ssh 一分钟被打 1000 次， fail2ban 有用吗？

[elboble]

Apr 20 23:40:03 debian99 sshd[2443]: Failed password for invalid user liyanjun from 134.209.229.252 port 44720 ssh2
Apr 20 23:40:03 debian99 sshd[2450]: Failed password for invalid user liyaocheng from 134.209.229.252 port 44948 ssh2
Apr 20 23:40:03 debian99 sshd[2453]: Failed password for invalid user liyifei from 134.209.229.252 port 45180 ssh2
Apr 20 23:40:03 debian99 sshd[2431]: Failed password for invalid user lixy from 134.209.229.252 port 43946 ssh2
Apr 20 23:40:03 debian99 sshd[2415]: Failed password for invalid user lixiang from 134.209.229.252 port 43168 ssh2
Apr 20 23:40:03 debian99 sshd[2459]: Failed password for invalid user liyongmin from 134.209.229.252 port 45918 ssh2
Apr 20 23:40:03 debian99 sshd[2441]: Failed password for invalid user liyanhao from 134.209.229.252 port 44636 ssh2
Apr 20 23:40:03 debian99 sshd[2446]: Failed password for invalid user liyanjun from 134.209.229.252 port 44794 ssh2
@:~$ sudo cat /var/log/auth.log | grep 134.209.229.252 | grep invalid | wc -l
948
@:~$ 

暂时没用 fail2ban ，自己写个脚本，每一分钟扫一次 auth.log,大于 10 次就 ban ，但是有的 ip 一分钟就能尝试 1000 次，太凶残了，能限制 ssh 并发个数吗，超过 10 个，就不要管了。

[m4d3bug]

开个 cockpit 用算了，sshd 都不开

[duzhor]

修改以下设置减少 99%攻击

```
生成密钥
ssh-keygen -t rsa -f ~/.ssh/id_rsa -N '' -q
```

把密钥保存到本地

```
#/etc/ssh/sshd_config
Port 23456 #修改 SSH 端口
PermitRootLogin prohibit-password #root 禁止密码和交互登录
PasswordAuthentication no #禁止密码登录
```

修改前记得开启防火墙端口. 重启 ssh 服务

[des]

你可能搜索的是 端口敲门

[makelove]

从来不折腾这种，只要起个合理长度的密码或禁密码就可以了

[webshe11]

@elboble #9 我记得 Fail2ban 用的是 inotify 吧？

[Mark24]

上周好像有个新闻。美国对中国网络发起攻击。提权了就会当肉鸡攻击俄罗斯、白俄罗斯。

[lolizeppelin]

端口改了没....？
没改端口的话,改个端口能屏蔽 95%

[iqoo]

ssh 用高位端口，加上 iptables 防端口扫描就可以

https://github.com/EtherDream/anti-portscan

[3dwelcome]

@iqoo 我还在想，端口怎么防扫描，原来是下陷阱，真有创意。

[FullBridgeRect]

@elboble 如果对自己的用户名密码有自信，f2b 也够用了，即使再凶残被探测到了就 ban 了，就 1 分钟的事

[justrand]

关闭密码登录就不管了，我刚才去看了下每天 10w 条扫描日志，不管他就行了。

[davidyin]

指定允许登录的 IP ，白名单。

[yujinchn]

可以设置连续超过多少次就 ban 掉 ip 的吧

[yujinchn]

就用 fail2ban 限制，很快的

[huangzxx]

正确姿势：换端口，只允许密钥登录

[iBugOne]

fail2ban 没有性能问题，只要你姿势正确。它扫描日志有个 inotify （ pyinotify ）后端，可以随日志变化来增量扫描，就像 tail -f 一样

[dengshen]

禁用密码登陆+证书登陆+改 sshd 端口

[woshinide300yuan]

我都是用安全组里的限制 IP 访问 22 端口，不知道有用没。反正我不写自己的 IP ，我打不开 SSH 都！~

[hgc81538]

改成很長+複雜密碼
例如: ZZ&7A:Y_J@Te2]mM2I#Fy@U?N8jmg~`q|0!M%Zi-|e-8vsD?|9l]llg2!6~q6zkb

[tiny1994]

可以试试新出来的工具～
CrowdSec
<amp-youtube data-videoid="2OEDFCo1VXY" layout="responsive" width="480" height="270"></amp-youtube>