SSH连接问题主因是未限速限并发，应使用iptables的hashlimit模块限单IP每分钟新建连接≤5次（含突发容错），connlimit模块限单IP并发≤3个，再禁用密码登录、设MaxAuthTries为3、LoginGraceTime为30秒，并持久化规则。
SSH连接频繁被拒绝或响应缓慢，往往不是服务器性能不足，而是未合理限制连接速率和并发数，导致被暴力扫描拖慢服务，甚至触发系统级防护。关键在于用iptables精准控制SSH端口（默认22）的新建连接频率与单IP并发连接数，兼顾安全与可用性。
限制单IP每分钟新建SSH连接数
防止暴力破解最直接有效的方式，是限制同一IP在单位时间内发起的SSH新连接次数。使用iptables的hashlimit模块可实现此目标：
- 执行命令限制每分钟最多5个新连接（超出则丢弃）：
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m hashlimit --hashlimit-above 5/min --hashlimit-burst 5 --hashlimit-mode srcip --hashlimit-name ssh -j DROP - --hashlimit-above 5/min：超过每分钟5个新连接即触发限制；--hashlimit-burst 5允许短时突发（如重连），避免误伤正常用户；--hashlimit-mode srcip按源IP统计，确保策略对每个攻击者独立生效。
- 建议先用-j LOG代替-j DROP测试规则效果，确认日志中出现预期拦截记录（dmesg | grep ssh 或 tail -f /var/log/messages）后再启用丢弃。
限制单IP最大并发SSH连接数
即使连接频率不高，一个IP维持大量长连接（如误配的自动重连脚本）也会耗尽sshd进程资源。可通过connlimit模块限制并发连接上限：
- 限制每个IP最多同时建立3个SSH连接：
iptables -A INPUT -p tcp --dport 22 -m connlimit --connlimit-above 3 --connlimit-mask 32 -j REJECT --reject-with tcp-reset - --connlimit-mask 32表示精确匹配单个IPv4地址（/32）；若需按C类网段限制，可改为--connlimit-mask 24。
- 使用REJECT --reject-with tcp-reset比DROP更友好——主动发送TCP RST包，让客户端快速失败，避免超时等待。
配合sshd配置提升整体防护效果
iptables是网络层防线，还需结合OpenSSH自身配置加固：
- 禁用密码登录，强制密钥认证：
在/etc/ssh/sshd_config中设置PasswordAuthentication no，重启sshd（systemctl restart sshd）。 - 降低登录尝试容忍度：
设置MaxAuthTries 3（单次连接最多3次认证尝试）、LoginGraceTime 30（登录窗口仅30秒），减少暴力试探窗口。 - 必要时启用AllowUsers或AllowGroups白名单，从应用层缩小攻击面。
保存规则并设置开机生效
iptables规则默认不持久化，服务器重启后失效：
- Debian/Ubuntu系统：
安装iptables-persistent，执行netfilter-persistent save保存当前规则。 - RHEL/CentOS 7+：
使用service iptables save（需已安装iptables-services）或手动将规则写入/etc/sysconfig/iptables。 - 验证是否生效：
iptables -L INPUT -n -v查看计数器增长，iptables-save确认规则已导出。
