同一IP被Fail2Ban多Jail重复封禁，解封时触发日志错误的解决方法

嗨，我完全懂你遇到的麻烦——当一个扫了多个端口的IP被你的多个Fail2Ban Jail同时封禁后，第一个Jail解封时已经把IP从drop zone里移除了，后面的Jail再执行unban命令就会因为找不到IP而报错，确实挺闹心的。下面给你几个实用的解决思路和具体实现方案：

方法一：在Ban/Unban动作中加入存在性检查 #

这个思路最直接，就是在执行封禁或解封命令前，先检查IP的状态，只在需要的时候执行动作，避免重复操作。

修改你的动作配置文件（比如每个Jail对应的/etc/fail2ban/action.d/${F2B_NAME}.conf），把actionban和actionunban的命令改成带检查的版本：

[INCLUDES]
before =

[Definition]
actionstart =
actionstop =
actioncheck =
# 封禁前先检查IP是否不在drop zone，不在才执行添加操作
actionban = firewall-cmd --zone=drop --query-source=<ip> || firewall-cmd --zone=drop --add-source=<ip>
# 解封前先检查IP是否在drop zone，在才执行移除操作
actionunban = firewall-cmd --zone=drop --query-source=<ip> && firewall-cmd --zone=drop --remove-source=<ip>

简单解释下：

• firewall-cmd --zone=drop --query-source=<ip> 会检查目标IP是否在drop zone内，存在返回0，不存在返回非0
• || 表示前面的命令失败（即IP不在zone里）时，才执行后面的添加命令
• && 表示前面的命令成功（即IP在zone里）时，才执行后面的移除命令

这样不管多少个Jail执行封禁，IP只会被添加一次；解封时只有第一个Jail会执行移除操作，后面的Jail因为检测到IP已经不在zone里，就不会再执行移除命令，自然也就不会报错了。

方法二：使用共享的通用动作文件 #

既然所有Jail的封禁/解封逻辑都是针对drop zone的，你可以创建一个通用的动作文件，让所有Jail复用它，这样既能统一逻辑，也能避免重复操作。

1. 创建通用动作文件/etc/fail2ban/action.d/drop_zone.conf：

[INCLUDES]
before =

[Definition]
actionstart =
actionstop =
actioncheck =
actionban = firewall-cmd --zone=drop --query-source=<ip> || firewall-cmd --zone=drop --add-source=<ip>
actionunban = firewall-cmd --zone=drop --query-source=<ip> && firewall-cmd --zone=drop --remove-source=<ip>

2. 然后修改每个Jail的配置文件（比如/etc/fail2ban/jail.d/http_https_deny.conf），把banaction改成这个通用动作：

[http_https_deny]
enabled = true
filter = http_https_deny
banaction = drop_zone
bantime = 48h
findtime = 10m
maxretry = 1

这样所有Jail都使用同一个动作逻辑，既能简化配置维护，也能彻底解决重复封禁/解封的报错问题。

验证修改效果 #

改完配置后，记得重启Fail2Ban服务让修改生效：

sudo systemctl restart fail2ban

之后再遇到同一IP被多个Jail封禁的情况，解封时就不会再出现那些UNKNOWN_SOURCE的错误日志了。

备注：内容来源于stack exchange，提问作者it_buddha