меня ломает китайская школа интернета

Просто поставь fail2ban и настрой его на использование ipset.

/etc/fail2ban/jail.d$ cat sshd-ipset-ipv4.conf 
[sshd]
enabled = true
bantime = 10m
findtime = 10m
maxretry = 5
banaction = iptables-ipset-proto4

Модуль geoip же. В параметре прописываются страны.

Я в таких случаях смотрю подсеть через whois и загоняю её в tarpit, пусть долбятся.

Параметры в конфиге крути на свой вкус, там вроде всё понятно. Не забудь делать reload.

годнота

Кто сливает? Они брутфорсят по всем возможным айпи-адресам, зачем им с доменами возиться?

noip может сливать не?

Я еще в iptables добавил две строчки параноика (китай и гонконг).

iptables -A INPUT -s 45.125.65.0/24 -j DROP
iptables -A INPUT -s 121.4.0.0/16 -j DROP

слушай, а как банить Invalid user?

Mar  3 13:11:19 Nova sshd[27656]: Invalid user wkiconsole from 82.156.51.162 port 57422
Mar  3 13:11:19 Nova sshd[27656]: Received disconnect from 82.156.51.162 port 57422:11: Bye Bye [preauth]
Mar  3 13:11:19 Nova sshd[27656]: Disconnected from invalid user wkiconsole 82.156.51.162 port 57422 [preauth]

Вот это

findtime = 10m
maxretry = 5

bantime = 10m а это срок бана, нормальной практикой является поставить час-сутки. Только сам в бан не попади )))

Разбанить ip через консоль от рута

fail2bain-client unban ip

Отключить парольную аутентификацию, понизить логгирование и завернуть в какой-нибудь logrotate (чтобы диск не забило).

fail2ban, конечно, хорошо, но совершенно бессмысленно для ssh — подобная атака это банальный подбор пароля, и если отключена парольная аутентификация, то и пробиться они не смогут. Долбиться они всё равно не перестанут.

Что он может сливать? Информация о том, что домен deity.no-ip.org ведёт на твой айпи-адрес, бесполезна для взломщиков. Они тупо перебирают всё ай-пи адреса по очереди.

Я еще в iptables добавил две строчки параноика (китай и гонконг).

Подскажу лучше: найти списки диапазонов APNIC и AfriNIC, и все их забань, отсеешь сразу огромное количество бесполезных (в плане целевой аудитории) и вредных (там всё плохо с ит-грамотностью и полно ботнетов) сетей.

А если речь идёт про ssh или ещё что-то исключительно для личного доступа то вообще делай белый список из тех сетей где бываешь.

port knocking - лучшее решение для ssh.

fail2ban полезен для сервисов которые должны быть доступны всем, а ssh к таким сервисам IMHO не относится.

спасибо не знал, логичная шняга

Все придумано до нас (с) Аутентификация по ключу и нестандартный порт. Это более чем достаточно от ботов. А всякие порт кнокинги это такое себе

нужен скрипт который ddns и правила с разрешёнными ип обновляет

наподобие этого, но тут один ipv4 только, и лучше цепочку целиком сгенерировать и потом ее перезаписать

#!/bin/sh

saddr=$(getent hosts host.ddns.net | awk '{ print $1 }')

nft flush chain inet filter ssh
nft add rule inet filter ssh ip saddr {$saddr} tcp dport 22 accept

у меня для рута ssh закрыто, и порты тоже перебирают, твой метаногенез такой себе.

Просто какой-то лютый спам моего ssh, сегодня с сеула уже даже ip поменялся у ростелекома, чеза херня

но раз 5минут доступ для новых соединений блокируется на доли секунды(( кто знает как заменить правило с определенным комментарием?

#!/bin/bash

while true
do

	saddr4=$(getent ahostsv4 ipv4.net | grep STREAM | awk '{ print $1 }')
	saddr6=$(getent ahostsv6 ipv6.net | grep STREAM | awk '{ print $1 }')

	nft flush chain inet filter ssh

	if [[ -z "$saddr4" && -z "$saddr6" ]]
	then
		nft add rule inet filter ssh tcp dport 22 accept
	else
		if [[ ! -z "$saddr4" ]]
		then
			nft add rule inet filter ssh ip  saddr {$saddr4} tcp dport 22 accept
		fi

		if [[ ! -z "$saddr6" ]]
		then
			nft add rule inet filter ssh ip6 saddr {$saddr6} tcp dport 22 accept
		fi
	fi

	sleep 300;
done

Изменение правил - это очень дорого и долго.

В твоем случае сначала должно быть правило разрешающее пакеты по установленным соединениям, т.к. в промежуток между flush и add будет дропаться весь трафик на 22 порт.

Вообще для этих целей нужно использовать ipset, который в nft встроенный.

в ipset можно добавлять комментарии

твой метаногенез такой себе.

Ой, прекрати, что ты делаешь?! Еще одну такую искрометную шутку я не переживу.

Просто какой-то лютый спам моего ssh

Что значит лютый? Создает заметную нагрузку на сервер?

Если просто знание того, что на сервер боты ломятся спать мешает используй тот же ipset он в списки умеет в которые можно добавлять подсети и вроде как быстрее цепочек iptables