对于暴露在公网的 SSH 服务，建议将 fail2ban 作为基础防护层，配合密钥认证使用，主要适用于防止自动化脚本的密码暴力尝试。
核心结论：fail2ban 通过监控日志自动封禁多次失败登录的 IP，配置时需优先编辑 jail.local 并注意日志路径差异。
- 配置前提：确认系统日志路径是 /var/log/auth.log 还是 /var/log/secure
- 操作重点：修改 jail.local 而非直接编辑 jail.conf，避免升级覆盖
- 生效验证：重启服务后使用 status 命令确认 jail 状态为 active
安装与启动
根据系统包管理器安装 fail2ban，并设置开机自启。
apt install fail2ban # Debian/Ubuntu
yum install fail2ban # CentOS/RHEL
systemctl enable `--now` fail2ban配置 jail.local
安装完成后，不要直接编辑 /etc/fail2ban/jail.conf，而是创建或编辑 /etc/fail2ban/jail.local。这是官方推荐的配置方式，防止软件升级时覆盖你的修改。以下是一个典型的 SSH 防护配置示例：
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 5
bantime = 3600
ignoreip = 127.0.0.1/8 ::1 192.168.1.0/24关键参数说明：
- logpath：Debian/Ubuntu 通常是 /var/log/auth.log，CentOS/RHEL 通常是 /var/log/secure。路径错误会导致 fail2ban 无法读取日志。
- maxretry：最大重试次数，建议设为 3 到 5 之间。
- bantime：封禁时长（秒），例如 3600 表示封禁 1 小时。
- ignoreip：白名单 IP，务必将自己的管理 IP 加入，防止测试时把自己锁在外面。
保存文件后，重启 fail2ban 服务使配置生效。如果配置语法错误，服务可能启动失败，建议重启前使用 fail2ban-client -t 测试配置。
systemctl restart fail2ban验证封禁效果
使用以下命令查看当前监控状态，Confirmed 字段显示已确认的失败次数，Currently failed 显示当前失败计数。
fail2ban-client status sshd也可以查看防火墙规则，确认是否有 fail2ban 相关的链或规则：
iptables -L
# 或者
nft list ruleset手动测试方法：从另一台不在白名单的机器尝试多次错误密码登录 SSH，然后再次执行 status 命令，观察 Failed 计数增加且 IP 出现在 Banlist 中。
常见故障排查
- 服务启动失败：检查 jail.local 语法是否正确，日志路径是否存在。使用 journalctl -u fail2ban 查看报错日志。
- 无法封禁 IP：确认日志路径配置是否与系统实际路径一致，确认防火墙服务（iptables/firewalld/nftables）正常运行。
- 误封管理 IP：务必在 ignoreip 中配置管理端 IP 段。如果已被封禁，可使用 fail2ban-client set sshd unbanip <IP> 解封。
- 防护局限性：fail2ban 只能缓解暴力破解，不能防止密钥泄露或漏洞利用，务必配合 SSH 密钥认证并禁用密码登录。
原文链接：https://www.zjcp.cc/ask/11347.html