扫描狗真多，利用 nftables防火墙开 sshd入站白名单

KDE

/etc/host.deny RHEL 8开始已经移除 tcp_wrappers不可用 以后 deb系也会移除的

还是用新版 nftables防火墙做入站白名单吧

# nfttables
nft flush ruleset

# 1
nft add table inet filter
nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; }
nft add rule inet filter input iif "lo" accept
nft add rule inet filter input ct state { established, related } accept
#nft add rule inet filter input ct state invalid drop
nft add rule inet filter input icmpv6 type { nd-nei**or-advert, nd-nei**or-solicit, nd-redirect, nd-router-advert, nd-router-solicit } accept
nft add rule inet filter input icmp type echo-request limit rate 1 /second accept
nft add rule inet filter input icmpv6 type echo-request limit rate 1 /second accept
nft add rule inet filter input iif "eth0" tcp dport 22 ip saddr 10.1.1.0/24 accept
nft add rule inet filter input iif "eth0" tcp dport 22 ip6 saddr 240e:350::/29 accept
nft add rule inet filter input iif "eth0" tcp dport { 80, 443 } accept
nft add rule inet filter input iif "eth0" udp dport { 53, 68, 546 } accept

端口说明：
68 dhcp
546 dhcpv6 （禁止，无法获取ipv6地址）

补充：
这都关键词屏蔽，他们到底怕什么

linearn

是不是修改sshd的端口号，也可以达到不让别人乱扫的目的？

KDE

linearn 发表于 2023-3-14 06:29
是不是修改sshd的端口号，也可以达到不让别人乱扫的目的？

也可以改默认端口避免扫描狗，但我个人习惯用默认的。

linearn

KDE 发表于 2023-3-14 06:31
也可以改默认端口避免扫描狗，但我个人习惯用默认的。

你的方法也挺好的，改了端口号有时候会出现莫名其妙连不上的问题，还得改回缺省端口号

三和大神

好帖，但是我选择堡垒机

SHA256

改个端口号就行了，就这么简单

wangzai01

改个端口号就行了，就这么简单

KDE

wangzai01 发表于 2023-3-17 18:32
改个端口号就行了，就这么简单

改默认端口一样有人猛扫

短短一天已经将近5MB的日志
[root@epel ~]# ll -h /var/log/messages
-rw-------. 1 root root 4.7M Mar 17 20:23 /var/log/messages

spose

三和大神 发表于 2023-3-14 07:25
好帖，但是我选择堡垒机

哪家堡垒机

果果

改一下端口号 会好很多