SSH Absicherung

    Zitat von Hille

    Für alle die sich ein eigenes Script mit verschiedenen sinnvollen Blacklists erstellen möchten, kann ich das hier empfehlen.

    https://iplists.firehol.org/

    Gute Quelle für blocklists im generellen, nicht nur SSH ... aber eigenes script ist nicht nötig, gibt es alles schon.

    GitHub - trick77/nftables-blacklist: A bash script to ban large numbers of IP addresses published in blacklists.
    A bash script to ban large numbers of IP addresses published in blacklists. - trick77/nftables-blacklist
    github.com

    battletested, easy to use.

    Zitat von Hille

    Für alle die sich ein eigenes Script mit verschiedenen sinnvollen Blacklists erstellen möchten, kann ich das hier empfehlen.

    Habe ich lustigerweise gestern gemacht: firehol_level1.netset

    Bin dann sofort selber von meinem Server geflogen, da in der tollen Liste 192.168.0.0/16 drin ist :pinch: - also nicht zu gebrauchen.

    aRaphael also bezahlst du montlich ein Abo für abuseipdb? oder gibt es einen Trick wie man die vollständige Liste kostenlos bekommt?


    Zitat

    Gute Quelle für blocklists im generellen, nicht nur SSH ... aber eigenes script ist nicht nötig, gibt es alles schon.

    Cool, leider hatte ich mir schon sowas ähnliches gebaut, aber von dem Projekt habe ich mir noch einige Listen importiert :thumbup:

    Zitat von Becker

    Habe ich lustigerweise gestern gemacht: firehol_level1.netset

    Bin dann sofort selber von meinem Server geflogen, da in der tollen Liste 192.168.0.0/16 drin ist :pinch: - also nicht zu gebrauchen.

    firehol_level_1 sperrt private Netze. Dieses sollte Mal also mit Vorsicht nutzen. Nimm stattdessen Level 2 oder eine oder mehrere von den anderen zig Listen

    Zitat von Hille

    firehol_level_1 sperrt private Netze. Dieses sollte Mal also mit Vorsicht nutzen. Nimm stattdessen Level 2 oder eine oder mehrere von den anderen zig Listen

    was aus Sicht öffentlich erreichbarer Server völlig korrekt ist, da aus privaten Netzen eben keine Anfragen kommen können.
    Statt die Liste nicht zu benutzen ist der bessere Weg vielleicht, die eigenen privaten/VPN IPs zu whitelisten ;)

    Das stimmt natürlich.

    Ich habe sowas ähnliches wie "trick77/nftables-blacklist" gebaut:

    Spoiler anzeigen

    Aug 06 12:14:00 mail systemd[1]: Starting blocklist.service - Update nftables blocklist...
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00] Prüfe lokale Blocklisten...
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00] Blocklist-Quellen:
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   abuse.log       :  10000 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   blocklist.log   :  27097 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   manual.log      :     31 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   bad.log         :  15000 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   green.log       :   2951 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   compromised.log :    558 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   spamhaus4.log   :   1679 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   spamhaus6.log   :     91 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   --------------------------------
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00]   Gesamt          :  57407 Einträge
    Aug 06 12:14:00 mail blocklist.sh[115657]: [2026-08-06 12:14:00] Normalisiere, kombiniere und de-dupliziere IP-Adressen...
    Aug 06 12:14:02 mail blocklist.sh[115657]: [2026-08-06 12:14:02] Gefiltert -> IPv4: 38306 | IPv6: 641
    Aug 06 12:14:02 mail blocklist.sh[115657]: [2026-08-06 12:14:02] Verarbeite Whitelist (/var/lib/blocklists/whitelist.log)...
    Aug 06 12:14:02 mail blocklist.sh[115657]: [2026-08-06 12:14:02] Whitelist geladen -> IPv4: 8 Netze | IPv6: 5 Netze
    Aug 06 12:14:02 mail blocklist.sh[115657]: [2026-08-06 12:14:02] Ziehe Whitelist von der Blocklist ab...
    Aug 06 12:14:04 mail blocklist.sh[115657]: [2026-08-06 12:14:04] Nach Whitelist-Abzug -> IPv4: 38305 | IPv6: 641
    Aug 06 12:14:04 mail blocklist.sh[115657]: [2026-08-06 12:14:04] Baue Transaktion: 38305 Elemente für bl_v4 in Batches von 500 ...
    Aug 06 12:14:04 mail blocklist.sh[115657]: [2026-08-06 12:14:04] Baue Transaktion: 641 Elemente für bl_v6 in Batches von 200 ...
    Aug 06 12:14:04 mail blocklist.sh[115657]: [2026-08-06 12:14:04] Wende Transaktion atomar an (nft -f) ...
    Aug 06 12:14:04 mail blocklist.sh[115657]: + nft -f /tmp/tmp.nu2E3YX9TJ/update-sets.nft
    Aug 06 12:14:05 mail blocklist.sh[115657]: + set +x
    Aug 06 12:14:05 mail blocklist.sh[115657]: [2026-08-06 12:14:05] Fertig
    Aug 06 12:14:05 mail systemd[1]: blocklist.service: Deactivated successfully.
    Aug 06 12:14:05 mail systemd[1]: Finished blocklist.service - Update nftables blocklist.
    Aug 06 12:14:05 mail systemd[1]: blocklist.service: Consumed 4.976s CPU time

    Zuerst teste ich es immer auf meinem Heimserver, daher auch der Rauswurf ;)

    In der Netcup FW ist bei allen Servern Port 22 zu, nur erreichbar über Tailscale und dort per SSH key.

    RS 2000 G12 Pro BW25 (8C EPYC 9645, 16GB, 1TB) | RS 500 G12 BW25 (2C EPYC 9645, 4GB, 128GB) | RS Cyber Quack (1C,2GB,40GB)