前段时间安装fail2ban后，陆续发现了一批IP地址在尝试暴力破解我们服务器的用户名和密码。无论这些IP地址是来自可怜的肉鸡，还是真实的弱智黑客，直接屏蔽掉这些地址更好，免得浪费计算资源。

由于fail2ban实际也是利用了iptables，因此花了点时间研究iptables，干脆直接使用iptables屏蔽那些已经暴露的IP地址。以下是一些常用的命令：

查看iptables已有的规则

sudo iptables -L -n --line-numbers

删除一个已有的规则

sudo iptables -D INPUT 8

其中，’8’是INPUT链里的序号。

屏蔽一个IP地址，例如116.10.191.185

sudo iptables -A INPUT -s 116.10.191.185 -j DROP

屏蔽一段IP地址，例如从116.10.191.0 ~ 116.10.191.255

sudo iptables -A INPUT -s 116.10.191.0/24 -j DROP

注意，‘24’是mask位，表示采用头三个字节（24位）进行mask。

我们可以将上述规则写入/etc/rc.local，系统启动时能自动屏蔽这些垃圾IP地址。