用 fail2ban 拦截 SSH 暴力破解

前置条件

开始之前，先确认这些都具备

• 已完成 SSH 加固（密钥登录）
• sudo 权限
• 已启用 ufw 或 nftables

操作步骤

共 6 步

1. 步骤 01 / 06

   安装 #

   fail2ban 在官方仓库里，不需要第三方源。装完先别急着改配置，看一眼服务状态即可。

   sudo apt update && sudo apt install -y fail2ban
   systemctl status fail2ban --no-pager

2. 步骤 02 / 06

   写 jail.local，不要动 jail.conf #

   jail.conf 会在软件包升级时被覆盖，所有自定义都写进 jail.local。这里有两个关键项：backend = systemd 让 fail2ban 读 journald，而不是去找并不存在的 /var/log/auth.log；port 必须写实际的 SSH 端口。另外 banaction 建议与你的防火墙保持一致。

   # /etc/fail2ban/jail.local
   [DEFAULT]
   # 把自己的固定 IP 放进白名单，避免误封
   ignoreip = 127.0.0.1/8 ::1 203.0.113.0/24
   bantime  = 1h
   findtime = 10m
   maxretry = 5
   # 用 ufw 时改成 ufw，避免两套规则打架
   banaction = ufw
   
   [sshd]
   enabled  = true
   backend  = systemd
   port     = 22022
   maxretry = 4
   bantime  = 24h

3. 步骤 03 / 06

   校验配置并启动 #

   fail2ban-client -d 会把最终生效的配置全部打印出来，写错的段落在这里就会暴露。确认无误再重启服务。

   sudo fail2ban-client -d > /dev/null && echo "配置可解析"
   
   sudo systemctl enable --now fail2ban
   sudo systemctl restart fail2ban
   sudo fail2ban-client status

4. 步骤 04 / 06

   确认 sshd jail 真的在工作 #

   「服务在 running」和「jail 在数」是两回事。看 sshd jail 的状态：如果 Currently failed 与 Total banned 始终是 0，而 journald 里明明有失败记录，就说明 backend 配错了。

   sudo fail2ban-client status sshd
   
   # 对照一下日志里真实的失败次数
   sudo journalctl -u ssh --since "1 hour ago" | grep -c "Failed password"

5. 步骤 05 / 06

   解封与手动封禁 #

   误封自己是迟早的事，记住解封命令比记住封禁命令更重要。真被封了又没有别的入口，就从控制台 VNC 进去执行。

   sudo fail2ban-client set sshd unbanip 203.0.113.55
   sudo fail2ban-client set sshd banip 198.51.100.7
   
   # 查看当前所有封禁
   sudo fail2ban-client banned

6. 步骤 06 / 06

   （可选）给 Nginx 加一个 jail #

   同一套机制可以用在 Web 上：nginx-http-auth 拦 HTTP 基本认证爆破，nginx-botsearch 拦满地找后门文件的扫描器。别一次全开，先跑一周观察误报率。

   # 追加到 /etc/fail2ban/jail.local
   [nginx-http-auth]
   enabled = true
   logpath = /var/log/nginx/error.log
   
   [nginx-botsearch]
   enabled  = true
   logpath  = /var/log/nginx/access.log
   maxretry = 10

相关教程

接下来通常会看这几篇