CrowdSec sperrt ständig den Terminalserver.

[BüroMensch]

Hallo, seit ein Paar Tagen sperrt CrowdSec unseren Terminalserver alle 2 bis 3 Tage aus. Ich muss ständig unter Decisions, die Sperre löschen.
Habe Alias mit der IP-Adresse IPv4 des Terminalservers erstellt, eine Regel unter Firewall\Rules\Floating erstellt. Trotzdem heute wieder war der Terminalserver gesperrt. Gestern nach der Erstellung der Regel habe unter Firewall Live gesehen, dass der TS grün war, heute leider rot. Was mache ich falsch? 
Sorry für mein Deutsch und danke jetzt schon.
BüroMensch

[JamesFrisch]

Hallo, seit ein Paar Tagen sperrt CrowdSec unseren Terminalserver alle 2 bis 3 Tage aus. Ich muss ständig unter Decisions, die Sperre löschen.

Was triggert denn die Sperre?

Habe Alias mit der IP-Adresse IPv4 des Terminalservers erstellt, eine Regel unter Firewall\Rules\Floating erstellt.

Hmm... bin mir nicht ganz sicher, aber ich glaube die Automatic Rules greifen vor deinen manuellen Rules.
Sprich, du wirst von Crowdsec in den automatic rules geblockt, egal was du nachher für eigene rules erstellst.

Gestern nach der Erstellung der Regel habe unter Firewall Live gesehen, dass der TS grün war, heute leider rot. Was mache ich falsch? 

Gestern wurde er durchgelassen, heute blockiert. Die Blockade ist bei den meisten crowdsec scenarios nur 4h.
Schritt 1 wäre also mal rauszufinden, warum überhaupt die Sperre getriggert wurde.

[JamesFrisch]

Die siehst du btw unter

https://deineOPNsense/ui/crowdsec/decisions/index

[Patrick M. Hausen]

Prüf mal die Whitelists:

https://docs.crowdsec.net/u/getting_started/post_installation/whitelists/

[BüroMensch]

Hmm... bin mir nicht ganz sicher, aber ich glaube die Automatic Rules greifen vor deinen manuellen Rules.
Sprich, du wirst von Crowdsec in den automatic rules geblockt, egal was du nachher für eigene rules erstellst.

die KI sagt, dass die manuell erstellte Rules immer vor den automatsch erstellten stehen. hmm...

[JamesFrisch]

Vielleicht ist es auch nochmals anders und Crowdsec blockt direkt per pf und es ist darum egal was wir in den Firewall rules erstellen.


Ist am Ende aber auch egal. Was ist mit den decisions? Klar kannst du wie Patrick vorschlägt einfach whitelisten, mich würde aber der Trigger interessieren.


Hatte schon mal fälschliche DDOS trigger auf meine Nextcloud, einfach weil tausende files gesynct wurden. Danach konnte ich es für meine Bedürfnisse anpassen.