主题：fail2ban
3 篇 · 合计 6,444 字
- 把 SSH 换个端口：一次完整的迁移流程
在只有一条 SSH 入口的机器上把端口从 22 换到 2222：为什么用 reload 而非 restart、Port 指令会叠加监听的坑、fail2ban 与防火墙必须同步改、先开后关的顺序，以及换端口为何只是降噪。
- UFW 管不到 Docker 发布的端口——原理与补法
容器发布端口走的是 FORWARD 而不是 INPUT，所以 ufw 的 deny incoming 对它完全无效。给出 DOCKER-USER 守卫的写法、验证因果的实验方法，以及三个已经踩过的坑。
- iptables、nftables 与 legacy 表：一次封禁规则「消失」的排查
现代发行版里 iptables 命令指向的其实是 iptables-nft，规则被翻译进 nftables 表；fail2ban 的链则要到第一次封禁才创建。常有人说规则不见了，多半是观测后端选错，或链本就还没被创建。