FreeBSD 11.1에 블랙리스트를 설치하는 방법

• 소개
• 1 단계 : PF (방화벽)
• 2 단계 : 블랙리스트
• 3 단계 : SSH
• 마지막 단계

소개

인터넷에 연결된 모든 서비스는 무차별 대입 공격 또는 무단 액세스를위한 잠재적 인 대상입니다. fail2banor 와 같은 도구가 sshguard있지만 로그 파일 만 구문 분석하기 때문에 기능적으로 제한됩니다. 블랙리스트는 다른 접근 방식을 취합니다. SSH와 같은 수정 된 데몬은 새로운 방화벽 규칙을 추가하기 위해 블랙리스트에 직접 연결할 수 있습니다.

1 단계 : PF (방화벽)

앵커는 규칙 모음이며 PF 구성에 규칙이 필요합니다. 최소 규칙 세트를 작성하려면 /etc/pf.conf다음과 같이 편집 하십시오.

set skip on lo0
scrub in on vtnet0 all fragment reassemble

anchor "blacklistd/*" in on vtnet0

block in all
pass out all keep state
antispoof for vtnet0 inet

pass in quick on vtnet0 inet proto icmp all icmp-type echoreq
pass in quick on vtnet0 proto tcp from any to vtnet0 port 22

이제 PF자동으로 시작하도록 /etc/rc.conf를 편집하십시오 :

pf_enable="YES"
pf_rules="/etc/pf.conf"
pflog_enable="YES"
pflog_logfile="/var/log/pflog"

그러나 가장 먼저해야 할 것이 하나 더 있습니다. 규칙을 테스트하여 모든 것이 올바른지 확인하십시오. 이를 위해 다음 명령을 사용하십시오.

pfctl -vnf /etc/pf.conf

이 명령이 오류를보고하면 돌아가서 먼저 수정하십시오!

지금 서버를 재부팅하여 모든 것이 예상대로 작동하는지 확인하는 것이 좋습니다. shutdown -r now

2 단계 : 블랙리스트

IP는 24 시간 동안 차단됩니다. 이것이 기본값이며 다음과 같이 변경할 수 있습니다 /etc/blacklistd.

# Blacklist rule
# adr/mask:port type    proto   owner           name    nfail   disable
[local]
ssh             stream  *       *               *       3       24h

/etc/rc.conf블랙리스트를 활성화하려면 편집하십시오 .

blacklistd_enable="YES"
blacklistd_flags="-r"

다음 명령으로 블랙리스트를 시작하십시오.

service blacklistd start

3 단계 : SSH

마지막으로해야 할 일은 sshd통보하는 것 blacklistd입니다. 추가 UseBlacklist yes사용자에게 /etc/ssh/sshd_config파일. 이제로 SSH를 다시 ​​시작하십시오 service sshd restart.

마지막 단계

마지막으로 잘못된 비밀번호로 서버에 로그인하십시오.

차단 된 IP를 모두 얻으려면 다음 명령 중 하나를 사용하십시오.

blacklistctl dump -bw
        address/ma:port id      nfail   last access
 150.x.x.x/32:22        OK      3/3     2017/x/x 04:43:03
 115.x.x.x/32:22        OK      3/3     2017/x/x 04:45:40
  91.x.x.x/32:22        OK      3/3     2017/x/x 07:51:16
  54.x.x.x/32:22        OK      3/3     2017/x/x 12:05:57

pfctl -a blacklistd/22 -t port22 -T show
   54.x.x.x
   91.x.x.x
  115.x.x.x
  150.x.x.x

차단 된 IP를 제거하려면 명령을 사용해야합니다 pfctl. 예를 들면 다음과 같습니다.

pfctl -a blacklistd/22 -t port22 -T delete <IP>

참고 blacklistctl차단으로 여전히 IP를 표시합니다! 이것은 정상적인 동작이며 향후 릴리스에서 제거 될 것입니다.