对于暴露在公网上的linux服务器，很容易被暴力破解登陆，为了增强服务器的安全性，因此对于ssh安全加固是很有必要的，这里主要介绍centos7 系统如何使用ipset+firewalld+定时任务来对ssh服务进行安全加固。
定义firewalld ipset
firewall-cmd --permanent --new-ipset=blacklist --type=hash:ip定义firewalld规则调用ipset
firewall-cmd --permanent --add-rich-rule 'rule family="ipv4" source ipset=blacklist port protocol="tcp" port=22 drop'将日志中的ip添加到ipset中
# 脚本实现自动加入#!/bin/bash
# Author: merry
# Description: 使用root账号登录错误大于8次的IP被加入到黑名单中for ip in `grep -i 'Failed password for root' /var/log/secure | awk '{print $11}' | sort -n | uniq -c | sort -k1nr | awk '{if ($1>8) print $2}'`; dofirewall-cmd --permanent --ipset=blacklist --add-entry="${ip}";
done;
firewall-cmd --reload;添加定时任务
0 * * * * /opt/blockips.sh >/dev/null 2>&1检查验证
# 查询黑名单IPfirewall-cmd --permanent --info-ipset=blacklist
firewall-cmd --ipset=blacklist --get-entries# 通过文件查看cat /etc/firewalld/ipsets/blacklist.xml当然也可以使用fail2ban这款软件来实现，可根据需要进行选择。
)
