Cách ngăn chặn các nỗ lực đăng nhập ssh trái phép

Tôi đã phát hiện ra rất nhiều lần đăng nhập trái phép vào /var/log/auth.log

...
Ngày 26 tháng 9 22:15:34 tên máy chủ sshd[3072475]: Mật khẩu không thành công cho người dùng người dùng không hợp lệ từ cổng x.y.z.w 51056 ssh2
Ngày 26 tháng 9 22:15:39 tên máy chủ sshd [3072519]: Mật khẩu không thành công cho người dùng người dùng không hợp lệ từ cổng x.y.z.w 62354 ssh2
Ngày 26 tháng 9 22:16:51 tên máy chủ sshd [3072643]: Mật khẩu không thành công cho người dùng người dùng không hợp lệ từ cổng x.y.z.w 10596 ssh2
...

Tôi không hiểu tại sao điều này lại xảy ra, vì tôi đã định cấu hình chuyển tiếp cổng trên bộ định tuyến internet của mình (zyxel VMG3925-B10B) để ví dụ: cổng 54321 được ánh xạ tới cổng 22 trên địa chỉ ip nội bộ của hộp ubuntu của tôi.

Nếu tôi cố gắng đăng nhập ssh từ bên ngoài nhà - vì vậy sử dụng IP bên ngoài cho bất kỳ thứ gì ngoại trừ cổng 54321, tôi sẽ bị từ chối. Vậy tại sao ai đó có thể vượt qua tường lửa bộ định tuyến của tôi đến ip nội bộ của hộp Ubuntu của tôi.

Tôi nhận ra rằng câu hỏi này có khả năng là một câu hỏi dành cho nhà sản xuất bộ định tuyến của tôi. Tuy nhiên, kiến ​​thức về bảo mật của tôi có phần hạn chế và tôi muốn nghe chiến lược của những người khác

Bằng cách chọc ngoáy, kẻ xấu đã phát hiện ra rằng cổng bên ngoài 54321 của bạn là cổng truy cập ssh của bạn. Các cổng được liệt kê trong nhật ký của bạn là cổng nguồn, không phải cổng đích. Bạn sẽ thấy rằng các lần thử đăng nhập ssh trên cổng 54321 của bạn xảy ra với tốc độ thấp hơn nhiều so với khi đó là cổng 22.

Bạn có thể giảm thiểu vấn đề thông qua các quy tắc iptables hoặc fail2ban (tuy nhiên nó được đánh vần) hoặc cách khác. Tôi sử dụng mô-đun gần đây trong itpables:

# Danh sách Badguy năng động. Phát hiện và loại bỏ các IP xấu thực hiện các cuộc tấn công bằng mật khẩu trên SSH.
# Khi chúng nằm trong danh sách BADGUY, sau đó DROP tất cả các gói từ chúng.
#$IPTABLES -A INPUT -i $EXTIF -m gần đây --update --hitcount 3 --seconds 5400 --name BADGUY_SSH -j LOG --log-prefix "SSH BAD:" --thông tin cấp log
#$IPTABLES -A INPUT -i $EXTIF -m recent --update --hitcount 3 --seconds 5400 --name BADGUY_SSH -j DROP
# Đôi khi làm cho thời gian khóa rất lâu. Điển hình là để cố gắng thoát khỏi các cuộc tấn công phối hợp từ Trung Quốc.
$IPTABLES -A INPUT -i $EXTIF -m recent --mask $BIT_MASK --update --hitcount 3 --seconds 90000 --name BADGUY_SSH -j LOG --log-prefix "SSH BAD:" --log-level thông tin
$IPTABLES -A INPUT -i $EXTIF -m recent --mask $BIT_MASK --update --hitcount 3 --seconds 90000 --name BADGUY_SSH -j DROP
$IPTABLES -A INPUT -i $EXTIF -p tcp -m tcp --dport 22 -m recent --mask $BIT_MASK --set --name BADGUY_SSH -j ACCEPT

Bây giờ tôi sử dụng BIT_MASK (hiện tại là "255.255.252.0"), bởi vì những kẻ tấn công đã trở nên thông minh và thường chỉ chuyển sang một địa chỉ ip khác trên cùng một mạng con. $EXTIF là mạng WAN đối diện với NIC của tôi.