Debian升级Fail2ban 0.10后如何启用IPv6（ip6tables）支持？

API 探路者

2026-5-19

解决Fail2ban 0.10在Debian上仅生成iptables规则、无ip6tables规则的问题

先别急，我来给你一步步梳理具体操作，亲测在Debian环境下有效：

第一步：确认ip6tables已安装并可用
先执行ip6tables -V检查是否有版本输出，如果提示命令不存在，先安装ip6tables：
```
apt-get update && apt-get install ip6tables
```
第二步：修改Fail2ban的jail配置（优先用local文件避免升级覆盖）
Fail2ban的核心配置文件是/etc/fail2ban/jail.conf，但建议修改/etc/fail2ban/jail.local（没有的话直接复制conf文件生成：cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local）。
找到全局的banaction配置项，默认可能只设置了ipv4的动作，改成同时支持ipv4和ipv6的动作：
```
banaction = iptables-multiport ip6tables-multiport
```
如果你只想给特定服务（比如sshd）启用ip6tables规则，也可以在对应jail的块里单独设置：
```
[sshd]
enabled = true
banaction = iptables-multiport ip6tables-multiport
```
第三步：确认ip6tables动作配置文件存在
进入/etc/fail2ban/action.d/目录，检查是否有ip6tables-multiport.conf文件。如果缺失，可通过重新安装Fail2ban补全：
```
apt-get install --reinstall fail2ban
```
第四步：重启Fail2ban服务并验证
重启服务让配置生效：
```
systemctl restart fail2ban
```
然后执行ip6tables -n -L，你应该能看到类似fail2ban-sshd的链和对应的封禁规则了。
额外排查点
- 确认你的Debian系统是IPv6双栈配置（即系统本身支持IPv6），如果系统完全禁用了IPv6，Fail2ban不会生成ip6tables规则。
- 检查jail配置里的protocol项，确保没限制为仅IPv4，比如设置为protocol = tcp, udp即可同时支持双栈。