https://blog.margrop.net/tag/nftables/ Recent content in Nftables on 魔都水滴 Hugo -- gohugo.io zh-CN Sat, 30 May 2026 15:45:00 +0800 https://blog.margrop.net/post/reverse-ssh-fail2ban-vpn-gateway-investigation/ Sat, 30 May 2026 15:45:00 +0800 https://blog.margrop.net/post/reverse-ssh-fail2ban-vpn-gateway-investigation/ <blockquote> <p><strong>先说结论</strong></p> <p>这次问题的表象很简单：本机可以主动 SSH 到远端内网机器，但远端机器反过来 SSH 回本机时，连接直接被拒绝。<code>sshd</code> 明明在监听，路由也没断，最后却卡在“反向访问”这一步。</p> <p>真正的根因不是 <code>sshd</code> 挂了，而是 <code>Fail2Ban</code> 把承载反向连接的 <strong>VPN 网关地址</strong> 封掉了。对本机来说，来自远端的连接并不是以“远端机器本身”的地址出现，而是以网关地址出现。于是，错误的封禁对象把整条回程链路一并打断了。</p> </blockquote> https://blog.margrop.net/post/ubuntu-2604-pve-92-fail2ban-nftables-guide/ Tue, 26 May 2026 22:20:00 +0800 https://blog.margrop.net/post/ubuntu-2604-pve-92-fail2ban-nftables-guide/ <blockquote> <p><strong>先说结论</strong></p> <p>随着 Ubuntu 26.04 LTS 与 Proxmox VE (PVE) 9.2 的相继发布，许多运维工程师与 Host 玩家在第一时间完成了系统升级或新装。然而，在进行服务器安全加固时，你会发现一个令人抓狂的现象：<strong>直接沿用旧版本（如 Ubuntu 20.04/22.04 或 PVE 7.x/8.x）的 Fail2Ban 配置，不仅服务可能直接报错无法启动，甚至即使显示 Running，外部恶意扫描也根本无法被成功拦截！</strong></p> <p>这并不是 Fail2Ban 软件本身出了 Bug，而是因为新版系统在底层日志架构、服务激活机制和防火墙后端上默默丢下了三颗“隐形炸弹”。本文将深度剖析这三个底层变化，并提供一套完美的、基于 <code>systemd-journald</code> + <code>nftables</code> 的 Fail2Ban 现代配置方案。</p> </blockquote>