使用 CrowdSec 搭建现代分布式服务器入侵防御系统：替代传统 Fail2ban 的高阶实战

在 Linux 云服务器（VPS）上线公网的数分钟内，你的 22 端口（SSH）和 Web 端口就会遭受全球自动化僵尸网络的疯狂扫描与暴力破解。

过去十年中，Fail2ban 一直是防爆破的标配工具。然而在面对现代分布式攻击时，Fail2ban 暴露出致命的短板：

• 孤军奋战：Fail2ban 只能在你的服务器被连续暴力破解 5 次之后才被动拉黑该 IP。
• 无法应对分布式代理池：黑客每次使用不同的肉鸡 IP 尝试 2 次，Fail2ban 永远无法触发封锁阈值。

CrowdSec 是专为云原生时代设计的现代化开源入侵检测与防御系统（IDS/IPS）。它被称为“具有群体智慧的下一代 Fail2ban”——全球数十万台安装了 CrowdSec 的节点会实时共享恶意 IP 情报。某个黑客 IP 只要攻击了世界上任意一台 CrowdSec 服务器，你的服务器就会立刻提前将其拉入黑名单拒绝访问。

本文将带你手把手在 Linux 服务器上安装配置 CrowdSec，并联动防火墙实现主动式安全防御。

---

🧭 CrowdSec 的双层解耦架构

CrowdSec 采用了极其精巧的“分析与执行分离”设计：

graph TD
    Logs[系统与容器日志: SSH/Nginx/Docker] --> Engine[CrowdSec 引擎 (Agent)]
    Engine -->|识别攻击行为| Hub[本地决策中心]
    Hub -->|下发阻断名单| Bouncer[防火墙 Bouncer (iptables/nftables)]
    Bouncer -->|硬核丢弃恶意流量 (DROP)| Firewall[Linux 系统防火墙]
    Hub <-->|双向同步匿名威胁情报| GlobalAPI[CrowdSec 全球情报云中心]

1. CrowdSec 引擎 (Engine)：只负责默默在后台分析日志（SSH 日志、Nginx 访问日志、Docker 容器日志），检测是否有扫描和爆破行为。
2. 防御执行器 (Bouncer)：负责真正地干脏活。它接收引擎的封锁指令，直接在 Linux 内核级防火墙（nftables/iptables）中下发 DROP 规则，开销极低。

---

🛠️ 第一步：在 Linux 服务器上安装 CrowdSec 引擎

官方支持一键通过 APT/YUM 仓库安装（以 Debian / Ubuntu 为例）：

1. 添加官方软件源

curl -s https://packagecloud.io/install/repositories/crowdsec/crowdsec/script.deb.sh | sudo bash

2. 安装核心引擎

sudo apt-get update
sudo apt-get install crowdsec -y

安装完成后，CrowdSec 会自动扫描服务器上已安装的服务（如 sshd、nginx），并自动下载对应的日志解析规则集（Collections）。

---

🛡️ 第二步：安装防火墙防御执行器 (Firewall Bouncer)

核心引擎只负责“发现小偷”，我们还需要安装 Bouncer 来负责“关门打狗”。

执行以下命令安装基于系统的防火墙执行器：

sudo apt-get install crowdsec-firewall-bouncer-iptables -y

（注：Bouncer 安装成功后会自动向 CrowdSec 注册 API Key，并将封锁策略直接注入系统的 iptables/nftables 链条中）。

---

🔍 第三步：安装与管理保护场景 (Collections)

CrowdSec 提供了丰富的 Hub 插件生态，你可以像装 App 一样为不同的服务安装保护模块：

1. 查看当前已安装的保护集

cscli collections list

2. 为 Nginx 和 Linux 系统安装增强防护

如果你的 VPS 运行了 Web 服务，执行以下命令安装 Nginx 漏洞扫描防护规则：

# 安装 Nginx 常见路径扫描与 Web 攻击防护
sudo cscli collections install crowdsecurity/nginx

# 安装 Linux 系统通用加固规则
sudo cscli collections install crowdsecurity/linux

# 重载 CrowdSec 引擎使其生效
sudo systemctl reload crowdsec

---

💻 第四步：常用运维与黑名单管理指令

日常运维中，我们可以使用 cscli 命令行工具随时查看防护状态：

1. 查看当前生效的封锁名单 (Decisions)

sudo cscli decisions list

输出示例中，你会看到被封锁的 IP、来源（是你的服务器抓到的，还是全球云端情报库下发的）、封锁原因以及剩余时间（如 4 小时）：

+--------+----------+------------------+----------------------+--------+---------+----+--------+
|   ID   |  Source  |   Scope:Value    |        Reason        | Action | Country | AS | Expiry |
+--------+----------+------------------+----------------------+--------+---------+----+--------+
| 102431 | CAPI     | Ip:198.51.100.22 | crowdsecurity/ssh-bf | ban    | CN      | .. | 3h58m  |
| 102432 | crowdsec | Ip:203.0.113.88  | crowdsecurity/ssh-bf | ban    | RU      | .. | 23h50m |
+--------+----------+------------------+----------------------+--------+---------+----+--------+

2. 手动拉黑特定恶意 IP

sudo cscli decisions add --ip 1.2.3.4 --duration 24h --reason "恶意攻击者"

3. 手动解封误封的自己人 IP

sudo cscli decisions delete --ip 1.2.3.4

4. 查看实时防御统计仪表盘

sudo cscli metrics

该命令会列出各个日志文件的读取行数、触发告警次数及当前封锁的动态数据。

---

💬 总结

通过引入 CrowdSec，你的单台 VPS 不再是孤立的靶子，而是接入了全球数万节点的分布式防御网络。无论是针对暴力破解、目录扫描还是恶意爬虫，CrowdSec 都能在消耗极低系统资源的前提下提供坚实的安全后盾。

• 基础安全：查看 VPS 基础防御指南？参考 SSH 安全加固实战。
• 端口管理：正确配置防火墙端口，阅读 开启防火墙端口教程。