针对生产环境如何配置OpenSSH动态黑名单实现自动化封禁实战-安全-PHP中文网

生产环境不建议直接用openssh实现动态黑名单，应依赖fail2ban或自定义脚本联动日志与防火墙。fail2ban是首选方案，通过监控auth.log/secure，自动触发iptables封禁；无fail2ban时可用shell脚本+cron定时扫描日志并封禁异常ip。

针对生产环境如何配置openssh动态黑名单实现自动化封禁实战

生产环境不建议直接用 OpenSSH 自身实现“动态黑名单”，因为它没有内置的实时 IP 封禁机制。真正的自动化封禁必须依赖外部工具与 SSH 日志联动，形成“检测→分析→阻断→清理”闭环。核心思路是：让 faillog / auth.log 中的失败登录行为触发防火墙规则变更，而非修改 sshd_config 或依赖 SSH 模块扩展。

一、基于 fail2ban 的轻量级自动封禁（推荐首选）

fail2ban 是生产环境最成熟、低侵入、可审计的方案，支持 Ubuntu/CentOS/Rocky/openEuler 等主流系统，无需重启 sshd 即可生效。

LongCat

LongCat是一款AI大模型工具，美团推出的自研大模型AI对话平台。

下载

安装并启用服务：
sudo apt install fail2ban -y（Ubuntu/Debian）或
sudo dnf install fail2ban -y（RHEL系）
启动后默认监听 /var/log/auth.log（Debian系）或 /var/log/secure（RHEL系）
创建自定义 jail 配置（避免覆盖默认模板）：
新建 /etc/fail2ban/jail.local，写入：

[sshd]
enabled = true
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 1h
findtime = 10m
action = iptables[name=SSH, port=ssh, protocol=tcp]

关键参数说明：
maxretry：10 分钟内（findtime）连续失败 3 次即触发；
bantime：封禁 1 小时（支持 1d、4w 等格式）；
action 可替换为 firewallcmd-ipset（适配 firewalld）或 iptables-allports（全端口封禁）
验证与加载：
sudo fail2ban-client status sshd 查看当前封禁数
sudo fail2ban-client set sshd unbanip 192.168.1.100 手动解封（调试必备）

二、无 fail2ban 时的 shell 脚本方案（应急/嵌入式场景）

适用于资源受限或无法安装额外包的环境（如 Buildroot 嵌入式系统），需配合 cron 定期扫描日志。

脚本逻辑要点：
提取最近 5 分钟内失败登录的 IP → 过滤掉内网地址和已封禁项 → 写入 iptables 规则 → 记录到 /var/log/sshd-ban.log
示例片段（保存为 /usr/local/bin/sshd-ban.sh）：

#!/bin/bash
LOG="/var/log/auth.log"
BANLIST="/tmp/sshd-banned.tmp"
NOW=$(date -d '5 minutes ago' '+%b %d %H:%M')
# 提取异常IP（仅匹配"Failed password"且时间在范围内）
grep "Failed password" "$LOG" | awk -v d="$NOW" '$0 > d {print $11}' | \
  sed 's/[^0-9.]//g' | grep -E '^[0-9]{1,3}\.[0-9]{1,3}' | \
  sort -u | grep -vE '^(127\.|10\.|172\.(1[6-9]|2[0-9]|3[0-1])\.|192\.168\.)' > "$BANLIST"
while read ip; do
  if ! iptables -C INPUT -s "$ip" -j DROP 2>/dev/null; then
    iptables -I INPUT -s "$ip" -j DROP
    echo "$(date): BAN $ip" >> /var/log/sshd-ban.log
  fi
done

加入定时任务：
sudo crontab -e 添加：
*/2 * * * * /usr/local/bin/sshd-ban.sh（每 2 分钟执行一次）
注意：该脚本需 root 权限运行，且 iptables 规则重启后失效，建议搭配 iptables-save 持久化

三、与 firewalld + ipset 高效联动（万级IP封禁场景）

当单台服务器面临高频暴力破解（如每秒数十次尝试），iptables 直接追加规则会导致性能下降。此时应改用 ipset 统一管理黑名单，firewalld 仅引用一个集合。

创建 ipset 黑名单集合：
sudo ipset create ssh-ban hash:ip timeout 3600（自动过期 1 小时）
配置 firewalld 富规则引用：
sudo firewall-cmd --permanent --add-rich-rule='rule source ipset="ssh-ban" reject'
fail2ban 对应 action 修改为：
action = %(action_)s[name=SSH, bantime=<b>3600</b>, port="ssh", protocol="tcp"]
并在 /etc/fail2ban/action.d/iptables-common.conf 中将 iptables -I 替换为 ipset add ssh-ban <ip> timeout 3600</ip>
优势：添加/删除万级 IP 几乎无延迟，规则数量恒定为 1 条