Fail2ban sync geändert

INSTALL.md

@@ -77,6 +77,19 @@ a2enconf remoteip
 systemctl restart apache2
 ```
 
+### 3.2 Fail2Ban-Forwarding (Client → Proxy)
+
+Die zentrale Ban-Weiterleitung vom Client an den Proxy ist in **README-Fail2ban.md**
+dokumentiert (rsyslog UDP 514, ein einziges `remote-bans`-Jail auf dem Proxy, **kein SSH**).
+
+Zusätzlich zu 3.1 (mod_remoteip) muss auf dem Client laufen:
+* rsyslog-Forwarding von `/var/log/fail2ban.log` an den Proxy (UDP 514, `imfile`),
+* fail2ban mit normalen Jails (keine Custom-Actions).
+
+Auf dem Proxy: rsyslog-Empfang (`imudp`) nach `/var/log/f2bexport.log`,
+fail2ban-Jail `remote-bans` (allports-Ban, `ignoreip` inkl. eigener Proxy-IP!) und
+der Unban-Watcher (`f2b-unban.service`).
+
 ---
 
 ## 4. ISPConfig Integration (Apache Direktiven Beispiel Gitea)