Варіант 1. Обмеження коннектів.
iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –update –seconds 3600 –hitcount 5 -j REJECT
iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –set -j ACCEPT
Правило пропускає 5 коннектів на годину, і блокує, якщо ліміт перевищено. В принципі це вже захист від брут форсу, т.к. за 5 коннектів на годину замучишся підбирати пас.
Варіант 2. Обман сканера портів + обмеження коннекту.
iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –update –seconds 3600 –hitcount 8 -j REJECT
iptables -A INPUT -p tcp –dport 22 -m recent –name ssh –set
iptables -A INPUT -p tcp –dport 22 -m recent –name ssh ! –rcheck –seconds 15 –hitcount 2 -j REJECT
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
Порядок дій:
1. Спроба з'єднання на 22 порт (звичайний коннект або скан порту)
2. Скидається з'єднання і дається 15 секунд на логін
3. Якщо протягом 15 секунд залогінився успішно – дає доступ, якщо не встиг – реджестить і знову дає 15 сек.
4. Якщо 8 фейлів на годину, то блокує, до початку години після першого фейлу.
Переваги фічі: сканеру порту відразу не ясно, що відкрито 22 порт. Та й брутити не вийде, якщо зрозуміють, що відкрито – 8 спроб для бруту мало.
Недоліки: якщо помилково себе забанив – чекай годину)