封锁多次ssh密码错误的主机IP

.建立脚本内容

$ cat /home/cnscn/sh/ssh_scan_crontab.sh

#!/bin/bash

# Author

http://jabin.cublog.cn

# Modify cnscn

http://cnscn2008.cublog.cn

# Modify xinyv

#设置时区

export LC_ALL=UTC

# 获取前 1 分钟内的 secure 记录，统计 ssh 认证失败的 IP 和其 失败次数, 并用Iptables阻止之

SCANNER=$(awk

‘BEGIN{ tm=strftime(“%b %e %H:%M”,systime()-60);}  $0 ~ tm &&

/Failed password/ && /ssh2/ {print $(NF-3)}’ /var/log/secure |sort|uniq -c |awk

‘{print $1″=”$2;}’)

for i in $SCANNER

do

echo $i

# 取认证失败次数

NUM=`echo $i|awk -F= ‘{print $1}’`

# 取其 IP 地址

IP=`echo $i|awk -F= ‘{print $2}’`

# 若其在失败次数超过 5 次且之前没有被阻断过，那么添加一条策略将其阻断，并记录日志

if [ $NUM -gt 5 ] && [ -z "`/sbin/iptables -vnL INPUT|grep $IP`" ]

then

/sbin/iptables -I INPUT -s $IP -j DROP

echo “/sbin/iptables -I INPUT -s $IP -j DROP” >> /home/cnscn/sh/ssh_scan_iptables.sh

echo “`date` $IP($NUM)” >> /var/log/scanner.log

fi

done

#End of Script

.把下面脚本放入/etc/crontab

#扫描ssh密码猜测次数超过5次的记录

* * * * *  root /home/cnscn/sh/ssh_scan_crontab.sh >/dev/null 2>&1

.把脚本/home/cnscn/sh/ssh_scan_iptables.sh加入到开机启动的myiptables.sh防火墙脚本

$ cat myiptables.sh

#!/bin/bash

#chkconfig: 345 85 15

#description: my iptables rules, which can auto run when system start

# This is a script

# Edit by liwei, cnscn

# establish a static firewall

#网络接口

interdevice=”eth0″

#端口

#21       ftp

#15022    sshd

#25       smtp

#53       named

#80       http

#110      pop3

#外界可以访问的端口

Open_ports=”21 20 22 80″

#可以外出的端口,其它端口都可以外出

Allow_ports=”21 20 80 ”

#清除所有以前设置的规则

iptables -F

iptables -X

iptables -t nat -F

iptables -t nat -X

#执行非法IP阻止规则

/home/cnscn/sh/ssh_scan_iptables.sh

#允许211.167.xxx.xxx, 防止自己输入错误而导致的IP被封锁

/sbin/iptables -I INPUT -s 211.167.xxx.xxx -j ACCEPT

#定义每一个网络接口规则

for eths in $interdevice ; do

#接受所有的，来源不是网络接口$interdevice的数据(对不是eths端口则放行)

#iptables -A INPUT -i ! $eths -j ACCEPT

#定义外界可以访问的端口规则(–dport)

for Port in $Open_ports ; do

iptables -A INPUT -i $eths -p tcp –dport $Port -j ACCEPT

iptables -A INPUT -i $eths -p udp –dport $Port -j ACCEPT

done

#给不应该进入我们机器的数据，一个欺骗性的回答

iptables -A INPUT -i $eths -p tcp -j REJECT –reject-with tcp-reset

iptables -A INPUT -i $eths -p udp -j REJECT –reject-with icmp-port-unreachable

done

#forbidden ping

echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all

#End of Script