如果尝试使用错误的密码或login尝试失败，如何延迟来自SSH的重试响应。 我希望延迟比平常多2-3秒。
我找不到在sshd_config文件中的任何选项来实现相同的。
所以任何人都可以让我知道我应该如何去做。
如果你阻止所有的用户甚至是阻止root用户，你可以将这些行添加到/etc/pam.d/password-auth或/etc/pam.d/sshd ，在auth部分添加这个来阻止所有用户5分钟：
auth required pam_tally2.so file=/var/log/tallylog deny=3 even_deny_root unlock_time=300
现在将以下行添加到帐户部分：
account required pam_tally2.so
最后重新启动你的sshd，它应该工作。 之后，您可以使用以下命令检查故障login： pam_tally2您将得到以下输出：
# pam_tally2 Login Failures Latest failure From userxy 4 12/10/13 09:52:31 192.168.100.100
你可以尝试添加
auth optional pam_faildelay.so delay=250000
到sshd的pamconfiguration文件（通常位于/etc/pam.d/sshd Debian系统中）250000的延迟值是0.25秒。
IPtables规则可以调整，以实现你想要实现的。
假设：你的embedded式linux已经编译了netfilter模块，并且提供了你所知道的防火墙概念，并且你之前使用过iptables。 根访问被假定。 如果你有sudo能力，追加命令的sudo infront。
iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name DEFAULT --rsource
该语法没有理想的vebosity，但是该行指示防火墙警察iptables，你想添加一个规则到现有的INPUT链。 -p tcp参数表示此规则将仅适用于TCP数据包。 剩下的大部分参数依赖于-m选项，它代表匹配，并告诉iptables规则适用于匹配我们正在寻找的特定属性的数据包。 在这里，该规则将被用于指示开始TCP端口22的新连接的数据包。如果数据包与这些属性相匹配，iptables将在临时列表中logging远程主机的地址。
iptables -N LOG_AND_DROP
上面的规则实际上会使用不同的链来执行一个动作，为了追加它，我们需要先创build我们所做的链（例如LOG_AND_DROP）
iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --update --seconds 20 --hitcount 4 --name DEFAULT --rsource -j LOG_AND_DROP
这个规则告诉iptables查找匹配前一个规则参数的数据包，这些数据包也来自已经添加到监视列表中的主机。 如果iptables看到来自这个主机的数据包，它将更新该主机的“上次看到”时间戳。 -thconds 20和–hitcount 4参数用于进一步缩小我们想要阻塞的主机 – 如果主机在60秒内尝试连接四次或更多次，则匹配规则的那部分，然后跳转（-j ）到LOG_AND_DROP链。
iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
从技术上讲，这条规则对于INPUT链来说是不必要的，因为对于所有不匹配的数据包，默认设置为策略ACCEPT。 如果您碰巧构build限制性防火墙（例如默认拒绝），则可以进行失效保护。
从@singh获得反馈后追加。 我并没有意识到国家已经被驱逐出更多的技术conntrack（连接跟踪）模块
而不是例如：
-m state --state RELATED -m conntrack --ctstate RELATED