OPENWRT远程管理和ssh被爆破
内容提要
文章讨论了使用OpenWrt进行远程管理NAS的经验，采用IPv6和动态DNS实现稳定访问。作者遇到SSH爆破问题，使用fail2ban工具增强安全性，并调整黑名单策略以应对攻击。
延伸解读
IPv6 远程访问的配置要点
作者通过 IPv6 和动态 DNS 实现 OpenWrt 远程管理，但在配置 DDNS 时发现 WAN6 接口无法获取 IP。原因是虚拟网卡不直接持有地址，实际由 pppoe-wan 物理接口拨号并获取地址。将 DDNS 的 IP 来源改为接口并选择 pppoe-wan 后成功。这提示在虚拟化或特殊网络环境中，需确认实际承载 IP 的接口，而非默认的 WAN6。
SSH 爆破的持续性与 fail2ban 策略调整
作者发现 SSH 被爆破两天，使用 fail2ban 拉黑失败 IP。初始策略为 5 分钟内失败三次，但黑名单仅十几个 IP，效果有限。分析日志后认为攻击者使用多个 IP、单 IP 频次低且可能扫网段，以规避封禁。于是将策略改为 24 小时内失败三次，甚至激进到 24 小时内失败一次，黑名单 IP 数量才明显增加。
激进封禁策略的适用条件与风险
作者采用“24 小时内失败一次”的激进策略，是因为面板自带终端，不担心自己的 IP 被误伤。这种策略能有效增加黑名单 IP 数量，但可能误封正常用户。若没有可靠的备用访问方式，激进策略可能导致自身被锁。因此，调整 fail2ban 规则时需权衡安全性与可用性，并确保有应急访问途径。
攻击者的可能手法与剩余风险
作者推测攻击者可能拥有大量肉鸡 IP，且刻意降低单 IP 爆破频次以绕过 fail2ban。即使激进策略生效，仍存在两种风险：一是攻击者拥有取之不尽的 IP 资源，封禁不完；二是攻击者可能渗透网段内其他服务器，通过 ARP 欺骗或内网渗透等方式进一步攻击。因此，仅靠 fail2ban 无法完全消除风险，需关注内网安全。
Q&A
如何使用OpenWrt进行远程管理NAS？
可以通过IPv6和动态DNS实现稳定访问，配置动态DNS时选择pppoe-wan接口获取IP地址。
SSH爆破攻击的表现是什么？
SSH爆破攻击表现为大量的登录失败日志，攻击者尝试使用多个IP进行攻击。
fail2ban工具如何增强SSH安全性？
fail2ban可以拉黑在一定时间内登录失败的账号，从而提高服务器的安全性。
如何调整fail2ban的黑名单策略以应对攻击？
可以将黑名单策略从'5分钟内失败三次'调整为'24小时内失败三次'以应对频繁的爆破攻击。
爆破攻击持续的原因是什么？
攻击者可能使用多个IP进行攻击，且频次较低以避免被ban，导致爆破攻击持续。
在远程管理中使用动态DNS的好处是什么？
动态DNS可以确保在IP地址变化时仍能稳定访问NAS，提升远程管理的便利性。
