Подсчитывает IP-адреса с внешним доступом через iptables или что-то подобное

У меня есть хостинговая компания, и я часто сталкиваюсь с ситуацией, когда мои клиенты, использующие слабые пароли, оказываются взломанными, и в то же время мои VPS становятся источником сканирования других хостинговых компаний.

Мне удалось через Suricata заблокировать ситуацию, при которой клиент сканирует определенный IP-адрес на наличие нескольких портов или несколько паролей на SSH-порт.

Чего я не могу сделать, так это запретить клиенту отправлять пакеты TCP или UDP, чтобы определить в подсети /24, какие IP-адреса имеют открытый порт 22 или другой конкретный порт.

Недавно я попробовал iptables с использованием модуля «hashlimit», но из того, что я тестировал, хэш-лимит не имеет значения между доступом 3 раза к одним и тем же 4 IP-адресам за последние x секунд и доступом к 12 различным IP-адресам за один и тот же период времени. .

Любая помощь приветствуется.

Спасибо!