从日志到防火墙：OpenWRT的SSH安全防护实战指南

1. 日志分析与异常IP提取技术

在OpenWRT环境中，日志分析是识别潜在威胁的第一道防线。系统日志中记录的SSH登录失败信息往往隐藏着攻击者的蛛丝马迹。通过高效提取这些信息，我们可以构建动态的防御机制。

日志分析的核心命令组合：

logread | grep 'authpriv.warn' | awk '{match($0, /[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+/); print substr($0, RSTART, RLENGTH)}' | sort | uniq -c | awk '$1 >= 5 {print $2}'

这个命令管道实现了：

1. 从系统日志中筛选SSH认证警告
2. 使用正则表达式提取IP地址
3. 统计每个IP的失败次数
4. 输出失败超过5次的恶意IP

进阶技巧：可以结合时间窗口分析，只统计最近1小时内的失败尝试：

logread -e 'authpriv.warn' -S '1 hour ago' | awk '...'

日志分析优化方案对比：

方法	优点	缺点	适用场景
实时监控	响应迅速	系统资源占用高	高安全需求环境
定时任务	资源可控	存在检测延迟	一般生产环境
日志轮询	平衡性较好	实现复杂度高	中型网络环境

注意：在生产环境中，建议将提取的IP地址先加入临时黑名单，经过人工确认后再转为永久封禁，避免误伤合法用户。

2. iptables策略深度优化

OpenWRT的防火墙核心是iptables，针对SSH防护需要特别关注INPUT链的处理策略。DROP和REJECT是两种常用的目标动作，但它们的实际表现差异显著。

策略行为对比实验：

# 测试DROP策略的响应时间
timeout 3 telnet 192.168.1.1 22
# 测试REJECT策略的响应时间
iptables -R INPUT 3 -j REJECT --reject-with icmp-port-unreachable
timeout 3 telnet 192.168.1.1 22

实测数据显示：

• DROP策略平均超时等待：3.0秒（客户端等待TCP超时）
• REJECT策略平均响应时间：0.3秒（立即返回ICMP错误）

策略选择建议矩阵：

考虑因素	DROP优选	REJECT优选
安全隐蔽性	✓ 不响应任何信息	× 返回错误提示
网络诊断	× 难以排查问题	✓ 明确错误原因
客户端体验	× 长时间等待	✓ 快速失败
抗扫描	✓ 不暴露服务状态	× 暴露端口状态

高级配置示例：结合recent模块实现智能防护

iptables -N SSH_PROTECT
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j SSH_PROTECT
iptables -A SSH_PROTECT -m recent --set --name SSH --rsource
iptables -A SSH_PROTECT -m recent --update --seconds 60 --hitcount 3 --name SSH --rsource -j DROP
iptables -A SSH_PROTECT -j ACCEPT

这套规则实现了：

1. 新建SSH连接请求计数
2. 60秒内超过3次尝试则封禁
3. 正常连接允许通过

3. 智能白名单与防误封机制

自动化封禁系统最大的风险是误伤合法用户。我们通过多维度白名单机制来降低这种风险。

动态白名单配置方案：

# 创建永久白名单
ipset create PERMIT_SSH hash:ip
ipset add PERMIT_SSH 192.168.1.100
ipset add PERMIT_SSH 192.168.1.0/24

# 在iptables中引用
iptables -I INPUT -p tcp --dport 22 -m set --match-set PERMIT_SSH src -j ACCEPT

# 临时白名单（30分钟）
ipset create TEMP_WHITELIST hash:ip timeout 1800

误封检测与自动解除脚本：

#!/bin/sh
BLOCKED_IP="/var/log/blocked_ips.log"
WHITELIST_DB="/etc/firewall/whitelist.db"

check_whitelist() {
  grep -q "^$1$" "$WHITELIST_DB" && {
    iptables -D INPUT -s "$1" -j DROP
    sed -i "/$1/d" "$BLOCKED_IP"
  }
}

while read -r ip; do
  check_whitelist "$ip"
done < "$BLOCKED_IP"

白名单管理最佳实践：

1. 将IT部门IP段加入永久白名单
2. VPN出口IP加入动态白名单
3. 重要系统服务IP设置例外规则
4. 定期审计封禁记录中的误报情况

4. 规则持久化与系统集成

OpenWRT的防火墙规则默认不会在重启后保留，需要特殊处理才能实现配置持久化。

全自动规则持久化方案：

# 在/etc/firewall.user中添加
ipset restore < /etc/firewall/ipset.rules
iptables-restore < /etc/firewall/iptables.rules

# 创建保存脚本/etc/init.d/save_rules
#!/bin/sh
ipset save > /etc/firewall/ipset.rules
iptables-save > /etc/firewall/iptables.rules

系统集成方案对比表：

方法	可靠性	复杂度	恢复能力
firewall.user	高	低	需重启
hotplug脚本	中	中	实时生效
uci配置	最高	高	自动恢复
自定义服务	高	最高	可定制

推荐方案：结合uci与自定义脚本

# /etc/config/firewall 添加
config include
        option type 'script'
        option path '/etc/firewall/custom_rules.sh'
        option reload '1'

监控与维护脚本：

#!/bin/sh
# 监控防火墙状态
LOG_FILE="/var/log/firewall_monitor.log"

check_iptables() {
  local rule_count=$(iptables -L INPUT -n | wc -l)
  [ "$rule_count" -lt 10 ] && {
    echo "$(date) - 防火墙规则异常，正在恢复..." >> "$LOG_FILE"
    /etc/init.d/firewall restart
  }
}

check_ipset() {
  ipset list PERMIT_SSH >/dev/null 2>&1 || {
    echo "$(date) - 检测到ipset丢失，重新创建..." >> "$LOG_FILE"
    /etc/firewall/custom_rules.sh
  }
}

while true; do
  check_iptables
  check_ipset
  sleep 300
done

这套方案不仅实现了自动封禁，还建立了完整的防御生命周期管理：

1. 实时监控 → 2. 自动分析 → 3. 智能处置 → 4. 持久化存储 → 5. 状态监测

在实际部署中，建议先在小范围测试环境验证规则效果，再逐步推广到生产环境。对于关键业务系统，还应该建立规则变更的备份回滚机制。