Ubuntu安全利用ufw限速规则防御暴力破解SSH

在Ubuntu服务器上防御SSH暴力破解，最简单有效的方法之一就是利用ufw（Uncomplicated Firewall）的限速规则。核心操作就是一条命令：ufw limit 22/tcp，它会限制每个IP地址在30秒内最多尝试6次SSH连接，超过次数直接拒绝，从源头上把暴力破解的效率打下来。这个方法不需要安装额外软件，不需要复杂配置，系统自带的ufw就能搞定，而且不会误伤正常用户的SSH登录。

很多人觉得防暴力破解要装fail2ban、要搞复杂的iptables规则，其实ufw本身就内置了限速功能，只是大多数人不知道怎么用。今天这篇文章把ufw限速防御SSH暴力破解从头到尾讲透，包括原理、配置步骤、进阶技巧、常见问题排查，全部给你安排明白。

SSH是Linux服务器远程管理的标配协议，几乎每台Ubuntu服务器都开着22端口。问题在于，只要你的服务器有公网IP，每天都会有大量自动化脚本在扫描22端口，然后用字典不断尝试用户名和密码组合。这种攻击叫暴力破解（Brute Force Attack），特点是简单粗暴、不需要什么技术含量，但胜在量大。

一旦被破解成功，攻击者就能拿到服务器的root权限或者普通用户权限，接下来挖矿、植入后门、横向渗透，后果不堪设想。根据安全机构的统计数据，暴露在公网上的SSH服务，平均每天要承受数千次甚至上万次的登录尝试。

所以防御SSH暴力破解不是可选项，是必选项。而ufw限速规则就是第一道防线，它的逻辑很简单：我不阻止你尝试，但我限制你尝试的频率。你每分钟只能试几次，试多了就把你拉黑，这样暴力破解的效率直接降到几乎为零。

ufw是Ubuntu系统自带的防火墙管理工具，底层基于iptables和nftables。它的限速规则（limit rule）本质上是利用了Linux内核的连接追踪（conntrack）和令牌桶（token bucket）机制。

当你设置ufw limit 22/tcp时，系统会为每个源IP地址维护一个计数器。在默认的30秒时间窗口内，允许最多6个新的TCP连接到22端口。第7个连接请求到来时，直接被丢弃（drop），不会给任何响应。等30秒窗口过去，计数器清零，重新开始计算。

这里有几个关键参数需要理解：

第一，时间窗口默认是30秒，可以自定义。第二，每个窗口内的最大连接数默认是6个，也可以调整。第三，限速是针对每个独立IP的，不是全局的。也就是说，不同的攻击者IP各自被限制，互不影响。

这种机制的好处是，正常用户偶尔输错密码重试几次完全没问题，但自动化脚本每秒尝试几十上百次就会被卡住。攻击者的破解速度从每秒几百次降到每30秒6次，基本等于废了。

首先确认你的Ubuntu系统已经安装了ufw。大多数Ubuntu版本默认都装了，如果没有，执行以下命令安装：

sudo apt update
sudo apt install ufw

安装完成后，先查看当前ufw的状态：

sudo ufw status

如果显示inactive，说明防火墙还没启用。在配置规则之前，有一个非常重要的前提：你必须先允许自己的SSH连接，否则配置完规则后你自己也连不上服务器了。先执行：

sudo ufw allow 22/tcp

这条规则的意思是允许所有IP通过22端口，不限速。这是给你自己留的后路。然后再添加限速规则：

sudo ufw limit 22/tcp

注意规则的顺序很重要。ufw规则是按顺序匹配的，先匹配到的规则生效。所以limit规则要放在allow规则后面添加，或者你也可以直接用limit替换allow。更推荐的做法是只保留limit规则，把allow删掉：

sudo ufw delete allow 22/tcp
sudo ufw limit 22/tcp

这样所有到22端口的连接都受限于速率规则，包括你自己。但正常使用完全没影响，因为你不会在30秒内输错6次密码。

最后启用ufw：

sudo ufw enable

系统会提示你确认，输入y回车。然后再查看状态确认规则生效：

sudo ufw status verbose

你应该能看到类似这样的输出：

22/tcp                   LIMIT IN    Anywhere
22/tcp (v6)              LIMIT IN    Anywhere (v6)

到这里，基础配置就完成了。你的SSH端口已经被限速保护起来了。

默认的30秒6次连接对大多数场景够用了，但如果你的服务器访问频率很高，或者你想更严格一些，可以自定义参数。ufw limit命令的完整语法是：

sudo ufw limit [端口]/[协议] [每分钟连接数]/[时间窗口]

比如你想设置每分钟最多10次连接，时间窗口60秒：

sudo ufw limit 22/tcp 10/60

或者更严格一点，每分钟只允许3次：

sudo ufw limit 22/tcp 3/60

需要注意的是，ufw的limit参数格式在不同版本中略有差异。较新版本的ufw支持直接指定burst和rate参数，格式为：

sudo ufw limit 22/tcp comment 'SSH rate limit'

如果你需要更精细的控制，可以直接编辑ufw的配置文件。ufw的规则文件在/etc/ufw/user.rules和/etc/ufw/before.rules。不过一般情况下，用命令行就够了，没必要手动改文件。

ufw限速是第一层防御，但安全从来不是靠单一手段。下面几个进阶技巧可以让你的SSH安全等级再上一个台阶。

第一，修改SSH默认端口。把22端口改成一个不常用的高位端口，比如22222。这样大量扫描脚本默认只扫22端口，直接就跳过你了。修改方法是编辑/etc/ssh/sshd_config，把Port 22改成Port 22222，然后重启ssh服务。同时ufw规则也要对应修改：

sudo ufw limit 22222/tcp

第二，禁用root密码登录。在sshd_config中设置PermitRootLogin no，强制使用普通用户登录再sudo提权。这样即使密码被猜到，攻击者也拿不到root权限。

第三，使用密钥认证代替密码认证。生成SSH密钥对，把公钥放到服务器的~/.ssh/authorized_keys里，然后在sshd_config中设置PasswordAuthentication no。这样暴力破解密码完全没用，因为根本不接受密码登录。

第四，配合ufw的deny规则封禁已知恶意IP。如果你发现某个IP在疯狂尝试，可以直接封禁：

sudo ufw deny from 192.168.1.100 to any port 22

第五，安装和配置fail2ban作为第二道防线。fail2ban会监控系统日志，自动识别多次失败登录的IP并封禁。ufw限速加上fail2ban，双重保险，基本上暴力破解就彻底没戏了。

配置ufw限速后，有些人会遇到自己也连不上的情况。这通常是因为规则顺序搞反了，或者你在远程配置时不小心把自己的IP也限死了。解决办法是通过服务器的控制台（比如云服务商提供的VNC控制台）登录进去，重新调整规则。

另一个常见问题是，ufw limit规则只对新连接生效，已经建立的连接不受影响。这是正常的，也是设计上的合理之处。限速针对的是SYN包（新连接请求），不会中断你正在进行的SSH会话。

还有人问，ufw限速能不能防住分布式暴力破解？就是多个IP同时尝试的那种。答案是：ufw limit是针对单个IP的，分布式攻击需要配合fail2ban或者更高级的入侵检测系统。但说实话，分布式SSH暴力破解在实际中比较少见，因为成本高、效率低，大多数攻击者还是用单IP高频尝试。

最后提醒一点，ufw规则在系统重启后会自动生效，不需要额外设置。但如果你修改了sshd_config的端口或者认证方式，记得重启ssh服务让配置生效：

sudo systemctl restart sshd

说句实话，ufw限速规则不是万能的。它的优势在于简单、轻量、零依赖，适合绝大多数个人服务器和小型项目。但它也有明显的局限：第一，它只能限制连接频率，不能识别和封禁具体的攻击行为；第二，面对慢速暴力破解（比如每分钟只试一两次），限速规则基本形同虚设；第三，它不提供详细的日志和告警功能。

所以我的建议是：ufw限速作为基础防护必须开，但如果你的服务器承载重要业务或者有合规要求，应该在此基础上叠加fail2ban、密钥认证、端口修改、入侵检测等多层手段。安全是一个体系，不是一个命令能解决的。

从性价比角度来说，ufw limit 22/tcp这一条命令，可能是你能做的投入产出比最高的安全配置。花一分钟设置，挡住99%的自动化暴力破解，这笔账怎么算都划算。

Ubuntu上用ufw限速防御SSH暴力破解，核心就是一条命令的事。先确保自己的SSH连接不被锁死，然后添加limit规则，启用防火墙，完事。想更安全就改端口、用密钥、装fail2ban。记住，安全防护不是一步到位的事情，但ufw限速是你今天就能做、马上就能生效的第一步。别等被黑了才想起来配置，现在就动手。