麒麟os可通过fail2ban自动封禁暴力破解ssh的异常ip，步骤包括：验证python3与systemd、apt安装并启用服务、配置sshd jail规则、设置firewalld为封禁后端、测试并验证日志与封禁效果。

如果您在麒麟OS系统中面临SSH或其他服务遭受暴力破解攻击的风险，则可以通过安装并配置Fail2Ban来自动封禁异常IP。以下是完成该防护部署的具体步骤：

一、确认系统环境与依赖

Fail2Ban依赖Python 3及systemd服务管理器，麒麟OS V10（SP1及以上）默认已满足运行条件。需先验证Python版本与systemd状态，确保基础环境可用。

1、打开终端，执行python3 --version，确认输出为Python 3.7或更高版本。

2、执行systemctl --version，确认返回包含systemd版本号且无报错。

3、执行sudo apt update更新软件包索引列表。

二、通过APT源安装Fail2Ban

麒麟OS基于Debian/Ubuntu体系，官方源中已收录fail2ban软件包，使用APT安装可确保兼容性与签名验证。

1、执行sudo apt install fail2ban -y，等待安装完成。

2、安装完毕后，执行sudo systemctl is-enabled fail2ban，确认返回enabled；若非启用状态，执行sudo systemctl enable fail2ban。

3、执行sudo systemctl start fail2ban启动服务，并用sudo systemctl status fail2ban检查运行状态是否为active (running)。

三、配置SSH防护规则

Fail2Ban默认不启用任何jail，需手动启用SSH防护模块，并设定触发阈值与封禁时长，防止合法用户被误封。

1、执行sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local创建本地配置副本。

2、执行sudo nano /etc/fail2ban/jail.local编辑文件，在[sshd]段落下取消注释并修改以下三行：

  enabled = true

  maxretry = 3

  bantime = 3600

3、保存退出后，执行sudo fail2ban-client reload重载配置，使SSH防护立即生效。

四、使用firewalld作为后端封禁工具

麒麟OS默认启用firewalld而非iptables，Fail2Ban需指定firewalld作为action backend，否则封禁指令将无法执行。

1、执行sudo nano /etc/fail2ban/jail.local，在文件末尾新增以下内容：

  [DEFAULT]

  banaction = firewallcmd-ipset

  action = %(action_mwl)s

2、执行sudo systemctl restart firewalld确保防火墙服务运行正常。

3、执行sudo fail2ban-client set sshd banip 192.168.1.100测试手动封禁功能，再运行sudo firewall-cmd --list-rich-rules | grep 192.168.1.100验证规则已写入。

五、验证防护效果与日志监控

Fail2Ban通过解析认证日志（如/var/log/auth.log）识别失败登录行为，必须确保日志路径与格式匹配，且服务具备读取权限。

1、执行sudo tail -f /var/log/auth.log | grep "Failed password"，尝试从另一终端对本机SSH发起两次错误密码登录。

2、切换回原终端，观察是否出现fail2ban.actions相关日志，提示Running ban jail sshd。

3、执行sudo fail2ban-client status sshd，确认Number of currently banned IP addresses大于0，且被封IP出现在列表中。

4、执行sudo iptables -L -n | grep f2b-sshd，确认存在对应链及DROP规则，说明firewalld后端已成功接管封禁动作。