Fail2ban可通过自定义action在封禁IP时同步触发报警；需编写可执行告警脚本接收$1（IP）、$2（Jail名）等参数，再在action.d下定义alert-and-ban.conf，于actionban行调用脚本，最后在jail.local中指定action=alert-and-ban。
Fail2ban 默认支持通过 action 在封禁 IP 后触发外部操作，比如发邮件、调用脚本或推送通知。要实现“封禁黑名单 IP 后自动报警”，关键在于：自定义一个 action，在执行 iptables（或 nftables）封禁的同时，同步触发告警（如邮件、企业微信、钉钉、Syslog 或 Slack）。下面分步说明如何安全、可靠地实现。
1. 编写自定义报警脚本
先准备一个可执行的 shell 脚本（例如 /usr/local/bin/fail2ban-alert.sh），接收 Fail2ban 传入的参数（被封 IP、服务名、封禁时长等）并发送报警：
- 脚本需有执行权限：
chmod +x /usr/local/bin/fail2ban-alert.sh - 使用
$1（IP）、$2（Jail 名）、$3（封禁时长）等变量（Fail2ban 会按顺序传入） - 示例（发邮件）：
#!/bin/bash
IP=$1
JAIL=$2
TIME=$3
SUBJECT="⚠️ Fail2ban 封禁告警: $IP ($JAIL)"
BODY="时间: $(date)\nIP: $IP\n服务: $JAIL\n封禁时长: ${TIME:-permanently}\n服务器: $(hostname)"
<p>echo -e "$BODY" | mail -s "$SUBJECT" admin@example.com</p>如需接入钉钉/企业微信，可用 curl 调用 Webhook；注意对敏感 URL 做权限保护（如仅 root 可读）。
2. 定义自定义 Action（在 jail.local 中引用）
Fail2ban 的 action 是由 .conf 文件定义的，推荐在 /etc/fail2ban/action.d/ 下新建文件（如 alert-and-ban.conf）：
[Definition]
actionstart = iptables -N f2b-<name>
iptables -A f2b-<name> -j RETURN
iptables -I INPUT -p <protocol> -m multiport --dports <port> -j f2b-<name>
actionstop = iptables -D INPUT -p <protocol> -m multiport --dports <port> -j f2b-<name>
iptables -F f2b-<name>
iptables -X f2b-<name>
actioncheck = iptables -n -L INPUT | grep -q 'f2b-<name>[ \t]'
actionban = iptables -I f2b-<name> 1 -s <ip> -j DROP
/usr/local/bin/fail2ban-alert.sh <ip> <name> <bantime>
actionunban = iptables -D f2b-<name> -s <ip> -j DROP
⚠️ 注意：actionban 行末尾调用了你的报警脚本，并传入了 <ip></ip>、<name></name>、<bantime></bantime> —— 这些是 Fail2ban 内置宏，无需修改。
3. 在 jail 配置中启用该 action
编辑 /etc/fail2ban/jail.local，为指定 jail（如 sshd）指定新 action：
[sshd] enabled = true filter = sshd logpath = /var/log/auth.log maxretry = 3 bantime = 3600 # 使用自定义 action（不带 .conf 后缀） action = alert-and-ban[name=sshd, port="ssh", protocol="tcp"]
如果希望所有 jail 统一使用，可在 [DEFAULT] 段设置 action = alert-and-ban[...]。多个 action 可用空格分隔（如同时保留邮件 action 和自定义 action）。
4. 测试与验证
配置完成后务必测试，避免语法错误导致 fail2ban 启动失败：
- 检查语法：
fail2ban-client -t - 重载配置：
fail2ban-client reload - 手动触发封禁测试：
fail2ban-client set sshd banip 192.168.1.100 - 查看日志确认是否执行脚本：
journalctl -u fail2ban -n 50 -f或检查/var/log/fail2ban.log - 检查 iptables 是否生效：
iptables -nL f2b-sshd
若脚本报错（如权限、路径、环境变量缺失），Fail2ban 默认会静默忽略，建议在脚本开头加 set -x 和日志输出便于调试。
整个过程不依赖第三方 Python 库，纯 shell + Fail2ban 原生机制，稳定且易于审计。报警内容可根据需要扩展上下文（如 IP 归属地、最近登录记录、GeoIP 查询结果），但核心逻辑始终是：在 actionban 阶段串行执行封禁和告警。
