CrowdSec：协同式入侵检测与封禁

CrowdSec 比 Fail2Ban 更进一步。它同样解析日志，但具备威胁情报共享能力：你检测到的恶意 IP 会上报社区，同时你也能收到社区整理的恶意 IP 黑名单，提前拦截那些已经在攻击别人的地址。它的架构是解耦的：安全引擎负责检测并生成决策，Bouncer（拦截器） 负责执行封禁（可以在防火墙层、Nginx 层甚至 Cloudflare 层）。

安装（Ubuntu/Debian，含防火墙拦截器）

curl -s https://install.crowdsec.net | sudo sh
sudo apt install crowdsec crowdsec-firewall-bouncer-iptables -y
sudo systemctl enable --now crowdsec crowdsec-firewall-bouncer

安装常用检测场景（集合 = 解析器 + 场景规则）：

# SSH 暴力破解检测
sudo cscli collections install crowdsecurity/sshd
# 基础 Linux 场景
sudo cscli collections install crowdsecurity/linux
# 如果跑 Web 服务，可加装
# sudo cscli collections install crowdsecurity/http-probing
# sudo cscli collections install crowdsecurity/http-bad-user-agent
sudo systemctl restart crowdsec

日常查看：sudo cscli decisions list 查看当前封禁决策；sudo cscli decisions delete --ip <IP> 手动解封。建议把自己的 IP 加入白名单：sudo cscli allowlists add --ip 你的公网IP。

两者如何搭配使用

Fail2Ban 和 CrowdSec 可以共存，互不冲突。一个比较清晰的分工策略是：SSH 用 Fail2Ban 快速处理，Web 攻击交给 CrowdSec 做威胁情报协同。

如果你只用其中一款，选择思路也很简单：只关心 SSH 防爆破、追求极简，Fail2Ban 足够；希望获得社区威胁情报、未来可能要防护 Web 服务，直接上 CrowdSec。