iptables на некоторое время сбрасывает IP-адреса с недавно неудачными соединениями

Я хочу уменьшить вероятность успешной атаки ssh на систему Linux. Единственный открытый порт - 22 (я использую переадресацию портов для всего остального), и, конечно же, я убедился, что ssh принимает только логины на основе пары ключей (без паролей).

Объем неудачных попыток входа в систему ssh (вывод last -f /var/log/btmp) был довольно большим (как и следовало ожидать любому, открывающему порт 22), поэтому в течение последних 2+ лет я полагался на разновидность решений на основе iptables, часто упоминаемых для блокирования атак ssh, например Сотни неудачных попыток входа по ssh.

Один досадный недостаток такой схемы заключается в том, что она ограничивает количество новых подключений с IP-адреса за период времени, независимо от того, были ли предыдущие подключения с этого IP-адреса успешными или нет, и пытались ли они войти в систему как тот же пользователь или не. Представьте себе сценарий, содержащий полдюжины rsync команды, используемые из-за границы для обновления различных областей на этом сервере: обычно он достигает «лимита нового соединения» и терпит неудачу где-то посередине. То же самое происходит, если несколько пользователей за маршрутизатором (отображаются как один и тот же IP-адрес) подключаются к моему серверу более или менее одновременно.

Итак, мне интересно, если, не прибегая к синтаксическому анализу /var/log файлы, можно реализовать следующую стратегию с iptables:

1. принимать установленные соединения
2. разрешить новые подключения из ранее успешных подключений
3. помещать IP-адреса с неудачными соединениями в тюрьму на некоторое время

Бонусные очки:

1. То же, что и выше, но разрешено / заключено в тюрьму user@ip вместо всех @ip.

И чтобы попытаться пресечь атаки ботнета:

1. Временно посадить пользователя в тюрьму (независимо от того, с каких IP-адресов он подключается) после неудачной попытки ssh.