>> Глупо пытаться встроить логику контроля подключений в каждое приложение, если только к
>> этому не вынуждает логика протокола
> В данном случае она и вынуждает как раз: расход му...ком-брутфорсером ресурсов на
> его деятельность IIRC ниже чем расход серваком своих ресурсов на обслуживание
> этой деятельности.

Опять между строк читаете.

Нагрузка на сервер за счёт SSH _предсказуема_. В отличие от приведённого мною примера с HTTP (и то, кстати, с оным не всегда всё так плохо). Поэтому на фаерволе переборщики паролей прекрасно отстреливаются. Если, конечно, выполняются следующие два условия:

1) Речь идёт о переборе паролей с одного или нескольких, но не многих IP-адресов. Однако в противном случае сдуется и fail2ban, и сам SSH-сервер, как и любой другой. Если, конечно, кто-то не придумал способ до прохождения аутентификации отличать "хороших" пользователей от "плохих". ;) Есть, конечно, компромиссные решения, но они так же логичнее рулятся фаерволом, а не изобретаются заново в каждой софтине.

2) Фаервол позволяет производить оный отстрел. PF - родной для проекта OpenBSD, а, следовательно, и для OpenSSH - позволяет. Легко. Жду возмущений "а как же Linux?!".

>> ... Ну а теперь можно ждать очередных попыток сменить тему в духе: "а зато в вашем опёнке...". :)
> Зачем? Я вам вашим же вооружением и выдам.

... и попали себе в ногу.