Как правильно сделать бастион ssh с помощью fail2ban в контейнере Docker

Я уже задал вопрос на форумах Docker но пока с ответом не повезло. Я надеюсь, что здесь мне повезет больше.

Я в процессе создания бастиона ssh (с fail2ban для безопасности) в контейнере Docker. Контейнер не будет служить никакой другой цели, кроме как быть бастионом ssh и будет служить для доступа к связанным томам через sshfs.

В настоящее время я использую, как мне кажется, очень плохой метод. Мой Dockerfile:

• извлекает последний образ debian stable-slim,
• устанавливает ssh и fail2ban через apt,
• добавляет пользователей, тюрьмы sshd_config и fail2ban,
• затем указывает сценарий оболочки bash, в котором я безоговорочно запускаю ssh и fail2ban с настраиваемыми путями конфигурации в / app

Это работает, с некоторыми оговорками (нет /var/log/auth.log для fail2ban, чтобы съесть, так что там довольно много искажений конфигурации), но я чувствую, что делаю это неправильно.

Проблема в том, что очень сложно найти информацию о том, как правильно делать то, что я пытаюсь сделать. Есть бесконечные страницы, на которых перечисляется, как использовать ssh в контейнере для отладки, резервного копирования и т. Д. несколько интересных страниц о том, почему вам не следует использовать ssh в контейнере. Но я не нашел страницу святого Грааля "вот как правильно настроить бастион ssh с fail2ban в контейнере Docker». Он вообще существует? Или я прав, что поступаю так, как есть?

Спасибо!