如何防止大量来自虚假欺骗 IP 的登录尝试失败？

Question 1

您可以尝试使用程序 Fail2Banhttps://www.fail2ban.org/wiki/index.php/Main_Page

这将自动阻止登录尝试失败的源 IP。

它运行得很好，而且你还可以配置很多选项。比如被禁止前尝试多少次或被禁止多长时间。

但是你应该考虑是否真的想让 SSH 对全世界开放。因此，如果你的机器直接连接到互联网，我建议使用防火墙，默认情况下阻止所有内容。并且只对来自该 IP 的 ssh 开放，你需要将其开放。

Answer

您可以尝试使用程序 Fail2Banhttps://www.fail2ban.org/wiki/index.php/Main_Page

这将自动阻止登录尝试失败的源 IP。

它运行得很好，而且你还可以配置很多选项。比如被禁止前尝试多少次或被禁止多长时间。

但是你应该考虑是否真的想让 SSH 对全世界开放。因此，如果你的机器直接连接到互联网，我建议使用防火墙，默认情况下阻止所有内容。并且只对来自该 IP 的 ssh 开放，你需要将其开放。

Question 2

有一些事情可以消除 SSH 向世界开放的安全风险。

Fail2ban（前面已经提到过）很好。它支持在防火墙中永久阻止或暂时阻止。
在一个奇怪的高级端口（高于 8000）上运行 SSH。这不会阻止任何事情，但是会大大减少流量，因为大多数脚本小子都在探测端口 22。
确保 sshd_config 中的 PermitRootLogin 未以 Yes 值运行。您不需要通过 ssh 进行 root 登录。您可以以普通用户身份 ssh 登录，然后 su。这样，就需要两个密码才能获得管理员访问权限（除非这是 Ubuntu 或类似系统，其中普通用户具有 sudo 权限）。
考虑双因素身份验证。这可以通过 Duo 等商业产品或 Google 身份验证器等工具来实现。该设置的步骤由供应商提供。
登录成功后发送电子邮件。这样，您就可以立即知道是否有访问权限，以免黑客有机会破坏您设置的任何安全防护措施。为此，您需要在 /etc/pam.d/sshd 中添加一个会话行，如下所示：

会话需要 pam_exec.so /root/scripts/send-ssh-notice.sh

有一个脚本示例可以提供变量中的详细信息，可在 github 上找到：Github 托管 sshlogin_alert.sh

（是的，我在我的回答中提供了一个链接，为什么不呢？ Github 代码得到了维护，支持分叉，并且反馈良好。我发布的答案在未来几个月或几年内都不会被我重新审视。此外，应该给予应得的赞扬，这个 Github 用户做得很好。）

Answer

有一些事情可以消除 SSH 向世界开放的安全风险。

Fail2ban（前面已经提到过）很好。它支持在防火墙中永久阻止或暂时阻止。
在一个奇怪的高级端口（高于 8000）上运行 SSH。这不会阻止任何事情，但是会大大减少流量，因为大多数脚本小子都在探测端口 22。
确保 sshd_config 中的 PermitRootLogin 未以 Yes 值运行。您不需要通过 ssh 进行 root 登录。您可以以普通用户身份 ssh 登录，然后 su。这样，就需要两个密码才能获得管理员访问权限（除非这是 Ubuntu 或类似系统，其中普通用户具有 sudo 权限）。
考虑双因素身份验证。这可以通过 Duo 等商业产品或 Google 身份验证器等工具来实现。该设置的步骤由供应商提供。
登录成功后发送电子邮件。这样，您就可以立即知道是否有访问权限，以免黑客有机会破坏您设置的任何安全防护措施。为此，您需要在 /etc/pam.d/sshd 中添加一个会话行，如下所示：

会话需要 pam_exec.so /root/scripts/send-ssh-notice.sh

有一个脚本示例可以提供变量中的详细信息，可在 github 上找到：Github 托管 sshlogin_alert.sh

（是的，我在我的回答中提供了一个链接，为什么不呢？ Github 代码得到了维护，支持分叉，并且反馈良好。我发布的答案在未来几个月或几年内都不会被我重新审视。此外，应该给予应得的赞扬，这个 Github 用户做得很好。）

Question 3

悲伤.. 太悲伤了吗？

我可能只需要“停止我的 sshd 服务器”？

:(

也许存在一些无需安装额外软件的“简单”方法？

这还不能解决问题..但我认为它是正确的路径？

sudo gedit /etc/ssh/ssh_config 
sudo systemctl restart ssh.service

“ssh_config” 的样子如下...

Include /etc/ssh/ssh_config.d/*.conf

Host *
# PermitRootLogin no
#   ForwardAgent no
#   ForwardX11 no
#   ForwardX11Trusted yes
#   PasswordAuthentication yes
#   HostbasedAuthentication no
#   GSSAPIAuthentication no
#   GSSAPIDelegateCredentials no
#   GSSAPIKeyExchange no
#   GSSAPITrustDNS no
#   BatchMode no
#   CheckHostIP yes
#   AddressFamily any
#   ConnectTimeout 0
#   StrictHostKeyChecking ask
#   IdentityFile ~/.ssh/id_rsa
#   IdentityFile ~/.ssh/id_dsa
#   IdentityFile ~/.ssh/id_ecdsa
#   IdentityFile ~/.ssh/id_ed25519
Port 22
#   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc
#   MACs hmac-md5,hmac-sha1,[email protected]
#   EscapeChar ~
#   Tunnel no
#   TunnelDevice any:any
#   PermitLocalCommand no
#   VisualHostKey no
#   ProxyCommand ssh -q -W %h:%p gateway.example.com
#   RekeyLimit 1G 1h
    SendEnv LANG LC_*
    HashKnownHosts yes
    GSSAPIAuthentication yes

对“iptable”进行一些修改是可能的吗？

Answer