Fail2Ban实战：5分钟搞定SSH暴力破解防护（附Nginx防盗链配置）

Fail2Ban实战：5分钟构建SSH暴力破解防护体系

服务器安全防护是每个运维人员的必修课。想象一下，当你查看服务器日志时，发现成千上万次来自不同IP的SSH登录尝试，那种后背发凉的感觉——这就是典型的暴力破解攻击。好在有Fail2Ban这样的工具，它能像一位不知疲倦的保安，24小时监控登录行为，自动封禁可疑IP。

1. 快速部署Fail2Ban

Fail2Ban的安装简单得令人惊喜，一条命令就能搞定。但不同Linux发行版的安装方式略有差异：

# Debian/Ubuntu系
sudo apt update && sudo apt install -y fail2ban

# RHEL/CentOS系
sudo yum install -y epel-release
sudo yum install -y fail2ban

安装完成后，系统会自动启动Fail2Ban服务。但默认配置往往不能满足实际需求，我们需要进行针对性调整。重要提示：不要直接修改/etc/fail2ban/jail.conf文件，而是创建或修改jail.local文件，这样能避免升级时配置被覆盖。

2. 精细化配置SSH防护

打开配置文件进行编辑：

sudo nano /etc/fail2ban/jail.local

以下是针对SSH防护的推荐配置：

[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
maxretry = 3
findtime = 10m
bantime = 1h
ignoreip = 127.0.0.1/8 ::1 192.168.1.0/24

各参数含义：