Ban list expiration/reset

[dimsua]

Тестируем fastnetmon на openvz, для автоматической блокировки контейнера и возник такой нюанс.
Дописали в скрипт остановку контейнера и удаление IP контейнера.
Начинаем флудить, все хорошо: контейнер стопается, ip удаляется в скрине fastnetmon
Ban list:
37.143../582262 pps incoming

Но в условиях хостинга бывают ситуации, что клиент просыпается, пишет радостно атака закончилась (я порешал), впс запускается, IP добавляется, но атака никуда не ушла и в этом случае fastnetmon не сработает, т.к. в Ban list есть 37.143../582262 pps incoming
Планируется какой-то сброс Ban list или, например после выполнения команды/команд на блокировку выполнять сброс Ban list?
Или проще пока написать хак, который будет перезапускать fastnetmon при старте контейнера?

[pavel-odintsov]

В планах есть: https://github.com/FastVPSEestiOu/fastnetmon/issues/9 но сроков пока назвать не могу.

Как временное решение могу предложить рестарт монитора раз в сутки, например.

[pavel-odintsov]

Появилась мысль, что я могу добавить обработку сигнала SIGUSR1, чтобы как раз она делала обнуление banlist'а.

[dimsua]

Решили пока так:
https://github.com/dimsua/fastnetmon-misc/blob/master/notify_about_attack.sh
по сути при атаке - стопаем vps, удаляем ip, через 300 секунд перезапускаем fastnetmon ( пока arp cache везде очистится и трафик перестанет литься на vps-ноду)
init такой получился:
https://github.com/dimsua/fastnetmon-misc/blob/master/fastnetmon

[pavel-odintsov]

Интегрировано в основную ветку, теперь время бана задается как полчаса и после прохождения получаса IP удаляется из банлиста и в случае прихода атаки будет забанен снова.

Кроме этого, скрипт notify_about_attack теперь имеет 4й аргумент, где указано - ban/unban, то есть при желании можно реализовать автоматический анбан по таймауту.