FreeBSD 11.1にBlacklistdをインストールする方法

• 前書き
• ステップ1：PF（ファイアウォール）
• ステップ2：ブラックリスト
• ステップ3：SSH
• 最終段階

前書き

インターネットに接続されているすべてのサービスは、ブルートフォース攻撃または不当なアクセスの潜在的なターゲットです。fail2banまたはなどのツールがありますがsshguard、ログファイルを解析するだけなので、機能的に制限されます。ブラックリストは別のアプローチをとります。SSHなどの変更されたデーモンは、ブラックリストに直接接続して、新しいファイアウォールルールを追加できます。

ステップ1：PF（ファイアウォール）

アンカーはルールのコレクションであり、PF構成で1つ必要です。最小限のルールセットを作成するには、/etc/pf.conf次のように編集します。

set skip on lo0
scrub in on vtnet0 all fragment reassemble

anchor "blacklistd/*" in on vtnet0

block in all
pass out all keep state
antispoof for vtnet0 inet

pass in quick on vtnet0 inet proto icmp all icmp-type echoreq
pass in quick on vtnet0 proto tcp from any to vtnet0 port 22

PF自動的に開始できるようにして、/ etc / rc.confを編集します。

pf_enable="YES"
pf_rules="/etc/pf.conf"
pflog_enable="YES"
pflog_logfile="/var/log/pflog"

ただし、最初に実行する可能性のあることがもう1つあります。ルールをテストして、すべてが正しいことを確認します。これには、次のコマンドを使用します。

pfctl -vnf /etc/pf.conf

このコマンドでエラーが報告された場合は、戻ってそれらを最初に修正してください！

今すぐサーバーを再起動して、すべてが期待どおりに機能していることを確認することをお勧めします。 shutdown -r now

ステップ2：ブラックリスト

IPは24時間ブロックされます。これはデフォルト値であり、/etc/blacklistd次の場所で変更できます。

# Blacklist rule
# adr/mask:port type    proto   owner           name    nfail   disable
[local]
ssh             stream  *       *               *       3       24h

/etc/rc.confブラックリストを有効にするための編集：

blacklistd_enable="YES"
blacklistd_flags="-r"

次のコマンドでBlacklistdを起動します。

service blacklistd start

ステップ3：SSH

最後にsshd、通知するように指示する必要がありますblacklistd。ファイルに追加UseBlacklist yesします/etc/ssh/sshd_config。次に、SSHをで再起動しservice sshd restartます。

最終段階

最後に、無効なパスワードでサーバーにログインしてみてください。

ブロックされたすべてのIPを取得するには、次のいずれかのコマンドを使用します。

blacklistctl dump -bw
        address/ma:port id      nfail   last access
 150.x.x.x/32:22        OK      3/3     2017/x/x 04:43:03
 115.x.x.x/32:22        OK      3/3     2017/x/x 04:45:40
  91.x.x.x/32:22        OK      3/3     2017/x/x 07:51:16
  54.x.x.x/32:22        OK      3/3     2017/x/x 12:05:57

pfctl -a blacklistd/22 -t port22 -T show
   54.x.x.x
   91.x.x.x
  115.x.x.x
  150.x.x.x

ブロックされたIPを削除するには、コマンドを使用する必要がありますpfctl。例えば：

pfctl -a blacklistd/22 -t port22 -T delete <IP>

ただし、blacklistctlブロックされたIPは引き続き表示されます。これは正常な動作であり、将来のリリースで削除される予定です。