设置 fail2ban 以忽略动态 IP 后面的连接

Question

使用fail2ban，以确保一个Ubuntu 12.04 X64服务器上DigitalOcean，而编辑/etc/fail2ban/jail.local有这一部分：

[DEFAULT]

# "ignoreip" can be an IP address, a CIDR mask or a DNS host
ignoreip = 127.0.0.1/8

那是管理员将连接的 IP，但是如果管理员有动态 IP，有什么解决方案吗？
或者这只是违背了目的？

Answer 1

您最多可以将管理员所在的 IP 范围列入白名单，但随后您很容易受到来自该范围的攻击。它仍然有帮助（大多数蛮力来自其他国家/地区/ISP），但并不理想。

如果说5次错误尝试后才禁止，真的有问题吗？您的管理员多久将自己锁定？如果他们不记得密码，您可以查看 SSH 密钥吗？

Answer 2

如果管理员将从动态 IP 连接，我可以想到 3 个不同的选项：

1. 如果这些动态 IP 的范围已知且足够小，请添加它。
2. 让您的管理员设置指向其当前 IP 的动态 DNS 主机名，并将这些主机名添加到此忽略列表中。
3. 确保您的管理员没有笨手笨脚的人，并且可以正确输入他们的密码。:) 或者更好的是设置私有/公共 ssh 密钥。