fail2ban comportement bizarre des bannissements bannissements pas IP correctement

Le problème ici est votre regex "vulnérable" (non ancrée, avec de nombreux attrape-tout, etc.) ainsi que l'hypothèse non valide que la balise <HOST> correspondant à l'adresse IP uniquement (il peut également correspondre aux noms d'hôtes). Vous pouvez effectivement forcer fail2ban à ne faire correspondre que les adresses IP, soit en désactivant l'option usedns ou en utilisant une autre balise <ADDR> au lieu de <HOST> .

Mais au lieu de cela, il serait préférable d'utiliser des expressions rationnelles ancrées et plus précises :

failregex = ^(?:\S+:\d+ )?<ADDR> \S+ \S+ \[\] "[A-Z]+ /[^"]* \S+" 403\b

(remplacer l'étiquette <ADDR> con <HOST> si votre version de fail2ban est inférieure à la v.0.10).

Notez également que l'utilisation de l'horodatage au milieu du message n'est pas du tout recommandée, il serait préférable de reconfigurer le format du journal d'apache pour le placer en début de ligne, de sorte qu'il produise quelque chose comme ceci :

[15/Apr/2021:01:42:42 +0200] srv:443 192.0.2.1 - - "POST /wp-login.php HTTP/1.1" 403 ...

dans ce cas, votre prison pourrait alors ressembler à ceci :

[apache-403]
enabled = true
filter =
datepattern = ^\[%%d/%%b/%%Y:%%H:%%M:%%S(?:[.,]%%f)?(?: %%z)?\]
failregex = ^\s*(?:\S+:\d+ )?<ADDR> \S+ \S+ "[A-Z]+ /[^"]* \S+" 403\b
...

(a utilisé l'unique datepattern également ancré au début de la ligne).

Aussi, puisque vous semblez surveiller directement le journal d'accès, veuillez lire Fail2ban : : wiki : : Meilleure pratique car cette stratégie n'est pas du tout recommandée.