Блокировать IP-адреса с помощью ipfw

1. При каждой перезагрузке необходимо восстанавливать правильные правила. Это не повлияет напрямую на другие правила, но может косвенно (например, если другое правило разрешает IP по какой-либо причине, это может заблокировать IP ...)

2. Вы ищете неизменно популярный fail2ban, который читает файлы журналов и блокирует IP-адреса людей, которые делают «плохие» вещи.

Кроме того, вы действительно не хотите слишком добавлять правила для каждого отдельного запрета, это быстро испортит правила. Однако вы можете добавить правило для блокировки таблицы, а затем добавить IP-адреса в таблицу. Таблица - это просто список IP-адресов, поэтому вы можете легко применить правила ко всей таблице, а не указывать их все по отдельности.

Например, у меня есть скрипт брандмауэра по умолчанию, который я использую, первые два правила в этом скрипте:

00030 deny ip from "table(1)" to me
00031 deny ip from "table(2)" to me

Ключевое слово «я» означает любой из моих локальных IP-адресов. Таблица 1 предназначена для Fail2Ban, когда он находит IP, который ему не нравится, он на некоторое время добавляет IP в эту таблицу. Таблица 2 представляет собой список DROP от Spamhaus, список известных профессиональных спам-систем (подробности см. На их веб-сайтах).

Вы можете добавить IP-адреса в таблицу вручную с помощью этой команды:

ipfw table 2 add

На моих серверах таблица 2 заполняется автоматически при запуске скриптом. /usr/local/etc/rc.d/spamhaus-drop следующим образом:

#!/bin/csh
fetch -i /tmp/drop.lasso -o /tmp/drop.lasso "http://www.spamhaus.org/drop/drop.lasso"
sed -i '' "s/;.*//" /tmp/drop.lasso
ipfw table 2 flush
foreach IP ( `cat /tmp/drop.lasso` )
        ipfw table 2 add $IP
end

Я настоятельно рекомендую вам написать собственный сценарий для настройки брандмауэра. Во FreeBSD это довольно просто с ipfw, и я бы не стал возиться с графическим интерфейсом (я знаю, что это звучит сложно, когда он совсем новый, но основы проще, чем вы думаете).

Мой сценарий конфигурации находится в /etc/ipfw.rules и выглядит так:

#!/bin/sh

#FOR KEAIRA  - The computer this script was customized for.

ipfw -q -f flush       # Delete all rules
cmd="ipfw add"

# Ban tables
$cmd 00030 deny ip from "table(1)" to me
$cmd 00031 deny ip from "table(2)" to me

# Statefull firewall config, more secure
$cmd 00060 check-state

# Allow outbound traffic
$cmd 00130 allow ip from me to any keep-state

# SSH - I have SSH on port 2222 to keep the script kiddies out.
$cmd 11020 allow tcp from any to me dst-port 2222 setup keep-state

# DNS
$cmd 11090 allow tcp from any to me domain setup keep-state
$cmd 11092 allow udp from any to me domain

# NTP
$cmd 11100 allow tcp from any to me ntp setup keep-state
$cmd 11101 allow udp from any to me ntp

# General Network - ICMP & IGMP
$cmd 61001 allow icmp from any to any
$cmd 61002 allow igmp from any to any

# Deny the rest
$cmd 65500 deny ip from any to any

На этом сервере работают SSH (на альтернативном порту), DNS и NTP (время). Остальное - это просто общий материал, который я вставляю во все сценарии брандмауэра. Если у вас есть другие службы, которые вам нужно открыть, просто дайте мне знать, и я настрою пример. Большинство названий сервисов, которые вы можете получить от /etc/services хотя, что делает их очень легкими. Строго говоря, не обязательно иметь разные номера для каждого правила, но это упрощает управление ими. Правила обрабатываются по порядку номеров, но в остальном числа не имеют значения.

Этот сценарий "активируется" путем помещения этих строк в /etc/rc.conf

firewall_enable="YES"                   # Firewall On
firewall_script="/etc/ipfw.rules"       # Firewall Script

Настройка Fail2Ban - это немного сложнее, но это тоже довольно просто. Если вам нужны подробности об этом, просто спросите.

Любая помощь приветствуется, даже RTFM, если вы можете дать ссылку на ресурс, который поможет мне немного лучше понять его.

Вот: handbook / firewalls.html