Заголовок:
Как реально блокировать ботов, которые перебирают пароли админа

Текст:
Короче, заметил недавно, что к админке лезут конкретно — тысячами запросы, перебор паролей в открытую. Поставить капчу на вход или банить по IP толку мало — адреса меняются, прокси прут откуда хочешь, а капчу не всегда удобно ставить на админку. Поставил Fail2ban, чтобы по частым неудачным попыткам банил, вроде работает, но с ботами, которые с разных IP, особо не помогает.

Пробовал добавить ограничение запросов прямо на уровне Nginx через rate limiting, но это срабатывало только на обычные массовые запросы с одного IP, а если боты разносятся по десяткам тысяч выходных, толку не было. Пытался заблокировать User-Agent, но они быстро меняют, некоторые даже рандомно подменяют заголовки. Потом настроил двухфакторку на админку — стало лучше, но всё равно ощущение, что боты где-то цепляются и с паролями перебирают, но уже менее массово.

Последним этапом попробовал поставить фильтр по гео-IP, отсекаю регионы, откуда админка точно не должна быть, тогда поток снизился вполовину, но это не универсальный вариант. В итоге сейчас комбинирую Fail2ban с geo-блокировками и двухфакторной аутентификацией — стало чуть спокойнее, но ощущение, что это просто борьба с симптомами, а не с корнем. Кто ещё с таким сталкивался и как ставили заслон хулиганам, чтобы снизу не лезли?