自動防禦設定（fail2ban）會在有人一直嘗試登入失敗時，自動把那個來源 IP 封鎖一段時間。GW 是對外的郵件閘道，SMTP 與 POP/IMAP 的登入埠一定會有來自網際網路的嘗試（有人拿字典檔猜帳號密碼），這一頁就是擋這種攻擊的主要機制。
什麼時候會用到這一頁：
- 系統日誌出現大量登入失敗，想自動封鎖來源
- 某個 IP 一直被鎖，但那是自己人或監控系統，要加白名單
- 已經確定某個 IP 是惡意來源，要永久封鎖
- 有人反映「突然連不上」，要確認是不是被自動防禦鎖住了
- 要解除某個被封鎖的 IP
四個頁籤
| 頁籤 | 內容 |
|---|---|
防禦設定 |
三個防禦項目（Jail）的開關與參數、服務開關 |
白名單 / 黑名單 |
白名單（不會被封鎖的來源）、黑名單（永久封鎖） |
已封鎖清單 |
目前被封鎖的 IP，可手動解除 |
| （服務狀態） | 頁面上方顯示 fail2ban 服務是否在跑，並可重新啟動 |
⚠️ 若畫面提示「本機尚未安裝 fail2ban，自動防禦不會生效（請先安裝 fail2ban 套件）」，代表這台機器沒有 fail2ban，設定存了也不會生效。
防禦設定 頁籤
啟用服務
- 開關（開／關），出廠預設為開
- 畫面說明原文：「開機時自動啟動 fail2ban 防禦」
- 關閉之後，開機不會啟動 fail2ban（但已經在跑的封鎖仍會持續到解除）
三個防禦項目（Jail）
GW 只有三個防禦項目，與 MailVSR-MS 不同（MS 還有 Dovecot、DNS 等項目；GW 不託管信箱、也不提供 DNS 服務，所以沒有）：
| 項目（畫面文字） | 監視什麼 | 畫面說明原文 |
|---|---|---|
| SMTP | SMTP 登入失敗 | 監視 SMTP 登入失敗（SASL authentication failed — 帳號密碼暴力破解） |
| POP/IMAP 代理 | 代理登入失敗 | 監視 POP/IMAP 代理登入失敗（Invalid login or password） |
| 累犯 | 被任一項目封鎖達次數的 IP | 同 IP 在時間窗內被任一防禦項目封鎖達次數 → 延長封鎖（如 1 天內 5 次 → 封鎖 7 天） |
每個項目有三個參數（每個項目各自獨立設定）：
- 時間窗（下拉選單）：在這段時間內累計失敗次數
- 重試次數：達到幾次失敗就封鎖（可輸入，允許範圍 2～100）
- 封鎖時長（下拉選單）：封鎖多久
出廠預設值：
| 項目 | 啟用 | 時間窗 | 重試次數 | 封鎖時長 |
|---|---|---|---|---|
| SMTP | ✅ 開 | 600 秒（10 分鐘） | 5 次 | 600 秒（10 分鐘） |
| POP/IMAP 代理 | ✅ 開 | 600 秒（10 分鐘） | 5 次 | 600 秒（10 分鐘） |
| 累犯 | ⬜ 關 | 86400 秒（1 天） | 5 次 | 604800 秒（7 天） |
怎麼選參數（實務建議）：
- 時間窗：太短會讓慢慢嘗試的攻擊者永遠達不到門檻；一般辦公室用 10 分鐘～1 小時是合理區間
- 重試次數：太小會誤鎖「打錯密碼的真人」（一般使用者連錯 5 次很常見）；建議不要低於 5
- 封鎖時長：太長會讓誤鎖的人很久不能收信；建議 10 分鐘～1 小時。要長時間封鎖特定 IP 請用黑名單（見下）
- 累犯：平常可以關著；若發現同一批 IP 反覆來試，再打開讓它自動延長封鎖
⚠️ 下拉選項與系統可接受範圍不一致（重要陷阱）
畫面上的下拉選單提供的選項比系統實際接受的範圍更寬，選到超出範圍的值會儲存失敗：
| 參數 | 下拉選單提供的範圍 | 系統實際接受 | 選了會被擋下的值 |
|---|---|---|---|
| 時間窗 | 30 秒 ～ 7 天 | 60 ～ 86400 秒（1 分鐘～1 天） | 30 秒、45 秒、2 天以上 |
| 封鎖時長 | 10 分鐘 ～ 30 天 | 60 ～ 604800 秒（1 分鐘～7 天） | 10 天、15 天、30 天 |
| 重試次數 | 手動輸入 | 2 ～ 100 | 0、1、101 以上 |
實務上請這樣用：時間窗不要超過「1 天」、封鎖時長不要超過「7 天」。若您真的需要更長的封鎖，請改用黑名單（永久封鎖）。（此不一致已在產品端回報。）
白名單 / 黑名單 頁籤
白名單
- 說明：「白名單內的 IP 不會被封鎖（預設已含
127.0.0.1）」 - 欄位：白名單 IP / 網段（多行文字，最長 1000 字元），每行一個 IP 或網段
- 畫面說明原文：「每行一個 IP 或網段（如
192.168.8.0/24）」 - 出廠預設（僅在從未設定過時顯示）：
192.168.0.0/16、10.0.0.0/8（私有網段） - 一旦儲存過（即使清空），就以您儲存的值為準——不會再自動帶回預設值
什麼要放白名單：公司對外 IP（避免自己人測錯密碼被鎖）、內網後端郵件主機、監控系統、備援機。
黑名單
- 說明：「黑名單內的 IP 將被永久封鎖（nftables drop — 不經 fail2ban 時間限制）」
- 欄位：黑名單 IP（多行文字，最長 1000 字元），每行一個 IP（畫面說明：每行一個 IP（永久封鎖））
- 這是永久封鎖，不會時間到自動解除。要解除必須回來把該行刪掉並儲存
⚠️ 黑名單只接受單一 IP（不像白名單可以寫網段）。若您要封鎖一整個網段，請用（防火牆設定 / 手動防禦設定）。
⚠️ 別把「自己的管理 IP」加進黑名單——加下去之後您會立刻連不回來。這種情況的救援是從機器主控台處理或使用逃生旗標（見（防火牆設定 / 基礎設定）的逃生機制）。
已封鎖清單 頁籤
顯示目前被自動防禦封鎖的 IP：
| 欄位 | 說明 |
|---|---|
| 防禦項目 | 是哪個 Jail 鎖的（SMTP／POP/IMAP 代理／累犯） |
| 封鎖 IP | 被封鎖的來源位址 |
| 阻擋時機 | 什麼時候開始封鎖 |
| 解鎖時間 | 什麼時候會自動解除 |
| 操作 | 可單筆「解除封鎖」 |
- 可用「搜尋封鎖 IP」過濾
- 沒有資料時顯示「目前沒有被封鎖的 IP」
- 可勾選多筆做「大量解除封鎖」（會先確認「確定要解除所選的 N 筆封鎖嗎？」）
- 單筆解除會先確認「確定要解除封鎖 IP「:ip」嗎？」
- 成功顯示「✓ 已解除封鎖」；失敗顯示「解除封鎖失敗」
什麼時候要來這裡：使用者或同事反映「突然不能收信／登入」，而時間點與大量登入失敗吻合時。先確認那個 IP 是自己人，再解除封鎖，並把該 IP（或公司對外 IP）加進白名單，避免下次又被鎖。
儲存後會發生什麼
- 成功：「✓ 防禦設定已套用」——系統會寫入 fail2ban 的設定、重新載入，並套用黑名單的封鎖規則
- 失敗：「防禦設定套用失敗」（請檢查是否有超出範圍的值，見上方陷阱）
- 頁面上方也可以「重新啟動」fail2ban 服務，成功顯示「Fail2Ban 服務已重新啟動」
常見誤解與陷阱
- 白名單與黑名單的「生效時機」不同：白名單是「不會被自動封鎖」，黑名單是「立刻永久封鎖」
- 黑名單沒有網段：只能填單一 IP
- 把自己鎖在門外：黑名單加了管理 IP、或防火牆規則擋到自己的來源，都會讓您連不回來；請事先確認再儲存
- 誤鎖真人：重試次數設太低（例如 2 次）會讓打錯密碼的正常使用者被鎖；建議 5 次以上
- 下拉選項超範圍會存不進去：時間窗上限 1 天、封鎖時長上限 7 天（見上方說明）
- MS 有的項目 GW 沒有：GW 沒有 Dovecot、DNS、Web 介面等 Jail（不託管信箱、也不提供 DNS）。後台登入失敗也不在這裡——GW 沒有把管理介面登入失敗納入自動防禦
- 解除封鎖不等於放行：如果該 IP 同時被手動規則封鎖，解除自動防禦的封鎖仍然連不上（請檢查（防火牆設定 / 手動防禦設定））
相關頁面
- 手動封鎖／放行規則（含網段）→（防火牆設定 / 手動防禦設定）
- 防火牆整體狀態與目前規則 →（防火牆設定 / 基礎設定）
- 被封鎖的紀錄 →（系統日誌 / 阻斷記錄）
- 連線進出紀錄 →（系統日誌 / 連線記錄）
- 郵件登入失敗的來源 →（系統日誌 / SMTP日誌）、（系統日誌 / POP/IMAP日誌）