Сделайте повторные попытки входа менее полезными

Fail2ban считывает сбои аутентификации и просит бэкенд межсетевого экрана блокировать повторяющиеся источники. Это помогает при повторных попытках; это не заменяет аутентификацию по ключу или обновления системы. Убедитесь, что сбои SSH попадают в журнал или файл лога, который будет читать jail.

На поддерживаемом хосте Debian или Ubuntu менеджер пакетов может его установить. Изучите его настройки по умолчанию и бэкенд перед включением пользовательской песочницы. Другие дистрибутивы могут использовать другой репозиторий пакетов или действие брандмауэра.

sudo apt update
sudo apt install fail2ban

Создайте переопределение в /etc/fail2ban/jail.d/sshd.local. Укажите фактический порт SSH. В этом примере читается журнал systemd; используйте подходящий бэкенд и путь к журналу, если система записывает другой журнал. Добавьте доверенный адрес администратора в ignoreip только после того, как вы его проверили.

[sshd]
enabled = true
port = 22
backend = systemd
maxretry = 5
findtime = 10m
bantime = 1h
ignoreip = 127.0.0.1/8 ::1

Запускайте службу только после проверки файла и при открытой сессии восстановления. Проверьте вывод службы и jail; активный демон без соответствующих событий может не обеспечивать защиту.

sudo fail2ban-client -t
sudo systemctl enable --now fail2ban
sudo fail2ban-client status
sudo fail2ban-client status sshd

Используйте отдельный контролируемый тестовый источник для проверки обнаружения, блокировки и истечения. Проверьте IPv6 и действующие правила межсетевого экрана. Если доверенный источник ошибочно заблокирован, используйте сохранённую консоль, чтобы снять именно эту блокировку, а затем исправьте политику; не отключайте всю защиту, чтобы обойти одну ошибку.

sudo fail2ban-client set sshd unbanip 192.0.2.44