这是运行在一个覆盆子pi板，所以性能是一个问题。在

我能想到的明显的优化是使用高效的正则表达式，并且只需要最少的监狱数量。我想我的具体问题是：

1. 相对于findtime值，资源使用率如何增加？我猜非常小和非常大的值都会以不同的方式影响服务器，这与RAM和CPU有关。在
2. 类似地，日志文件的大小和fail2ban监视的不同日志文件的数量如何影响总体资源使用情况？在

举个例子，这个监狱允许某人每天尝试3600个SSH登录密码，如果他们知道fail2ban配置并调整了脚本时间以适应。在

[ssh]
enabled  = true
action   = iptables-allports[name=ssh]
filter   = sshd
logpath  = /var/log/auth.log
maxretry = 6
findtime = 120

如果我们将findtime更改为86400（1天）的另一个极限，它每天只允许5次尝试，但现在它监视的日志文件的大部分。这对资源使用有何影响？在

另一个例子是，一个因洪水后袭击而入狱的监狱：

^{pr2}$

这里，我们有相反的情况，findtime计数器每10秒重置一次。它还监视所有*访问日志（我猜，我还是个新手）。这可能意味着它在监视访问.log，其他主机_访问.log，也许还有一个https_访问.log对于网站的https部分。如果今天很忙，这些文件都是10-20mb的呢？在

希望这能解释我的想法。提前谢谢你的帮助。在

Answer 1

只有一种方法可以找到这个，测试一下，别无选择。在

如果需要，可以添加内存使用的监控，但是没有公式可以告诉您需要多少CPU、IO或内存。在

通常，当您重新调整系统时，请在注释中输入新值和需要重新调整的日期。这可以让你看看是否有任何趋势。在

我个人的看法是每次增加30-50%的受影响资源。如果你用的少于这个，你就冒着太多这样做的风险。在