Gitea实例遭暴力破解攻击的相关问题咨询

看到你的Gitea实例正被持续暴力破解，每6-7秒就有新的攻击尝试，这种情况确实让人头疼，我来逐个解答你的问题：

为什么UFW封禁IP后请求还能进来？ #

出现这种情况大概率和Docker的网络机制有关，常见原因包括：

• Docker绕过UFW规则：Docker默认会直接操作iptables，导致UFW的规则可能无法作用于容器的网络流量。如果你的Gitea用了Docker默认的桥接网络，主机上的UFW封禁规则可能不会拦截到容器的入站请求。
• 规则顺序问题：UFW的规则是按匹配顺序生效的，如果你的deny规则添加在某个允许规则之后，会优先触发允许规则。可以用ufw status numbered查看规则列表，确认deny规则排在前面。
• 规则未生效：添加规则后记得执行ufw reload让规则生效，同时用ufw status确认94.23.30.184确实被封禁了。

怎么追踪攻击IP的来源？ #

要定位攻击IP的具体归属，你可以做这些操作：

• WHOIS查询：在终端执行whois 94.23.30.184，能获取到该IP的注册商、ISP、所属地区等信息，但一般只能定位到服务商层面，很难找到具体的攻击者个人。
• 地理位置查询：安装geoip-bin包后，执行geoiplookup 94.23.30.184，可以得到IP大致的国家/地区位置，不过这也只能作为参考。
• 恶意IP库校验：你可以用本地的恶意IP数据库（比如一些开源的离线IP黑名单）检查该IP是否被标记为恶意，但这类信息仅供参考，不能作为绝对依据。

怎么保护服务器防止这类攻击？ #

结合你的场景，推荐这些防护措施：

• 修复Docker与UFW的兼容性：编辑/etc/docker/daemon.json文件，添加{"iptables": false}配置，然后执行systemctl restart docker和ufw reload，这样UFW的规则就能正确作用于容器的网络流量了。
• 启用Gitea内置安全功能：
  • 开启登录失败锁定：在Gitea后台的安全设置里，设置允许的登录失败次数，超过次数后自动锁定账户一段时间，阻断暴力破解的节奏。
  • 禁用密码登录，改用SSH密钥登录：让用户只能通过SSH密钥访问Gitea，从根源上避免密码暴力破解。
  • 开启双因素认证（2FA）：给所有账户启用2FA，即使密码泄露，攻击者也无法通过验证码验证。
• 使用Fail2ban自动封禁恶意IP：安装Fail2ban后，创建针对Gitea日志的过滤规则，匹配日志里的“Invalid user”等攻击特征，自动封禁多次尝试的IP，比手动封禁更高效。
• 修改默认端口：把Gitea的SSH端口（默认22）或者HTTP端口（默认3000）改成非标准端口，能大幅减少自动化扫描工具的攻击尝试。
• 定期更新系统和软件：保持服务器系统、Docker、Gitea都是最新版本，及时修复已知的安全漏洞。

备注：内容来源于stack exchange，提问作者tai