Die ganze Situation hast du ja schön beschrieben.

Ich denke, solch ein Angriff von über 100 Clients hat nur Sinn, wenn auch verteilte Wordlists (Clustering Prinzip?) eingesetzt werden.
Kann mir das dann sehr wirkungsvoll vorstellen :D

Aber, vermutlich bist du eh auf Keyfiles eingestellt.

Es bleibt nur noch anzumerken, das FWknop (Firewall Knock Operator) einen guten Dienst leistet.

Sprich, die Firewall lauscht ganz gemütlich, nebenher hört noch FWKnop mit.

ACK bzw. Verbindung auf den SSH Port wird einfach fallen gelassen.

Außer, falls du ein spezielles, vorher natürlich individuell konfiguriertes Paket sendest.

Dann wird für die Sender IP der Port (z.b. 22) geöffnet.

Zu finden unter:

http://cipherdyne.org/fwknop/

Bye,

Hora