Fail2ban 与 iptables 联合防护的核心是 Fail2ban 担任“情报分析员”，从日志识别暴力尝试，iptables 作为“执行警察”实时封禁 IP；需确认防火墙后端匹配、精准配置 logpath/maxretry/bantime/ignoreip，并通过 fail2ban-client 验证状态与封禁日志。
Fail2ban 和 iptables 联合防护，核心是让 Fail2ban 做“情报分析员”，iptables 做“执行警察”——前者从日志里识别暴力尝试，后者立刻封掉对应 IP。这个组合轻量、稳定、无需改业务逻辑，特别适合 SSH 等基础服务的实时防护。
确认系统环境与依赖关系
Fail2ban 本身不自带防火墙能力，它必须通过后端调用系统级工具才能封 IP。能否联动成功，取决于三件事是否对齐：
- 查清你当前实际使用的防火墙：运行 sudo systemctl status nftables 或 sudo iptables -L -n | head -3，看哪个在运行；CentOS 7/8 默认启 firewalld，较新 Ubuntu/Debian 默认用 nftables
- 确保 iptables 命令可用：即使系统主用 nftables，也建议保留 iptables-nft 兼容层（多数现代发行版已默认安装）
- Fail2ban 后端必须匹配：在 /etc/fail2ban/jail.local 的 [DEFAULT] 段写明 backend = auto 或显式指定 backend = systemd（推荐），避免硬写 iptables 导致规则不生效
精准配置 SSH 防护规则
只启用 SSH 防护是最常见且最稳妥的起点。关键不是堆参数，而是让每项都贴合你的真实日志路径和访问习惯：
- 日志路径必须准确：Debian/Ubuntu 是 /var/log/auth.log，CentOS/RHEL 是 /var/log/secure；在 [sshd] 段显式写 logpath = /var/log/auth.log，别依赖默认值
- maxretry 和 findtime 要协同设：比如设 maxretry = 5 + findtime = 300（5 分钟内失败 5 次即触发），比默认的 10 分钟更及时；若服务器有定时脚本连 SSH，可放宽到 6–8 次防误封
- bantime 推荐用可读单位：写成 bantime = 1h 或 bantime = 7d，比写 3600 或 604800 更不易出错；长期封禁慎用 -1（永久封），运维风险高
- 务必加 ignoreip：填入你日常管理的公网 IP 或办公网段，例如 ignoreip = 203.0.113.0/24 192.168.10.0/24，避免自己被锁在外面
验证与日常操作要点
配完不验证，等于没配。几个命令能快速确认是否真起作用：
- 重启并检查状态：sudo systemctl restart fail2ban && sudo fail2ban-client status sshd，输出里 “Currently banned” 数字大于 0 才算活了
- 盯住封禁日志：sudo tail -f /var/log/fail2ban.log，看到类似 “Ban 192.0.2.88” 就说明检测+封禁链路通了
- 手动解封测试 IP：sudo fail2ban-client set sshd unbanip 192.0.2.88，再立刻查状态确认消失，确保应急手段可靠
- 别忘了日志轮转影响：如果用了 logrotate，确认 /etc/logrotate.d/fail2ban 存在且配置了 copytruncate 或 sharedscripts，否则日志切分后 Fail2ban 可能漏监控
进阶注意：Docker 或最小化系统常见坑
不是所有 Linux 环境都能开箱即用。两类场景要额外处理：
- Docker 容器内跑 SSH：基础镜像常无 rsyslog，/var/log/auth.log 根本不生成；需在容器启动时挂载宿主机日志，或改用 backend = systemd 并确保容器有 CAP_SYS_ADMIN 权限读取 journal
- 精简系统（如 Alpine）：默认没 iptables，得先 apk add iptables；且 Fail2ban 包可能需从 edge 社区源安装，不能只信 main 源
- firewalld 活跃的 CentOS/RHEL：Fail2ban 默认不兼容 firewalld；要么停用 firewalld（sudo systemctl disable --now firewalld），要么改用 action = firewallcmd-ipset 插件并配合 ipset 使用
