ssh 一分钟被打 1000 次， fail2ban 有用吗？

[elboble]

Apr 20 23:40:03 debian99 sshd[2443]: Failed password for invalid user liyanjun from 134.209.229.252 port 44720 ssh2
Apr 20 23:40:03 debian99 sshd[2450]: Failed password for invalid user liyaocheng from 134.209.229.252 port 44948 ssh2
Apr 20 23:40:03 debian99 sshd[2453]: Failed password for invalid user liyifei from 134.209.229.252 port 45180 ssh2
Apr 20 23:40:03 debian99 sshd[2431]: Failed password for invalid user lixy from 134.209.229.252 port 43946 ssh2
Apr 20 23:40:03 debian99 sshd[2415]: Failed password for invalid user lixiang from 134.209.229.252 port 43168 ssh2
Apr 20 23:40:03 debian99 sshd[2459]: Failed password for invalid user liyongmin from 134.209.229.252 port 45918 ssh2
Apr 20 23:40:03 debian99 sshd[2441]: Failed password for invalid user liyanhao from 134.209.229.252 port 44636 ssh2
Apr 20 23:40:03 debian99 sshd[2446]: Failed password for invalid user liyanjun from 134.209.229.252 port 44794 ssh2
@:~$ sudo cat /var/log/auth.log | grep 134.209.229.252 | grep invalid | wc -l
948
@:~$ 

暂时没用 fail2ban ，自己写个脚本，每一分钟扫一次 auth.log,大于 10 次就 ban ，但是有的 ip 一分钟就能尝试 1000 次，太凶残了，能限制 ssh 并发个数吗，超过 10 个，就不要管了。

[mingl0280]

@elboble 你自己给你自己的 IP 开白名单啊，有啥困难的？不就是在前面加一条 ACCEPT 的事情？另外不知道为啥你不设这个但是我 22 端口是不用密码的……

[suifengdang666]

fail2ban 的搜索时间可以说是近实时，基本上 1s 左右可以检测到 login failed 存在并输出到 fail2ban.log

[gesse]

直接 ban c 段 ip 啊。

[ctro15547]

有用，已经 ban 了几个 W 的 ip 了 ，每个都封 1 个月 爱打就打吧 累了

[shellic]

禁掉密码登录换密钥登录，瞬间清净了

[documentzhangx66]

这其实非常简单。

攻击者，会先扫描 tcp 22 端口，如果扫不出来，才去扫高位端口。

所以，你在服务器上，先把 ssh 改为高位端口，然后做个脚本：

只要有 IP 连接 tcp 22 ，直接永久封掉它的 IP 。

[cco]

从来不开放 22 端口
从来不使用密码登录

[linglin0924]

当时端口默认，也是一堆脚本小子扫。后来端口改成 6w+以上，每次登录的 banner 就很清爽了。

[zpfhbyx]

😃 加个 2fa 就屏蔽了大部分了..

[elboble]

@documentzhangx66 是个办法，但是不能轮询，要用中断。

[SpicaStar]

22 端口只对 ipv6 开放不就行了，如果是服务器域名不要直接解析到机器上
想扫你无异于大海捞针

[datocp]

搜索一下 iptables recent hacker/ipset ，实现一点不输 fail2ban 。制造陷阱，动态封锁。

[documentzhangx66]

@elboble 直接改 fail2ban 的代码就是轮询，改 iptables 代码就是中断。看你怎么用。我喜欢后者。

[acbot]

除开 Web 80 443 这种端口不方便改之外，其他服务改非常用端口 + IP 白名单段（不要给我说动态 IP ，或者说么有公网啥的，我要说在现有大 NAT 环境下，都不难统计出来），能解决大部分安全问题！

[AS4694lAS4808]

@m4d3bug 如果要远程管理还得开着 sshd 。。

[icegaze]

敲端口很好，
自己设置几个不特定端口顺序，
能杜绝一切 ssh 登录的尝试… …

[yeqizhang]

host.deny 禁 22 host.allow 再允许国内的 ip 段，比如我就 allow 我这个省份，最后一道防线是定时处理日志找出 ip 用 iptable 禁用

[pengtdyd]

换端口啊！！！！！！把 22 端口封了

[EVJohn]

换端口，或者上个 zerotier/tinc/wg ，22 只对 sdlan 服务

[aaa5838769]

换端口+key 登陆+防火墙白名单。