Свіжий сервер в інтернеті - уже мішень, боти стукають у SSH за кілька хвилин. Збираємо базовий чеклист, що закриває більшість: окремий користувач із sudo, ключі замість паролів, строга криптографія до нуля попереджень у ssh-audit, ufw і автооновлення. Це фінал серії «Захист сервера».
fail2ban банить за власними логами й простими правилами. CrowdSec додає поведінкові сценарії, окремий bouncer і - головне - колективну базу: твій сервер блокує IP, які атакували інших, ще до першого стуку. Ставимо його поруч, ганяємо той самий брутфорс і дивимось, чим він відрізняється.
fail2ban - це сторож, що читає логи, рахує невдалі входи й автоматично банить IP, з якого ломляться. Піднімаємо його на Debian 13, брутфорсимо власний сервер із сусідньої машини й дивимось, як бан накладається в реальному часі. Плюс три заковики, специфічні саме для trixie.
SSH-ключ + TOTP: двофакторна автентифікація без системного пароля
Шпаргалка по SSH: ключі, конфіг, тунелі
