E' inutile dire queste cose.
Non è inutile chiarire a chi legge che è concettualmente errato considerare la possibilità di eliminare il traffico in ingresso.
Ad accedere non accederanno mai, dato che il sistema a chiave pubblica è sicuro.
Così come è concettualmente errato considerare sicuro tout-court qualsiasi sistema informatico, soprattutto se in rete: meglio smorzare il tono di talune affermazioni aggiungendo quanto meno l'avverbio "ragionevolmente", al fine di non infondere false sicurezze in chi legge.
Un modo supereffettivo di farlo è cambiare porta e mettere 62773.
Ribadisco che cambiare porta è un palliativo: per dieci attaccanti che proveranno bruteforce su porte standard e passeranno al bersaglio successivo una volta preso atto che sono chiuse o filtrate, ce ne saranno almeno altrettanti che eseguiranno port scan preventivo e successivamente proveranno bruteforce sulle porte aperte.
E lì sei punto a capo, perlomeno se non integri anche software tipo knockd.
Quindi, ricapitolando, fail2ban e simile sono nello stato "non si sa se funziona".
Software che nel caso di questi router sono nello stato "non so se siano compilabili e/o compilati": attendi eventuali indicazioni da chi segue un minimo queste questioni (ad es.
@roleo ) oppure ancora meglio puoi dedicarti in prima persona all'analisi della fattispecie, se ne hai le competenze tecniche.
E il feature request rimane, cioè la possibilità di cambiare porta a dropbear.
Io al tempo dei miei (pochi) smanettamenti avevo avuto esito positivo modificando direttamente il file di configurazione di dropbear, comunque cerca in questa o discussioni analoghe, mi pare si sia già parlato nello specifico di questa modifica.
