Ubuntu配置sshd防止境外IP登陆

之所以写这篇文章是因为服务器被境外IP扫描登录，虽然没有攻破，看着海量的错误日志也心烦，所以做了一个防止境外IP登陆的防护方案，这里分享出来给需要的人。文章中的内容来自于AI生成，实际测试可以使用，不过资源有限没有经过完整性测试（全球IP测试）。

查看 SSH 当前监听端口#

1
sudo ss -lntp | grep sshd

找到0.0.0.0:和[::]:后面的数字，就是sshd监听的端口号了，留着备用，这里假设端口号是22222。

修改`/etc/nftables.conf`文件#

默认的/etc/nftables.conf一般是

1
#!/usr/sbin/nft -f
2

3
flush ruleset
4

5
table inet filter {
6
    chain input {
7
        type filter hook input priority filter;
8
    }
9

10
    chain forward {
11
        type filter hook forward priority filter;
12
    }
13

14
    chain output {
15
        type filter hook output priority filter;
16
    }
17
}

其中flush ruleset这条指令会清空所有规则。

如果服务器使用了docker，会导致把docker的规则清理掉，docker不能正常使用(如果已经影响了可以重启docker服务)

默认的table inet filter也没有用，建议直接改成以下内容

1
#!/usr/sbin/nft -f
2

3
include "/etc/nftables.d/*.nft"

创建`/etc/nftables.d/ssh-geo.nft`#

1
# 如果没有/etc/nftables.d/目录使用以下命令创建，如果存在可以跳过
2
sudo mkdir -p /etc/nftables.d/sets/

最终的文件架构如下

1
/etc/nftables.d/
2
├── ssh-geo.nft
3
└── sets/
4
    ├── cn4.nft
5
    └── cn6.nft

/etc/nftables.d/ssh-geo.nft内容

1
destroy table inet ssh_geo
2
table inet ssh_geo {
3
    include "/etc/nftables.d/sets/cn4.nft"
4
    include "/etc/nftables.d/sets/cn6.nft"
5

6
    chain input {
7
        type filter hook input priority -10; policy accept;
8

9
        # 22222需要替换为真实的sshd端口号
10
        tcp dport 22222 ip saddr @cn4 accept
11
        tcp dport 22222 ip6 saddr @cn6 accept
12
        tcp dport 22222 drop
13
    }
14
}

动态生成`cn4.nft`、`cn6.nft`#

使用脚本执行 “下载 → 校验 CIDR → 生成临时 nft 文件 → nft -c 检查 → 原子替换 → 重载 ssh_geo”的流程。这样即使网络返回 HTML 错误页、下载中断或数据格式异常，也不会把正在工作的 SSH 白名单破坏掉。

IPdeny 目前确实提供中国大陆聚合后的 IPv4 和 IPv6 CIDR 文件，并持续更新：IPv4 为 cn-aggregated.zone，IPv6 也有对应 aggregated 文件。(IPdeny)

自动更新脚本#

创建：

1
sudo nano /usr/local/sbin/update-cn-nft.sh

内容：

1
#!/usr/bin/env bash
2

3
set -Eeuo pipefail
4

5
CN4_URL="https://www.ipdeny.com/ipblocks/data/aggregated/cn-aggregated.zone"
6
CN6_URL="https://www.ipdeny.com/ipv6/ipaddresses/aggregated/cn-aggregated.zone"
7

8
TARGET_DIR="/etc/nftables.d/sets"
9
CN4_TARGET="${TARGET_DIR}/cn4.nft"
10
CN6_TARGET="${TARGET_DIR}/cn6.nft"
11

12
SSH_GEO_CONFIG="/etc/nftables.d/ssh-geo.nft"
13

14
TMP_DIR="$(mktemp -d)"
15

16
cleanup()
17
{
18
    rm -rf "${TMP_DIR}"
19
}
20

21
trap cleanup EXIT
22

23
log()
24
{
25
    printf '[%s] %s\n' "$(date '+%F %T')" "$*"
26
}
27

28
fail()
29
{
30
    printf '[%s] ERROR: %s\n' "$(date '+%F %T')" "$*" >&2
31
    exit 1
32
}
33

34
if [[ "${EUID}" -ne 0 ]]; then
35
    fail "必须使用 root 权限运行"
36
fi
37

38
for cmd in curl python3 nft install; do
39
    if ! command -v "${cmd}" >/dev/null 2>&1; then
40
        fail "缺少命令: ${cmd}"
41
    fi
42
done
43

44
mkdir -p "${TARGET_DIR}"
45

46
CN4_RAW="${TMP_DIR}/cn4.zone"
47
CN6_RAW="${TMP_DIR}/cn6.zone"
48

49
CN4_NEW="${TMP_DIR}/cn4.nft"
50
CN6_NEW="${TMP_DIR}/cn6.nft"
51

52

53
download()
54
{
55
    local url="$1"
56
    local output="$2"
57

58
    log "下载 ${url}"
59

60
    curl \
61
        --fail \
62
        --silent \
63
        --show-error \
64
        --location \
65
        --retry 3 \
66
        --retry-delay 2 \
67
        --connect-timeout 10 \
68
        --max-time 120 \
69
        --output "${output}" \
70
        "${url}"
71

72
    if [[ ! -s "${output}" ]]; then
73
        fail "下载结果为空: ${url}"
74
    fi
75

76
    # 防止 CRLF 干扰后面的处理
77
    sed -i 's/\r$//' "${output}"
78
}
79

80

81
validate_cidr_file()
82
{
83
    local family="$1"
84
    local file="$2"
85

86
    python3 - "${family}" "${file}" <<'PY'
87
import ipaddress
88
import sys
89

90
family = int(sys.argv[1])
91
path = sys.argv[2]
92

93
count = 0
94

95
with open(path, "r", encoding="utf-8") as f:
96
    for line_no, line in enumerate(f, 1):
97
        value = line.strip()
98

99
        if not value or value.startswith("#"):
100
            continue
101

102
        try:
103
            network = ipaddress.ip_network(value, strict=True)
104
        except ValueError as ex:
105
            print(
106
                f"无效 CIDR: {path}:{line_no}: {value}: {ex}",
107
                file=sys.stderr,
108
            )
109
            sys.exit(1)
110

111
        if network.version != family:
112
            print(
113
                f"IP 版本错误: {path}:{line_no}: {value}",
114
                file=sys.stderr,
115
            )
116
            sys.exit(1)
117

118
        count += 1
119

120
if count < 10:
121
    print(
122
        f"CIDR 数量异常，仅发现 {count} 条: {path}",
123
        file=sys.stderr,
124
    )
125
    sys.exit(1)
126

127
print(count)
128
PY
129
}
130

131

132
generate_set()
133
{
134
    local set_name="$1"
135
    local address_type="$2"
136
    local source="$3"
137
    local output="$4"
138

139
    {
140
        echo "set ${set_name} {"
141
        echo "    type ${address_type}"
142
        echo "    flags interval"
143
        echo "    auto-merge"
144
        echo
145
        echo "    elements = {"
146

147
        awk '
148
            NF && $1 !~ /^#/ {
149
                if (count > 0) {
150
                    printf ",\n"
151
                }
152

153
                printf "        %s", $1
154
                count++
155
            }
156

157
            END {
158
                if (count > 0) {
159
                    printf "\n"
160
                }
161
            }
162
        ' "${source}"
163

164
        echo "    }"
165
        echo "}"
166
    } > "${output}"
167
}
168

169

170
log "开始更新中国大陆 IPv4 / IPv6 CIDR"
171

172
download "${CN4_URL}" "${CN4_RAW}"
173
download "${CN6_URL}" "${CN6_RAW}"
174

175
log "校验 IPv4 CIDR"
176
CN4_COUNT="$(validate_cidr_file 4 "${CN4_RAW}")"
177

178
log "校验 IPv6 CIDR"
179
CN6_COUNT="$(validate_cidr_file 6 "${CN6_RAW}")"
180

181
log "IPv4: ${CN4_COUNT} 条"
182
log "IPv6: ${CN6_COUNT} 条"
183

184
generate_set "cn4" "ipv4_addr" "${CN4_RAW}" "${CN4_NEW}"
185
generate_set "cn6" "ipv6_addr" "${CN6_RAW}" "${CN6_NEW}"
186

187

188
#
189
# 先对生成出来的两个 set 进行独立 nftables 语法检查。
190
# 此处只执行 -c，不会改变实际防火墙。
191
#
192

193
CHECK_TABLE="cn_geo_check_$$"
194
CHECK_FILE="${TMP_DIR}/check.nft"
195

196
cat > "${CHECK_FILE}" <<EOF
197
table inet ${CHECK_TABLE} {
198
    include "${CN4_NEW}"
199
    include "${CN6_NEW}"
200
}
201
EOF
202

203
log "检查生成的 nftables set"
204

205
if ! nft -c -f "${CHECK_FILE}"; then
206
    fail "新 CIDR 文件无法通过 nftables 语法检查"
207
fi
208

209

210
#
211
# 如果内容完全没有变化，则无需重载。
212
#
213

214
UNCHANGED=true
215

216
if [[ ! -f "${CN4_TARGET}" ]] || ! cmp -s "${CN4_NEW}" "${CN4_TARGET}"; then
217
    UNCHANGED=false
218
fi
219

220
if [[ ! -f "${CN6_TARGET}" ]] || ! cmp -s "${CN6_NEW}" "${CN6_TARGET}"; then
221
    UNCHANGED=false
222
fi
223

224
if [[ "${UNCHANGED}" == "true" ]]; then
225
    log "CIDR 列表没有变化，无需更新"
226
    exit 0
227
fi
228

229

230
#
231
# 备份当前配置，以便后续加载失败时恢复文件。
232
#
233

234
if [[ -f "${CN4_TARGET}" ]]; then
235
    cp -a "${CN4_TARGET}" "${TMP_DIR}/cn4.old.nft"
236
fi
237

238
if [[ -f "${CN6_TARGET}" ]]; then
239
    cp -a "${CN6_TARGET}" "${TMP_DIR}/cn6.old.nft"
240
fi
241

242

243
#
244
# 使用 install + 临时文件，避免直接覆盖过程中产生半截文件。
245
#
246

247
install -m 0644 "${CN4_NEW}" "${CN4_TARGET}.new"
248
install -m 0644 "${CN6_NEW}" "${CN6_TARGET}.new"
249

250
mv -f "${CN4_TARGET}.new" "${CN4_TARGET}"
251
mv -f "${CN6_TARGET}.new" "${CN6_TARGET}"
252

253

254
#
255
# 此时再检查真正的 ssh_geo 配置。
256
# nft -c 不会改变当前运行规则。
257
#
258

259
log "检查 ssh_geo 完整配置"
260

261
if ! nft -c -f "${SSH_GEO_CONFIG}"; then
262
    log "完整配置检查失败，恢复旧 CIDR 文件"
263

264
    if [[ -f "${TMP_DIR}/cn4.old.nft" ]]; then
265
        cp -a "${TMP_DIR}/cn4.old.nft" "${CN4_TARGET}"
266
    fi
267

268
    if [[ -f "${TMP_DIR}/cn6.old.nft" ]]; then
269
        cp -a "${TMP_DIR}/cn6.old.nft" "${CN6_TARGET}"
270
    fi
271

272
    fail "ssh_geo 配置验证失败，没有修改运行中的防火墙"
273
fi
274

275

276
#
277
# 只重新加载 ssh_geo，而不是整个 /etc/nftables.conf。
278
#
279
# 你的 ssh-geo.nft 前面应包含：
280
#
281
#   destroy table inet ssh_geo
282
#
283
# 因此这里会原子地重建自己的 table，
284
# 不会碰 Docker 的 nftables/iptables-nft 规则。
285
#
286

287
log "应用新的 ssh_geo 规则"
288

289
if ! nft -f "${SSH_GEO_CONFIG}"; then
290
    log "加载失败，恢复旧 CIDR 文件"
291

292
    if [[ -f "${TMP_DIR}/cn4.old.nft" ]]; then
293
        cp -a "${TMP_DIR}/cn4.old.nft" "${CN4_TARGET}"
294
    fi
295

296
    if [[ -f "${TMP_DIR}/cn6.old.nft" ]]; then
297
        cp -a "${TMP_DIR}/cn6.old.nft" "${CN6_TARGET}"
298
    fi
299

300
    fail "nftables 加载失败；运行中的旧规则没有被事务修改"
301
fi
302

303
log "更新完成"
304
log "IPv4: ${CN4_COUNT} 条"
305
log "IPv6: ${CN6_COUNT} 条"

然后：

1
sudo chmod 755 /usr/local/sbin/update-cn-nft.sh

第一次先手工运行：

1
sudo /usr/local/sbin/update-cn-nft.sh

正常应该看到类似：

1
[2026-09-17 22:40:01] 开始更新中国大陆 IPv4 / IPv6 CIDR
2
[2026-09-17 22:40:01] 下载 ...
3
[2026-09-17 22:40:02] 校验 IPv4 CIDR
4
[2026-09-17 22:40:02] 校验 IPv6 CIDR
5
[2026-09-17 22:40:02] IPv4: xxxx 条
6
[2026-09-17 22:40:02] IPv6: xxxx 条
7
[2026-09-17 22:40:03] 检查生成的 nftables set
8
[2026-09-17 22:40:03] 检查 ssh_geo 完整配置
9
[2026-09-17 22:40:03] 应用新的 ssh_geo 规则
10
[2026-09-17 22:40:03] 更新完成

生成的文件就如下格式：

1
set cn4 {
2
    type ipv4_addr
3
    flags interval
4
    auto-merge
5

6
    elements = {
7
        1.0.1.0/24,
8
        1.0.2.0/23,
9
        1.0.8.0/21
10
        ...
11
    }
12
}

以及：

1
set cn6 {
2
    type ipv6_addr
3
    flags interval
4
    auto-merge
5

6
    elements = {
7
        2001:250::/32,
8
        ...
9
    }
10
}

脚本只执行：

1
nft -f /etc/nftables.d/ssh-geo.nft

不会执行：

1
nft -f /etc/nftables.conf

更不会执行：

1
flush ruleset

验证`ssh_geo`结果#

1
sudo nft list table inet ssh_geo

应该会列出类似以下结果

1
table inet ssh_geo {
2
    set cn4 {
3
        type ipv4_addr
4
        flags interval
5
        auto-merge
6

7
        elements = {
8
            1.0.1.0/24,
9
            1.0.2.0/23,
10
            1.0.8.0/21
11
            ...
12
        }
13
    }
14

15
    set cn6 {
16
        type ipv6_addr
17
        flags interval
18
        auto-merge
19

20
        elements = {
21
            2001:250::/32,
22
            ...
23
        }
24
    }
25

26
    chain input {
27
        type filter hook input priority -10; policy accept;
28

29
        # 22222需要替换为真实的sshd端口号
30
        tcp dport 22222 ip saddr @cn4 accept
31
        tcp dport 22222 ip6 saddr @cn6 accept
32
        tcp dport 22222 drop
33
    }
34
}

所以不会主动动到 Docker 动态创建的防火墙规则。

做成每日自动更新#

既然 IPdeny 的数据本身持续更新，比较适合每天更新一次。当前目录显示 IPv4 和 IPv6 中国大陆 aggregated 数据都有近期每日更新时间。(IPdeny)

创建：

1
sudo nano /etc/systemd/system/update-cn-nft.service

1
[Unit]
2
Description=Update China CIDR nftables sets
3
After=network-online.target
4
Wants=network-online.target
5

6
[Service]
7
Type=oneshot
8
ExecStart=/usr/local/sbin/update-cn-nft.sh

再创建：

1
sudo nano /etc/systemd/system/update-cn-nft.timer

1
[Unit]
2
Description=Daily China CIDR nftables update
3

4
[Timer]
5
OnCalendar=*-*-* 04:30:00
6
RandomizedDelaySec=30m
7
Persistent=true
8

9
[Install]
10
WantedBy=timers.target

启用：

1
sudo systemctl daemon-reload
2

3
sudo systemctl enable --now update-cn-nft.timer

查看：

1
systemctl list-timers update-cn-nft.timer

手动测试 service：

1
sudo systemctl start update-cn-nft.service

查看执行日志：

1
sudo journalctl -u update-cn-nft.service

这里还有一个我建议你在正式长期运行前补上的安全措施：至少准备一个不依赖 GeoIP 的“救援 SSH 来源”，比如固定办公 IP、VPN/Tailscale 网段或云厂商控制台。国家 IP 数据库并不是绝对准确的，一旦你的正常公网 IP 被数据源暂时归错区域，cn4/cn6 自动更新后，新 SSH 连接就可能被拒绝。

如果真的发生了这种情况也不用着急，可以到云服务控制台上使用VNC登录，然后把自己的IP加入白名单中。

查看 SSH 当前监听端口#

修改/etc/nftables.conf文件#

创建/etc/nftables.d/ssh-geo.nft#

动态生成cn4.nft、cn6.nft#