noteホームサーバーblacklistd導入サーバー2024-06-22多少なりともDDoS攻撃を防止すべく、導入してみた。ipfw設定postfix再ビルドpostfixをblacklistd対応させるため、portmasterに再コンフィグオプションを付けて再インストール。mail/postfix出てきたconfigで、blacklistdオプションをチェック。ビルドが完了したら、postfixを再起動。restart/etc/blacklistd.conf/etc/blacklistd.confを編集し、次の変更を加える。***=**#129.168.0.0/16***=**#6161====/24==#*streamtcp*===/etc/ipfw-blacklist.rc/etc/ipfw-blacklist.rcを作成し、次の内容を書き込む。ipfw_offset=2000/etc/ssh/sshd_config/etc/ssh/sshd_configを編集し、UseBlacklistの行を編集して有効にする。yessshdを再起動。restart/etc/rc.conf/etc/rc.confを編集し、次の行を追加。blacklistd_enable="YES"blacklistd_flags="-r"blacklistd_flagsを-rに設定するのは、再起動したときにテーブルをクリアせずに維持させるため。blacklistd起動blacklistdを起動する。start運状態確認ipfw統計情報ipfwの運用情報は、次のように表示する。show次のように統計情報が出力される。:(略)上記のうち、table(port25)となっている行が、blacklistdによって遮断されたもの。grepするとわかりやすい。table遮断中のIP一覧ipfwで遮断中のIPアドレスは、ポートごとに次のようにコマンドで一覧表示できる。list遮断中のものがあれば、次のように一覧表示される。-bで表示されるものと一緒。blacklistctlではポート別ではなく、一括して表示されるところが違う。blacklistdblacklistdの情報は、次のコマンドで表示できる。-ar次のように情報が表示される。80.94.92.151/32:251/323h33m54s上記のうち、OKがついている行がすでに遮断済みのもの。して見ると、デフォルト拒否した方がいいアドレス帯が見えてくるような気がする。nfailが3/3になっていないものは、保留中のもの。したツールにかかりにくくするために、時間を空けてアクセスしてくる模様。これがあまりにも多いようなら、24hから3dとか7dに変更するなど、時間を調整する必要がありそう。トラブルシュート例外設定うっかり入れちゃいけないIPがブラックリスト入りしちゃった場合。編集して、ホワイトリストに登録する。***=**blacklistdを再起動する。restartipfwのリストから削除する。211.212.113.114/32上記のport25の部分には、通信を再開せたいポート番号を指定。現在のところ、blacklistdのリストから個別にIPを削除する手段は存在しない。/etc/rc.confでblacklistd_flags="-f"を指定してblacklistdを再起動すれば消えるが、すべてのブラックリストが消えて初期化されてしまう。ipfwのリストからその都度削除するのが、運用上はよさそう。note.ホーム検索トップサイドバータイトルとURLをコピーしました。