ssh 一分钟被打 1000 次， fail2ban 有用吗？

这么多回复还有收藏，我把脚本贴出来，也是网上搜的，然后改改只能算能用，大家帮忙多提意见。

第一，第二行是搜集auth.log中失败的

第三行是我用ngrok做内网穿透，这台机是服务端，12345是透给内网一台机器的ssh端口，也会被敲，但是不好在内网机器上做类似的屏蔽，因为在内网机器看起来都是127.0.0.1登录的，不能区分正常和恶意的。只好在服务端上查，如果4个以上session同时登录ssh，那就是不正常的，从服务端禁止掉。

这个脚本每分钟运行一次，syslog.conf里关掉cron的log，否则auth.log都是cron的记录。

#!/bin/sh #ssh login fail 4 times,will be put in denyhosts cat /var/log/auth.log |awk '/Failed/{print $(NF-3)}' |sort |uniq -c |awk '{print $2"="$1;}' >/var/log/black.list cat /var/log/auth.log |awk '/Connection closed/{print $( NF-3)}' | sort | uniq -c | awk '{print $2"="$1;}' >> /var/log/black.list netstat -anp |awk '/6:12345/{print$(NF-2)}' | awk -F: '{print$1}' | sort | uniq -c | awk '{print $2"="$1;}' >> /var/log/black.list for i in `cat /var/log/black.list` do IP=`echo $i |awk -F= '{print $1}'` NUM=`echo $i |awk -F= '{print $2}'` if [ $NUM -gt 4 ]; then grep $IP /etc/hosts.deny >/dev/null if [ $? -gt 0 ]; then echo "ALL: $IP" >>/etc/hosts.deny iptables -I INPUT -s $IP -j DROP echo "$IP is denied now."　 fi fi done 

查日志，2022.6.16-17之间居然封了180个IP，来源全球都有，难道是真的被盯上了，间隔大概10几分钟一波，从下午到半夜。

不过碰巧拨号21天了，早上换了ip。

DROP all -- 50-239-114-84-static.hfc.comcastbusiness.net anywhere
DROP all -- 210-65-10-144.hinet-ip.hinet.net anywhere
DROP all -- host81-133-189-239.in-addr.btopenworld.com anywhere
DROP all -- 125-227-75-51.hinet-ip.hinet.net anywhere
DROP all -- 5.145.161.9 anywhere
DROP all -- 45.55.75.215 anywhere
DROP all -- 123.139.156.125 anywhere
DROP all -- 43.247.102.81 anywhere
DROP all -- 161.132.96.90 anywhere
DROP all -- 11722.228.62 anywhere
DROP all -- 190-107-162-132.levefibra.net.br anywhere
DROP all -- 18.43.175.210.in-addr.arpa anywhere
DROP all -- 190-107-162-136.levefibra.net.br anywhere
DROP all -- 218.92.175.102 anywhere
DROP all -- 191-243-61-57.netpeu.com.br anywhere
DROP all -- ip-36-4.sn3.clouditalia.com anywhere
DROP all -- 125-227-87-122.hinet-ip.hinet.net anywhere
DROP all -- 120.221.150.219 anywhere
DROP all -- 1.234.79.66 anywhere
DROP all -- 223.95.81.159 anywhere
DROP all -- 106.14.61.79 anywhere
DROP all -- ipv4-80-39-78.as55666.net anywhere
DROP all -- 85.184.70.58 anywhere
DROP all -- 110.188.70.99 anywhere
DROP all -- 113.105.94.66 anywhere