阻止针对您 Linux 服务器 的 SSH 暴力破解

安全。SSH Protector 代理读取其所在操作系统自身的认证日志，并写入 nftables 规则，过滤进入同一主机受保护端口的入站流量。代理不打开任何监听套接字，不提供远程命令通道，只发起出站 HTTPS。代理中没有任何功能可以作用于另一台机器。

Fail2ban 解析认证日志，在 findtime 内统计失败次数，并按 bantime 时长给防火墙编程——每次一个地址，且仅限该主机。SSH Protector 把来源解析到其通告前缀，用一条 nftables 集合条目封禁整个 /24；它跨重启保留该集合而不是按计时器到期；它通过原生 API 读取 systemd-journald，而不是用正则匹配文本行；并把由此得到的声誉共享给其余所有受保护主机。上面的表格把两者的默认行为并列呈现，/guides/fail2ban-limitations 则完整梳理了这些差异。

SSH Protector 默认给 nftables 编程，并使用具名集合，使大量被封前缀位于 netfilter input 钩子处的一次规则查找之后。在内核或发行版仍走旧路径的主机上，代理回退到 iptables 配合 ipset，在数据包层面产生相同行为。代理会检测正在使用的后端而不是假定某一种，并且从不清空并非由它创建的规则。

代理是一个静态链接的可执行文件，常驻内存低于 10 MB，在两次认证事件之间 CPU 占用接近于零，因为逐包工作发生在内核而非代理中。日志解析开销受到约束，因为它通过原生 API 读取 systemd-journald，而不是逐行追踪并用正则匹配 /var/log/auth.log。

可以。每一次封禁判定都在受保护主机上、基于该主机自身的认证日志完成，因此在控制面不可达期间，SSH 暴力破解防护会按最后一次下发的策略继续运行。只有共享声誉需要连通性，缺少它会降低覆盖面，而不会停止本地防护。

挂载在 XDP 上的 eBPF 程序在网卡驱动层丢包，这是应对流量型洪水的正确答案。但 XDP 程序读不了 /var/log/auth.log、观察不到 PAM 结果，也无法区分口令错误与口令正确，因此“丢弃哪个前缀”的判定依然来自用户态的日志分析。SSH 暴力破解流量是低包速率却承载高价值认证尝试的流量，netfilter 的 input 钩子早在包速率成为瓶颈之前就已将其丢弃。

代理从 sshd_config、其位于 /etc/ssh/sshd_config.d/ 下的 drop-in 文件以及主机的监听套接字中读取实际生效的端口，并在该端口变化时重建其 nftables 规则。FTP 守护进程的端口以同样方式发现，因此非标准端口是被检测出来的，而不需要配置。

不会。安装程序在提交第一条规则之前，就把执行安装所用的地址加入白名单，而白名单来源会在任何阻断路径之前评估。常驻锁定防护还会在 /etc/pam.d/sshd 中 pam_faillock 的 deny 阈值被触达之前封禁攻击前缀，因此一轮暴力破解同样无法锁定真实账户。

x86-64 或 ARM64 上任何基于 systemd 的发行版：Debian、Ubuntu、RHEL、CentOS、AlmaLinux、Rocky Linux、Fedora 以及启用 systemd 的 Alpine。代理以单个静态链接二进制文件交付，因此受保护主机上无需解析解释器、Python 运行时或任何包依赖。

国际付款由 PayPro Global 作为登记商户处理，俄罗斯境内付款由 YooKassa 处理，并可使用加密货币作为备选。免费套餐长期有效，覆盖一台服务器的完整暴力破解防护，且无需绑定银行卡。

使用 SSH Protector，我将代理安装为 systemd 服务：它在本地读取身份验证日志，确定实际的 sshd 端口，并在达到时间窗口阈值后，在系统防火墙中阻止源网络。我提前将我的地址或VPN添加到白名单中，在面板中控制历史记录并在断网时保存最新策略。

免费，无需 SSH Protector 我禁用 PasswordAuthentication 和 PermitRootLogin，将密钥保留给 Ed25519，限制 AllowUsers/AllowGroups 并仅允许来自 VPN 或受信任 CIDR 的端口。如果临时需要密码，我会使用journald/auth.log配置fail2ban，检查nftables/iptables，设置findtime、maxretry和bantime，并定期从备份控制台测试异常。

使用 SSH Protector，我可以阻止实际登录失败的源，无论它尝试什么名称，并且可以将禁令扩展到攻击者的网络。我检查找到的 SSH 端口，将管理 VPN 添加到白名单，并使用本地代理解决方案，以便保护不依赖于面板可用性。

我免费禁用密码和 root 登录，使用 sudo 创建单独的用户，通过 cloud-init 上传唯一密钥，并关闭 VPN/我的网络的安全组。我删除了未使用的authorized_keys，在堡垒上启用MFA，配置fail2ban和接受未知来源的密码/公钥警报；我考虑改变端口只是为了减少噪音。

使用 SSH Protector，我安装了一个静态代理，该代理读取本地事件并在防火墙中阻止源，直到帐户受到威胁。我使用免费的第一台服务器保护，将我的频道列入白名单，并确保代理继续离线工作；我将备份和最低权限保留为单独的层。

我免费将 SSH 锁定在 WireGuard/Tailscale 后面，禁用密码和 root，需要带有密码的密钥，并限制为 sudo。我使用单独的凭据将备份存储在 VPS 之外，启用自动安全更新、fail2ban 和成功登录审核；在加强防火墙之前我会检查提供商的紧急控制台。

通过 SSH Protector，我使用支持的静态二进制文件来实现适当的架构和 systemd，无需传入控制端口即可启用本地日志解析和防火墙阻止。我在安装之前检查操作系统和防火墙兼容性，设置管理白名单，并确保代理不会淹没有限的设备资源。

免费的，我根本不对外发布 SSH：我通过 VPN 连接设备，禁用密码和 root，允许一键和一个控制子网。我更新固件，禁用未使用的服务，仅在有足够内存的情况下设置最小fail2ban并保存防火墙配置；对于不受支持的操作系统，我选择外部网关而不是未知的二进制文件。

借助 SSH Protector，我可以读取受支持的 SSH 和 FTP 日志，让代理确定端口，并将单个本地规则应用于源网络。我将可信集成添加到白名单中，检查仪表板中的历史记录，并考虑到高级 FTP 保护和其他功能可能取决于资费。

如果确实需要该协议，我会免费将常规 FTP 替换为基于 SSH 的 SFTP 或 FTPS，并关闭整个 Internet 的服务。我为 sshd 和 FTP 创建单独的fail2ban 监狱，将它们定向到一个设置了超时的 nftables，在更新后检查日志格式并禁用共享帐户。

借助 SSH Protector，我对所有外部源保留自动网络阻止，并且仅将受控 VPN 列入白名单，而不是每个家庭 IP。我使用面板进行攻击，但我将身份保存在单独的 Unix 帐户和密钥中：代理保护外围，我通过删除特定密钥来撤销访问权限。

免费地，我通过 Ansible 集中管理authorized_keys，为每个人和设备发放一个密钥并带有明确的注释，禁用共享帐户并限制 sudo。我在堡垒上启用 VPN/MFA，在清单中设置访问期限，在 SIEM 中收集带有指纹的接受公钥，并在合同结束时自动删除密钥。

借助 SSH Protector，我通过精确的白名单分离受信任的运行者地址，并让所有其他来源因登录失败而被阻止。我不认为这可以替代密钥控制：代理减少了来自外部的暴力，而服务帐户本身的限制包含了成功身份验证的后果。

免费地，我使用单独的 Ed25519 密钥来完成该作业，将其存储在秘密存储中，通过 from=、command=、no-port-forwarding、no-agent-forwarding 和 no-pty 将其限制在authorized_keys 中。我只允许来自运行者网络的 SSH，发出最少的 sudo 命令，定期轮换密钥，并在部署日志中记录指纹。

使用 SSH Protector，我首先安装额外的保护层，并在执行迁移时将当前管理地址列入白名单。代理会阻止主动暴力破解，自动考虑实际端口并使策略保持离线状态，但在成功验证密钥后，我仍然禁用密码登录。

我免费打开第二个 SSH 会话和提供程序控制台，添加唯一密钥，检查 ~/.ssh 700 和authorized_keys 600 权限，运行 sshd -t 并重新加载，而不关闭第一个会话。然后我设置PasswordAuthentication no，KbdInteractiveAuthentication no和PermitRootLogin no，检查新登录并单独保存紧急密钥。

借助 SSH Protector，我可以立即阻止活动来源和网络，检查攻击历史记录，并仅通过受信任的白名单保留访问权限。然后我更改密码/密钥，结束会话并单独分析接受的密码/公钥；阻止会减少攻击窗口，但并不能证明不存在已成功登录的情况。

我免费暂时关闭了 VPN 的 SSH 安全组或 nftables、阻止用户、撤销密钥并更改关联的机密。我检查last/lastlog、journalctl、sudo、新用户/密钥、cron/systemd 单元、进程和网络连接，然后恢复仅密钥访问并禁用重复使用的密码。

通过 SSH Protector，我可以继续阻止外部暴力破解并查看可疑来源，但不依赖它来对抗正确的被盗密钥。我立即从所有服务器上删除指纹，发出带有密码的新密钥，并只为 VPN 保留白名单；我将单独调查成功的参赛作品。

免费地，我在所有authorized_keys中查找旧的公钥，通过配置管理撤销它，并通过指纹和来源检查接受的公钥。我发出硬件 FIDO2/ed25519-sk 或带有密码和 ssh-agent 超时的密钥，除非必要，否则禁用代理转发，并保留所有者、设备和轮换日期的注册表。

通过 SSH Protector，我附上了攻击和阻止历史记录、策略设置、受保护服务列表和批准的例外情况。我记录代理的本地解决方案、传出 TLS 通道以及缺少传入控制端口的情况，然后执行受控的错误登录并保存日志行、防火墙规则和通知。

我免费从 Git 导出 sshd_config、nftables/ufw、fail2banijil 和变更日志，并将 auth.log/journald 发送到安全存储。我每月检查PasswordAuthentication、PermitRootLogin、MFA/VPN 并测试密钥吊销，对结果进行签名并在规定的期限内存储证据。

使用 SSH Protector，我在发生一系列故障后在防火墙中阻止源，因此下一个 TCP 连接不会到达 sshd，也不会创建那么多条目。我保留系统审计，单独控制日志的大小/保留，并使用面板中的攻击历史作为索引，而不是作为原始日志的替代品。

我免费关闭了 VPN/白名单的 SSH，禁用密码和标准登录，并将fail2ban 发送到设置了超时的 nftables。我配置 SystemMaxUse 和 Journald/rsyslog 轮换，将 Accepted 和关键 Failed 事件发送到外部 syslog，并且不将 LogLevel 降低到调查所需的值以下。

使用 SSH Protector，我设置了一次阈值和窗口，之后代理在本地创建和释放锁，并且白名单优先。我使用网络禁令，攻击者轮换相邻地址，检查面板中的更改并在第一个策略之前保存备份控制台。

免费地，我用带有超时或fail2ban操作的nftables替换了单独的永恒iptables规则，为VPN设置了maxretry/findtime/bantime和ignoreip。我在真实的日志行上测试过滤器，仔细启用重复性，限制设置大小，并在发行版更新后监视重新加载错误。

借助 SSH Protector，我可以将主机与受支持的代理连接起来，从一个面板查看检测到的端口和攻击，但将异常和策略保留在所需服务器/客户端的范围内。我应用基线值，单独记录偏差，并通知负责的客户。

我免费描述 Ansible 角色中的 sshd、fail2ban 和 nftables，为每个客户端提供单独的清单和保管库，检查 CI 中的更改并使用租户标签收集 Wazuh/central syslog 中的日志。我会自动将配置与基线进行比较，并且从不组合来自不同客户的密钥、CIDR 和机密。

通过 SSH Protector，我提前对代理强制执行策略；当与主机的通信丢失时，它会继续读取本地日志并将系统防火墙更改为最新配置。我在关机前同步白名单，恢复后检查累积的历史记录，并且不打开传入代理控制端口。

免费地，我将控制完全本地化：nftables/ufw 只允许从 VPN 或所需子网进行 SSH，而fail2ban 通过journald 工作，无需外部网络。我保存加载规则，设置本地通知队列，测试没有 DNS 的重启，然后离开物理/提供商控制台来恢复错误规则。

我在 fail2ban 继续运行的情况下安装 SSH Protector 代理。代理有自己独立的 nftables 表（inet sshprotector，老系统上则是带前缀的 ipset 命名空间），并且只重建这张表，因此完全不碰 fail2ban 的链，两者谁也不会回滚谁。安装时我先把自己的地址加入白名单，然后在面板里观察一天，看代理抓到的来源是否和 jail 一致。确认之后才停掉 fail2ban 并清掉它的规则。如果我改变主意，卸载代理会把它自己的规则一并带走，防火墙恢复原样。

即使不用任何代理，两个读日志的工具之间的切换也是同样的做法：让旧的继续跑，给新的单独的链名或表名，使规则不会冲突，用整整一天的真实流量比较各自抓到了什么，等新工具的封禁数不再是两者中较少的那个，再关掉旧的。永远不要先卸掉正在工作的那个：暴露的 SSH 端口上几分钟没有防护，对一个已经在扫描你的僵尸网络来说就够了。

两者从不同方向解决有重叠的问题，我按形状而不是按打分来选。CrowdSec 是一个引擎：有场景语言、需要自己安装并接好的封禁组件，以及由所有使用者共同喂养的黑名单，覆盖范围远不止 SSH。SSH Protector 是一个只做一件事的二进制：读 SSH、SFTP 和 FTP 的认证日志，在自己的 nftables 表里封禁攻击者整个 /24，重启后封禁仍然有效，从 sshd 配置里识别真实端口而不是假定 22，并向面板汇报，在受保护的服务器失声时告诉我。情报在受保护账户之间共享，而不是共享给整个互联网。

所以这个决定取决于我手上实际有什么。如果我需要广度——HTTP、数据库、任意日志源、自己写的检测场景——CrowdSec 有这个空间，而且运行起来不花钱。如果我手上只是几台开着 SSH 端口的 Linux 机器，又没有人维护一整套检测栈，那我要的是那个不用配置就正确的窄东西。我没有在同一台机器上把两者对比跑过，所以不按性能数字来选——拿这些数字来说服我的人也不该那样做。