Thunderbird, CalDAV en de fail2ban zelfban: hoe we een startprobe tilden tot geclassificeerde ruis

Sun, 04 Oct 2026 00:00:00 +0000

Zaterdagochtend 04-10-2026: git.eddydevink.nl onbereikbaar vanaf de laptop. Eerste verdachte: de CGNAT-hairpin van Odido. Tweede verdachte, na tien seconden in de logs: fail2ban had ons eigen IP geband. Twee jails tegelijk, binnen één seconde. De trigger: Thunderbird had bij het opstarten 12× HTTP 401 op de CalDAV-agenda’s van Nextcloud gegenereerd — binnen één seconde. nginx-dav-auth en crossjail tellen 401s als brute-force-pogingen, dus een eigen client die bulk-401s produceert band zichzelf.

Dit is het verhaal van hoe we dat hebben gemeten, welke wegen we bewandelden (en waarom ze doodliepen), en hoe de uiteindelijke oplossing de detectie juist preciezer maakte in plaats van losser.

Thunderbird on Eddy de Vink

Thunderbird, CalDAV en de fail2ban zelfban: hoe we een startprobe tilden tot geclassificeerde ruis