Вариант 1. Ограничение коннектов.
iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –update –seconds 3600 –hitcount 5 -j REJECT
iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –set -j ACCEPT
Правило пропускает 5 коннектов в час, и блочит, если лимит превышен. В принципе это уже защита от брут форса, т.к. за 5 коннектов в час запаришься подбирать пасс.
Вариант 2. Обман сканера портов + ограничени коннекта.
iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –update –seconds 3600 –hitcount 8 -j REJECT
iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –set
iptables -A INPUT -p tcp –dport 22 -m recent –name ssh ! –rcheck –seconds 15 –hitcount 2 -j REJECT
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
Порядок действий:
1. Попытка соединения на 22 порт (обычный коннект или скан порта)
2. Сбрасывается соединение и даётся 15 секунд на логин
3. Если в течении 15 секунд залогинился успешно – даёт доступ, если не успел – реджектит и снова даёт 15 сек.
4. Если 8 фейлов в час, то блочит, до начала часа после первого фейла.
Достоинства фичи: сканеру порта сразу не ясно, что открыт 22 порт. Да и брутить не получится, если поймут, что открыт – 8 попыток для брута мало.
Недостатки: если по ошибке себя забанил – жди час)