封锁多次ssh密码错误的主机IP

.建立脚本内容
$ cat /home/cnscn/sh/ssh_scan_crontab.sh
#!/bin/bash
# Author

http://jabin.cublog.cn

# Modify cnscn

http://cnscn2008.cublog.cn

# Modify xinyv
#设置时区
export LC_ALL=UTC
# 获取前 1 分钟内的 secure 记录，统计 ssh 认证失败的 IP 和其 失败次数, 并用Iptables阻止之
SCANNER=$(awk
‘BEGIN{ tm=strftime(“%b %e %H:%M”,systime()-60);}  $0 ~ tm &&
/Failed password/ && /ssh2/ {print $(NF-3)}’ /var/log/secure |sort|uniq -c |awk
‘{print $1″=”$2;}’)
for i in $SCANNER
do
echo $i
# 取认证失败次数
NUM=`echo $i|awk -F= ‘{print $1}’`
# 取其 IP 地址
IP=`echo $i|awk -F= ‘{print $2}’`
# 若其在失败次数超过 5 次且之前没有被阻断过，那么添加一条策略将其阻断，并记录日志
if [ $NUM -gt 5 ] && [ -z "`/sbin/iptables -vnL INPUT|grep $IP`" ]
then
/sbin/iptables -I INPUT -s $IP -j DROP
echo “/sbin/iptables -I INPUT -s $IP -j DROP” >> /home/cnscn/sh/ssh_scan_iptables.sh
echo “`date` $IP($NUM)” >> /var/log/scanner.log
fi
done
#End of Script
.把下面脚本放入/etc/crontab
#扫描ssh密码猜测次数超过5次的记录
* * * * *  root /home/cnscn/sh/ssh_scan_crontab.sh >/dev/null 2>&1
.把脚本/home/cnscn/sh/ssh_scan_iptables.sh加入到开机启动的myiptables.sh防火墙脚本
$ cat myiptables.sh
#!/bin/bash
#chkconfig: 345 85 15
#description: my iptables rules, which can auto run when system start
# This is a script
# Edit by liwei, cnscn
# establish a static firewall
#网络接口
interdevice=”eth0″
#端口
#21       ftp
#15022    sshd
#25       smtp
#53       named
#80       http
#110      pop3
#外界可以访问的端口
Open_ports=”21 20 22 80″
#可以外出的端口,其它端口都可以外出
Allow_ports=”21 20 80 ”
#清除所有以前设置的规则
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
#执行非法IP阻止规则
/home/cnscn/sh/ssh_scan_iptables.sh
#允许211.167.xxx.xxx, 防止自己输入错误而导致的IP被封锁
/sbin/iptables -I INPUT -s 211.167.xxx.xxx -j ACCEPT
#定义每一个网络接口规则
for eths in $interdevice ; do
#接受所有的，来源不是网络接口$interdevice的数据(对不是eths端口则放行)
#iptables -A INPUT -i ! $eths -j ACCEPT
#定义外界可以访问的端口规则(–dport)
for Port in $Open_ports ; do
iptables -A INPUT -i $eths -p tcp –dport $Port -j ACCEPT
iptables -A INPUT -i $eths -p udp –dport $Port -j ACCEPT
done
#给不应该进入我们机器的数据，一个欺骗性的回答
iptables -A INPUT -i $eths -p tcp -j REJECT –reject-with tcp-reset
iptables -A INPUT -i $eths -p udp -j REJECT –reject-with icmp-port-unreachable
done
#forbidden ping
echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all
#End of Script