多次尝试 SSH 登录失败后禁止某个 IP？

Question

有没有一种简单的方法来阻止对我的 sshd 运行暴力登录攻击的 IP？也许只是增加登录提示出现的时间。

我知道fail2ban，但当我尝试它时，它确实挂起了。它还需要 semdmail，我不想在桌面上安装它。当有事情发生时，我不想通过互联网发送电子邮件。如果fail2ban 可以使用桌面通知（D-Bus），那就太好了。但我想知道为什么我必须为这样的事情单独安装一些东西？为什么 sshd 不能这样做？（同一IP多次登录失败时，会增加等待时间。）

Answer 1

做到这一点的最佳方法是使用 netfilter 的内置功能。如果在给定时间内 TCP 端口被命中太多次，您希望超时。

每个主机都有一个最后出现的时间戳......

$ sudo iptables -A INPUT  -p tcp -m tcp --dport 22 -m state \
    --state NEW -m recent                                   \
    --update --seconds 60 --hitcount 4 --name DEFAULT --rsource -j DROP

在这里阅读全文。 http://web.archive.org/web/20130510023127/http://blog.bigdinosaur.org/securing-ssh-with-iptables/

还有许多更复杂的 netfilter 插件可以执行此操作。

不要使用hosts.deny，那是旧的旧的。这就是 TCP Wrappers，它很古老并且需要编程支持。

我已经在生产防火墙上使用了这种技术，效果很好。

Answer 2

您不会提供太多有关配置的信息，但如果您使用路由器，通常可以使用入站过滤器对其进行编程，使其阻止来自指定 IP 或 IP 范围的任何内容。例如，对于我的 D-Link，我进入“高级设置”选项卡并选择“入站过滤器”页面。