# /etc/ssh/sshd_config から Port の設定を削除する。
sudo sed -ie '/^Port /d' /etc/ssh/sshd_config

# そして追記。
sudo bash -c 'echo Port 51921 >> /etc/ssh/sshd_config'

# SSH (sshd) の再起動。
sudo systemctl restart sshd

# fail2ban は Amazon Linux 2 標準のリポジトリにはないので、 EPEL リポジトリを追加する。
sudo yum -y install https://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm

# インストール。
# 結果の通知に使うため、 whois コマンド (jwhois@epel) もインストールする。
sudo yum -y install iptables-services ipset-service fail2ban-server fail2ban-sendmail jwhois

# ipset 終了時、 ipset の状態を保存するようにしておく。
sudo sed -ie '/^IPSET_SAVE_ON_STOP=/d' /etc/sysconfig/ipset-config
sudo bash -c 'echo IPSET_SAVE_ON_STOP=yes >> /etc/sysconfig/ipset-config'

# 起動する。
sudo systemctl start ipset

# 自動起動を設定する。
sudo systemctl enable ipset

cat << 'EOT' | sudo sh -c 'cat - > /etc/sysconfig/iptables'
*filter
# 受信: 基本的に不許可。
:INPUT DROP [0:0]
# フォワーディング: 基本的に不許可。
:FORWARD DROP [0:0]
# 送信: 基本的に許可。
:OUTPUT ACCEPT [0:0]
# SSH が利用するチェーン。
:INPUT_SSHD - [0:0]
# fail2ban が利用するチェーン。
:FW_F2B_SSHD - [0:0]
# 特定の国だけを許可するチェーン。
:FW_COUNTRY_SSHD - [0:0]

# データを持たないパケットの接続を破棄する。
-A INPUT -p tcp --tcp-flags ALL NONE -j DROP

# SYN flood 攻撃と思われる接続を破棄する。
-A INPUT -p tcp ! --syn -m state --state NEW -j DROP

# ステルススキャンと思われる接続を破棄する。
-A INPUT -p tcp --tcp-flags ALL ALL -j DROP

# 既に確立している接続に関するものは許可。
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 自身の通信は全て許可。
-A INPUT -i lo -j ACCEPT

# multicast を破棄。
-A INPUT -s 224.0.0.0/4 -j DROP

# broadcast を破棄。
-A INPUT -d 255.255.255.255 -j DROP

# ポート 51921 (SSH) への新規のアクセスは INPUT_SSHD チェーンへ移動。
-A INPUT -p tcp -m state --syn --state NEW --dport 51921 -j INPUT_SSHD

# 必要ならば、 http (80) https (443) なども開放する。
#-A INPUT -p tcp --dport 80 -j ACCEPT
#-A INPUT -p tcp --dport 443 -j ACCEPT

# 上記にマッチしないものを全て拒否。
-A INPUT -p tcp -j REJECT --reject-with tcp-reset
-A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
-A INPUT -j REJECT --reject-with icmp-proto-unreachable

### INPUT_SSHD の定義。

# fail2ban のルールはこのタイミングで評価する。
# (国より前、 hashlimit より前)
-A INPUT_SSHD -j FW_F2B_SSHD

# 特定の国だけを許可するルールはこのタイミングで評価する。
# (fail2ban より後、 hashlimit より前)
-A INPUT_SSHD -j FW_COUNTRY_SSHD

# ブルートフォース攻撃対策。 (hashlimit)。
# 説明が非常に難しいですが、だいたい
# - 同一 IP アドレスから (--hashlimit-mode srcip)
# - 2 分間以上の間隔を置かず (--hashlimit-htable-expire 120000)
# - 5 回 (--hashlimit-burst 5)
# - 接続がきたら、
# - それ以降の接続が緩やかに制限される。(緩やかさの程度が --hashlimit 2/m)
# - そうでなければ、許可。
# です。
-A INPUT_SSHD -m hashlimit --hashlimit-name t_sshd --hashlimit-mode srcip --hashlimit-htable-expire 120000 --hashlimit-burst 5 --hashlimit 2/m -j ACCEPT

COMMIT
EOT

# iptables を起動し、 60 秒後、 iptables を停止する。
sudo systemctl start iptables && sleep 60 && sudo systemctl stop iptables &

sudo systemctl start iptables

cat << 'EOT' | sudo sh -c 'cat - > /etc/fail2ban/jail.d/sshd.conf'
[sshd]
enabled = true

# SSH のポート。
port = 51921

# iptables で利用するチェーン名。
chain = FW_F2B_SSHD

# 通知先のメールアドレス。
destemail = [email protected]

# sshd-aggressive というフィルタを利用。
# (sshd フィルタと sshd-ddos フィルタを合算したもの)
filter = sshd-aggressive

# 600 秒間に
findtime = 600

# 5 回 SSH ログインに失敗したら、
maxretry = 5

# 3600 秒間
bantime = 3600

# アクセスを遮断し、それをメールで通知する。
banaction=iptables-ipset-proto6
action = %(action_mw)s
EOT

# 60 秒間だけ fail2ban を起動する。
sudo systemctl start fail2ban && sleep 60 && sudo systemctl stop fail2ban &

# 大丈夫だったら改めて起動する。
sudo systemctl start fail2ban

sudo systemctl enable iptables
sudo systemctl enable fail2ban

cat << 'EOT' | sudo sh -c 'cat - > /etc/cron.daily/update-country-sshd-ipset'
#!/bin/sh

# 許可する国の ISO 国名コード (2文字)。
countries=JP

# 複数の国を許可する場合、 ' で囲み、  \| 区切りで連結する。
# 日本、アメリカ、イギリスを許可するなら、以下の通り。
#countries='JP\|US\|GB'

# ipset で利用する IP セットの名前。
setname=FW_COUNTRY_SSHD

# iptables で利用するチェーンの名前。
chain=FW_COUNTRY_SSHD

# コマンドのパス。
iptables=/usr/sbin/iptables
ipset=/usr/sbin/ipset

### 設定ここまで。以下、実行部。

# 利用する IP セット $setname が存在してなければ、作成する。
$ipset create -exist $setname hash:net

# 新しく一時的な IP セットを作成。
$ipset create -exist $setname-tmp hash:net
$ipset flush $setname-tmp

# 新しい IP セットに、 $countries の IP アドレスを全て追加する。
wget -nv -q -O - http://nami.jp/ipv4bycc/cidr.txt.gz \
  | gunzip -c \
  | sed -n "s/^\($countries\)\t//p" \
  | while read cidr
do
  $ipset add -q $setname-tmp $cidr
done

# 新しい IP セットに 100 件以上の登録があれば、正常に動作したと判断する。
if [ `$ipset list -t $setname-tmp | sed -n 's/^Number of entries: //p'` -gt 100 ]; then
  # 既存の IP セットと内容を入れ替える。
  $ipset swap $setname $setname-tmp

  # 正常に動作した場合のみ、指定した国の IP アドレスにマッチしなかった場合に拒否するルールを追加する。
  $iptables -F $chain
  $iptables -A $chain -m set --match-set $setname src -j ACCEPT
  $iptables -A $chain -j REJECT
fi

# 一時的な IP セットを削除。
$ipset destroy $setname-tmp
EOT

# 作成したコマンドに実行権限を付与。
sudo chmod 700 /etc/cron.daily/update-country-sshd-ipset

# 作成したコマンドを実行する。
sudo /etc/cron.daily/update-country-sshd-ipset