Проблема: Fail2ban ошибочно банит доверенные IP-адреса при попытке подключения по SSH (ложноположительное срабатывание).

Причины:
1. Слишком низкие пороги срабатывания (`maxretry`, `findtime`) — легитимные повторные подключения (например, из-за сбоя сети или автоматизации) превышают лимит.
2. Неверное регулярное выражение в фильтре (`sshd.conf`) — захватывает нормальные события (ошибки аутентификации из-за неверного ключа, дубликаты логов).
3. Игнорирование доверенных подсетей/IP не настроено (параметр `ignoreip` пуст или не включает нужные диапазоны).
4. Многопоточные/параллельные подключения (например, Git‑push, Ansible) воспринимаются как множественные неудачные попытки.
5. Сетевые задержки и повторная передача пакетов — клиент отправляет несколько SYN, а сервер логирует их как отдельные подключения.

Решение:
1. Настройте `ignoreip` в `/etc/fail2ban/jail.local`:
ini
[sshd]

   enabled = true

   ignoreip = 127.0.0.1/8 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16

Перезапустите fail2ban: `systemctl restart fail2ban`

2. Проверьте и увеличьте пороги (`maxretry`, `findtime`):
ini
[sshd]

   maxretry = 5

   findtime = 600   # секунд (10 минут)

   bantime = 600    # можно 300 для теста

Если параллельные подключения — увеличьте `maxretry` до 10–15.

3. Оптимизируйте фильтр `sshd.conf` — отредактируйте `/etc/fail2ban/filter.d/sshd.conf`:
regex
failregex = ^%(__prefix_line)s(?:error: PAM: )?Authentication failure for . from

Исключите нерелевантные строки (например, `Failed keyboard-interactive` не включать, если используете ключи).

4. Используйте `journalctl` вместо `auth.log` (если система на systemd):
ini
backend = systemd

В `jail.local`:
ini
[sshd]

   backend = systemd


5. Проверьте, не дублируются ли логи (rsyslog) — добавьте в `/etc/rsyslog.conf`:
text
$RepeatedMsgReduction on


6. Добавьте исключение для автоматизированных клиентов (например, Ansible) — задайте переменные в `jail.local` по хосту:
ini
[sshd]

   ignorecommand = /usr/local/bin/check-whitelist.sh

Скрипт проверяет IP и возвращает 0, если IP в белом списке.

7. Тестируйте фильтр вручную:**
bash
fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf

Убедитесь, что `Ignored lines` не захватывают ваши легитимные записи.