[ 轻量级防火墙咨询 ]

后端做的一些接口部署服务器后，暴露在公网，经常有些恶意访问，比如访问一些不存在的 path 、短时间大量访问某个 path 等等，想根据一些条件禁用某些 ip 。

现在是否有轻量级的防火墙，比如可以 docker 部署，有 web 界面，可以自行配置一些规则，合法的请求透传后端，否则拒绝掉，ip 自动进黑名单等等。

以前通过 nginx 的 ip 黑名单简单进行了 block ，不过老是该配置文件，ip 多了，手动维护比较麻烦。 cloudflare 还没试，如果要国外转一圈，延迟会比较高。

答:fail2ban
答:pfsense ？
答:CrowdSec 试试
答:USTC 有个公开监测列表 blackip.ustc.edu.cn

写个 script 定时拖下来就完事
答:搜索一下
iptables recent hacker
iptables knock door

设置陷阱，使用 ipset 的 timeout 实现动态封锁
iptables -S INPUT|grep ban
-A INPUT -i eth0.2 -m set --match-set banned_hosts src -j DROP
-A INPUT -i eth0.2 -p udp -m multiport --dports 80,161,5060 -j SET --add-set banned_hosts src
-A INPUT -i eth0.2 -p tcp -m multiport --dports 20,23,25,110,135,137:139,161,445,1080,2323,3128,3306,3389 -j SET --add-set banned_hosts src
答:研究下你用的云有没有提供 waf 吧