Configurar el agente para Linux

Cada clave de /etc/reportedip-agent/config.yaml con su valor por omisión y su rango, los umbrales de detección por fuente, la escalada de bloqueos, los límites de funcionamiento, el correo que llega cuando algo va mal, y qué cambio tiene efecto en la siguiente sincronización, en un reinicio o en menos de un minuto.

Configuración

Un archivo, una lista blanca, un directorio de estado. Lo que escribe el instalador ya encaja con el host; la mayoría de las instalaciones cambian solo dos cosas, el valor de mode y si el bloqueo local está activo.

Cada clave de config.yaml

Solo api_key es obligatoria. Cada otra clave tiene el valor por defecto que se indica, y una clave que omitas conserva ese valor. Un valor fuera de su rango es un error que nombra la clave, nunca un recorte silencioso. Los puntos en los nombres de abajo marcan el anidamiento: ban.enabled es un enabled: sangrado bajo ban:.

Un archivo completo que el analizador acepta, con cada bloque que usa un host normal:

# /etc/reportedip-agent/config.yaml   root:root 0600
api_key: "YOUR_API_KEY"
api_url: https://reportedip.com/wp-json/reportedip/v2

log_level: warn              # debug | info | warn | error
log_file: /var/log/reportedip-agent.log
log_max_mb: 10
log_keep: 3
auto_update: true

backend: auto                # auto | ipset | nftables
mode: drop                   # log | drop | off
confidence: 90               # the feed threshold
limit: 50000

lists:                       # ssh, edge and group are always on
  ssh:
    ports: [22]              # written by install from the real listener
  edge: {}
  mail: {}
  web: {}

min_entries:                 # below this many addresses a list is not applied
  ssh: 1000
  mail: 500
  web: 500
  ftp: 500
  edge: 1000

whitelist_file: /etc/reportedip-agent/whitelist.conf

min_hits: 5                  # the global detection pair
window_minutes: 10
web_min_hits: 50             # the web source uses its own
web_window_minutes: 120
dedup_hours: 6
queue_max: 5000
disk_min_mb: 200

sources:                     # detected at install time
  - type: sshd
  - type: web
    glob: /var/www/*/log/access.log
  - type: web-error
    path: /var/log/nginx/error.log
  - type: postfix
    path: /var/log/mail.log
  - type: dovecot
    path: /var/log/mail.log
  - type: scan               # the kernel log; adds the port scan rule

thresholds: {}               # per event source overrides, see below

ban:                         # block local finds, not only the feed
  enabled: true
  time_minutes: 30
  max_time_minutes: 10080
  escalate: 4
  memory_hours: 24

notify:
  email: ""                  # empty means no mail
  cooldown_hours: 24
  relay: true                # through reportedip.com, from Professional

Límites de detección, por fuente

Un umbral es un par: cuántos golpes, en cuántos minutos. Es la misma idea que maxretry y findtime de un jail de fail2ban. Tres niveles deciden qué par se aplica a una fuente de evento, y gana el primero que tenga respuesta.

La clave en thresholds es la fuente de evento de esa tabla, no el tipo de fuente de sources. Los dos números tienen que ser al menos 1. Un solo bloque thresholds, una entrada por fuente que quieras cambiar:

thresholds:
  # A resolver that sees a lot of refused queries: fewer minutes,
  # more hits.
  named:
    hits: 40
    window_minutes: 5
  # A mail server whose customers keep mistyping passwords: SASL a
  # little more forgiving, Dovecot untouched.
  postfix-sasl:
    hits: 6
    window_minutes: 60
  # An exposed SSH port, stricter than the global pair.
  sshd:
    hits: 3
    window_minutes: 10

Subir un umbral hace al agente más silencioso y deja pasar a los atacantes lentos. Bajarlo es la dirección que cuesta algo: por debajo de unos tres golpes por hora en una fuente de correo o web acabarás notificando a un cliente con una contraseña mal puesta en su programa de correo, y un informe es público dentro de la comunidad.

Un dato no es configurable. Una dirección con historial de bloqueos necesita menos golpes que una desconocida: un bloqueo anterior cuenta una línea el doble, dos el triple, luego cinco y nueve. El peso se recorta al umbral de su fuente de evento, así que un décimo bloqueo no convierte una sola línea en un informe.

Límites de bloqueo

Cinco valores en el bloque ban, cada uno en la unidad que nombra su clave. Solo se aplican a direcciones que el agente encontró en tus propios registros. La lista comunitaria no tiene tiempo de bloqueo alguno, se reemplaza entera en cada pasada del feed. Con los valores por defecto, una dirección que vuelve queda bloqueada 30 minutos, luego 2 horas, 8 horas, 32 horas y 128 horas, y después durante el techo de 7 días.

# Careful: a short first ban, a low cap, a long memory.
ban:
  enabled: true
  time_minutes: 10
  max_time_minutes: 1440     # one day
  escalate: 3
  memory_hours: 72

# Strict: a long first ban and a hard escalation.
ban:
  enabled: true
  time_minutes: 60
  max_time_minutes: 43200    # thirty days
  escalate: 6
  memory_hours: 168          # a week

Límites de funcionamiento

Estos valores acotan lo que el agente consume él mismo. No son ajustes de detección, y los dos que merece la pena cambiar son el tamaño de la cola y el suelo de disco.

Por debajo del suelo de disco el agente deja de encolar informes nuevos, anota el estado y lo envía por correo, y sigue detectando y bloqueando. Un /var lleno es peor que un informe perdido.

Límites que no vienen del archivo

Cuatro números no son un ajuste del host. Vienen de tu cuenta y el agente los consulta, y por eso una mejora de plan tiene efecto sin que nadie edite un archivo.

Un correo cuando algo va mal

Lo que se envía por correo es un estado y no un evento, así que un feed que falla cada hora es un mensaje y no veinticuatro. El agente lleva once estados, recuerda cuándo se envió por correo cada uno por última vez para que un reinicio no empiece de cero, y envía un aviso de restablecimiento cuando uno termina.

El correo lleva el nombre del host, la versión, el nombre del estado, una frase corta con números y el comando con el que mirar. Nunca una línea de registro, nunca una dirección IP, nunca una ruta. Como máximo un correo por estado dentro de notify.cooldown_hours. Detener el agente envía exactamente un correo que nombra lo que este host deja de hacer; un reinicio de la máquina y un reinicio del servicio no envían ninguno, y eso es lo que mantiene callada la actualización automática.

install escribe el bloque notify, así que la dirección es una opción de línea de comandos al instalar y no un retoque posterior. Una configuración existente nunca se cambia, ni siquiera por una actualización.

# Arm the mail while the host is being set up
sudo REPORTEDIP_KEY=<YOUR-KEY> reportedip-agent install --notify-email ops@example.org

# The same through the install script, so one line arms a whole
# rollout
curl -fsSL https://reportedip.com/agent/install.sh \
  | REPORTEDIP_ACCEPT_TERMS=1 REPORTEDIP_KEY=<YOUR-KEY> REPORTEDIP_NOTIFY_EMAIL=ops@example.org sh

Tres vías de entrega, en el orden en que el agente las intenta. Sin notify.email no se ejecuta ninguna.

# The default: out through the relay of reportedip.com, so this
# host needs no mail server of its own.
notify:
  email: "ops@example.org"
  cooldown_hours: 24
  relay: true

# Local delivery only, through postfix, exim or msmtp.
notify:
  email: "ops@example.org"
  cooldown_hours: 24
  relay: false

# No local MTA and no relay: your own SMTP.
notify:
  email: "ops@example.org"
  cooldown_hours: 12
  relay: false
  smtp:
    host: mail.example.org
    port: 587
    from: agent@example.org
    user: agent@example.org
    password: "..."
    starttls: true

Ejecuta reportedip-agent doctor después de configurar esto. Su sección mail dice si un correo puede salir realmente del host, que es una pregunta distinta de si la configuración se puede leer. Un destinatario ausente se nombra en cada ejecución y no cuenta como fallo.

Cuándo tiene efecto un cambio

El agente lee su configuración al arrancar, no vigila el archivo y no tiene señal de recarga. El comando que necesitas depende de la parte que hayas tocado.

# The safe sequence after any edit
reportedip-agent status >/dev/null; [ $? -ne 2 ] && echo "config parses"
reportedip-agent sync
systemctl restart reportedip-agent.service
systemctl status reportedip-agent.service --no-pager

Última actualización: 30. septiembre 2026 · Mantenido por el equipo de ReportedIP