sshd 及 vsftpd 除了可用 firewall-cmd 或 iptables 的 –hitcount 參數下指令來防範暴力破解，也可安裝現成的 fail2ban 套件來防範。
標籤彙整: security
利用 firewall-cmd 建立封包轉送並記錄機制
使用 firewll-cmd 建立封包 forward 機制，可使用：
#firewall-cmd --permanent --add-forward
#firewall-cmd --permanent --add-masquerade
#firewall-cmd --permanent --add-forward-port=port=53:proto=udp:toport=53:toaddr=8.8.8.8
#firewall-cmd --reload
上面的指令，可以將DNS查詢的封包，全部轉送到Google DNS去。
閱讀全文
使用 ipset 及 firewalld 做黑名單管理
一、先建立黑名單：
ipset create blacklist hash:ip hashsize 4096
二、加入 IP 位址：
ipset add blacklist 192.168.0.5
ipset add blacklist 192.168.0.100
ipset add blacklist 192.168.0.220
三、建立 firewalld 規則：
firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -m set --match-set blacklist src -j DROP
使用 firewalld 限制同一 IP 單位時間內之連線數
為了限制同一個 IP 在單位時間內之連線數量，可以運用 iptables 來達成。CentOS 7 之後，改成使用 firewalld 來管理 iptables，當然依然可以使用 iptables 指令來處理，但還是想了解一下如何利用 firewalld 來做到。
將 iptables 限制連線功能做 log
當我們運用 iptables 限制同一IP單位時間連線數時，無法得知有那些IP被DROP掉，這時可利用iptables增加一個chain來做log，並將它獨立到其他的LOG檔，而非/var/log/messages。
在/etc/sysconfig/iptables中修改設定，新建立一個chain，再將log及DROP的規則放到這個chain裡，只要事件觸發套用這個chain即可：
運用 iptables 限制同一IP單位時間連線數
開始是為了針對SSH連線都會有人使用字典攻擊來猜帳號及密碼，在sshd_config設定檔中的MaxAuthTries，只能限制每次連線時帳號密碼的重試測數，超過前數就會中斷連線，但是無法限制連線的次數。
所以如果設定MaxAuthTries=3，那每次連線時可以允許三次的密碼輸入錯誤，錯誤三次後就會中斷連線，但是可以再次連線進來再猜三次，所以還是擋不掉SSH字典攻擊。