SSH

公网 SSH 被持续扫描是常态。加固重点不是隐藏端口，而是确保扫描者无法完成认证，同时保留管理员自己的恢复路径。 只保留密钥认证 确认新密钥可以登录后，再关闭密码认证和空密码。直接修改配置前运行 sshd -t，并保持当前会话不退出，避免配置错误导致失联。 控制认证压力 合理设置 MaxAuthTries、LoginGraceTime 和并发握手限制。Fail2ban 可以降低日志噪音，但不能替代密钥认证。 准备恢复路径 云平台控制台、独立管理网络或备用端口必须至少保留一种。修改防火墙后应从外部重新连接验证，而不是只看服务器本机监听状态。

Fail2ban 根据日志模式临时封禁来源，能够减少重复扫描和认证压力，但攻击者更换地址后仍可继续尝试。 先保证认证本身安全 密钥登录、关闭密码认证和限制高权限账户比封禁策略更重要。即使 Fail2ban 停止，认证边界也不应立即失效。 检查匹配范围 日志格式升级后，旧正则可能不再匹配。定期使用 fail2ban-regex 验证真实日志，并观察封禁数量是否突然归零或异常增长。 为管理员地址留出恢复方式 动态网络不适合永久白名单。出现误封时，应能通过控制台或另一条管理链路解除，而不是依赖同一个被封的入口。