Wyrażenie regularne Fail2ban nie pasuje po przeniesieniu witryny za moduł równoważenia obciążenia

Zainstalowałem fail2ban z nginx i działa, dopóki nie przeniosłem go za load balancer. Bcoz po przejściu za load balancer stwierdziłem, że w logach są 2 adresy IP. Chcę, aby fail2ban wykryło pierwsze IP i zablokowało je zgodnie z regułą. Poniżej znajduje się przykładowy wpis dziennika:

46.229.168.138, 64.252.86.102 - - [08/Jul/2020:10:55:08 +0530] "GET/telangana/%E0%B0%B0%E0%B0%BE%E0%B0%B7%E0%B1%8D%E0%B0%9F%E0%B1%8D%E0%B0%B0%E0%B0%82%E0%B0%B2%E0%B1%8B-%E0%B0%85%E0%B0%A6%E0%B1%8D%E0%B0%AD%E0%B1%81%E0%B0%A4%E0%B0%AE%E0%B1%88%E0%B0%A8-%E0%B0%AE%E0%B0%BE%E0%B0%B0/ HTTP/1.1" 200 18082 "-" "Amazon CloudFront"

Mój filtr fail2ban:

[Definition]

failregex = <HOST> - - .*(POST|GET) .* HTTP.* 403 .*$

ignoreregex =

I moje więzienie nie działa:

[httpd-forbidden]

enabled = true

filter = httpd-forbidden

logpath =/var/log/nginx/example.com_custom.access.log

bantime = 1800

findtime = 300

maxretry = 50

port = 80,443

banaction = iptables-multiport

Pomóż naprawić wyrażenie regularne fail2ban.