1
services:
2
  server:
3
    image: vaultwarden/server
4
    container_name: vaultwarden
5
    restart: always
6
    user: vaultwarden:vaultwarden
7
    environment:
8
      - DOMAIN=https://vaultwarden.example.com # 填写托管在 CloudFlare 的域名，注意协议是https
9
      - SIGNUPS_ALLOWED=true # 是否允许注册 如果仅是自己使用先设置为 true，注册完成后在 admin 管理页面中修改为 false
10
      - ORG_CREATION_USERS=false # 是否允许创建组织 如果仅是自己使用设置为 false
11
      - ADMIN_TOKEN= # 可使用 openssl rand -base64 32 生成，也可根据官方指引生成 argon2
12
      - WEBSOCKET_ENABLED=true # 启用 websocket 支持
13
      - ROCKET_PROXY_HEADER=CF-Connecting-IP # 解析请求头以获取真实用户ip
14
      - TZ=Asia/Shanghai # 设置时区
15
      - LOG_FILE=/data/vaultwarden.log # 设置日志文件位置
16
    ports:
17
      - "127.0.0.1:10000:80" # 设置暴露端口
18
    volumes:
19
      - ./data:/data/ # 设置数据保存目录

1
/{zone_id}/rulesets/{ruleset_id}/rules/{rule_id}

1
^\s*(?:\[\]\s*)?\[vaultwarden::api::(?:identity|admin|core::two_factor::authenticator)?\]\[ERROR\] (?:Invalid admin token|Invalid TOTP code|Username or password is incorrect)[\.!](?:\s+(?!IP:)\S+)* IP: <ADDR>(?:\. Username: <F-USER>\S+</F-USER>)?

1
Lines: 890 lines, 0 ignored, 75 matched, 815 missed

1
#vaultwarden-START
2
[vaultwarden]
3
enabled = true # 启用 Vaultwarden 防爆破规则
4
port = 80,443 # 指定监控与封禁的端口
5
filter = vaultwarden # 日志过滤规则，须与/etc/fail2ban/filter.d/下的匹配规则文件名称一致
6
banaction = %(banaction_allports)s # 封禁所有端口（全局屏蔽）
7
logpath = /opt/vaultwarden/data/vaultwarden.log # Vaultwarden 日志路径
8
backend = pyinotify # 监听文件
9
maxretry = 3 # 最大失败次数
10
findtime = 60 # 统计时长 60s
11
bantime = 60 # 封禁时长 60s
12
action = cloudflare-vaultwarden # 触发 Action 动作调用 Cloudflare API 进行封禁和解封
13
#vaultwarden-END

1
#!/bin/bash
2

3
# 定义变量，接收传入的参数
4
status="$1"
5
IP="$2"
6
CLOUDFLARE_API_TOKEN="$3"
7
ZONE_ID="$4"
8
RULESET_ID="$5"
9
RULE_ID="$6"
10

11
# 定义 Cloudflare API 的 URL。Get an account or zone entry point ruleset
12
cf_api_get_point_ruleset_url="https://api.cloudflare.com/client/v4/zones/${ZONE_ID}/rulesets/phases/http_request_firewall_custom/entrypoint"
13

14
# 获取指定 ZONE_ID 的 http_request_firewall_custom 规则的所有规则集
15
ruleset_data=$(curl -s -X GET "${cf_api_get_point_ruleset_url}" -H "Authorization: Bearer ${CLOUDFLARE_API_TOKEN}")
16

17
# 根据 RULE_ID 获取对应规则集中现在有的表达式
18
expression=$(echo "$ruleset_data" | jq -r --arg RULE_ID "$RULE_ID" '.result.rules[] | select(.id == $RULE_ID) | .expression')
19
action=$(echo "$ruleset_data" | jq -r --arg RULE_ID "$RULE_ID" '.result.rules[] | select(.id == $RULE_ID) | .action')
20
description=$(echo "$ruleset_data" | jq -r --arg RULE_ID "$RULE_ID" '.result.rules[] | select(.id == $RULE_ID) | .description')
21

22
# 如果没有找到对应的规则，直接退出
23
if [ -z "$expression" ]; then
24
        exit 0
25
fi
26

27
# 根据 status 参数执行相应的操作
28
if [ "$status" = "ban" ]; then
29
    # 检查现有表达式中是否已经包含要添加的IP
30
    if echo "$expression" | grep -q "(ip.src eq ${IP})"; then
31
        exit 0
32
    fi
33

34
    # 如果不包含要添加的IP则重新构造表达式，添加需要封禁的IP
35
    new_expression="${expression} or (ip.src eq ${IP})"
36

37

38
elif [ "$status" = "unban" ]; then
39
    # 检查现有表达式中是否包含需要取消封禁的IP
40
    if ! echo "$expression" | grep -q "(ip.src eq ${IP})"; then
41
        exit 0
42
    fi
43

44
    # 如果包含需要取消封禁的IP则重新构造表达式，删除需要取消封禁的IP
45
    new_expression=$(echo "$expression" | sed "s/ or (ip.src eq ${IP})//g; s/(ip.src eq ${IP}) or //g; s/(ip.src eq ${IP})//g")
46
    # 禁止删除最后一个 IP，避免规则失效
47
    if [ -z "$new_expression" ]; then
48
        exit 0
49
    fi
50
fi
51

52
# 调用 API 更新规则
53
curl -s -X PATCH "https://api.cloudflare.com/client/v4/zones/${ZONE_ID}/rulesets/${RULESET_ID}/rules/${RULE_ID}" \
54
    -H 'Content-Type: application/json' \
55
    -H "Authorization: Bearer ${CLOUDFLARE_API_TOKEN}" \
56
    -d "{\"description\":\"${description}\",\"action\":\"${action}\",\"expression\":\"${new_expression}\"}"

1
[Definition]
2
actionstart =
3
actionstop =
4
actioncheck =
5
actionban = /etc/fail2ban/scripts/cloudflare-vaultwarden.sh ban <ip> <cloudflare_api_token> <zone_id> <ruleset_id> <rule_id>
6
actionunban = /etc/fail2ban/scripts/cloudflare-vaultwarden.sh unban <ip> <cloudflare_api_token> <zone_id> <ruleset_id> <rule_id>
7

8
[Init]
9

10
# Cloudflare API 令牌
11
cloudflare_api_token =
12

13
# 域名区域 ID (zone_id)
14
zone_id =
15

16
# 自定义规则集 ID(ruleset_id)
17
ruleset_id =
18

19
# 规则 ID (rule_id)
20
rule_id =
21

22
# 防火墙规则的目标。默认是 "ip"（IPv4）
23
cftarget = ip
24

25
[Init?family=inet6]
26
# 启用 IPv6
27
cftarget = ip6