Jak nainstalovat Blacklistd na FreeBSD 11.1

Úvod

Jakákoli služba, která je připojena k internetu, je potenciálním cílem pro útoky hrubou silou nebo neoprávněný přístup. Existují nástroje jako fail2bannebo sshguard, ale ty jsou funkčně omezené, protože pouze analyzují soubory protokolu. Blacklistd má jiný přístup. Upravení démoni jako SSH se mohou připojit přímo k blacklistd a přidat nová pravidla brány firewall.

Krok 1: PF (Firewall)

Kotva je sbírka pravidel a jedno potřebujeme v naší konfiguraci PF. Chcete-li vytvořit minimální sadu pravidel, upravte /etc/pf.confji tak, aby vypadala takto:

set skip on lo0
scrub in on vtnet0 all fragment reassemble

anchor "blacklistd/*" in on vtnet0

block in all
pass out all keep state
antispoof for vtnet0 inet

pass in quick on vtnet0 inet proto icmp all icmp-type echoreq
pass in quick on vtnet0 proto tcp from any to vtnet0 port 22

Nyní povolte PFautomatické spouštění, upravte /etc/rc.conf:

pf_enable="YES"
pf_rules="/etc/pf.conf"
pflog_enable="YES"
pflog_logfile="/var/log/pflog"

Jako první však možná budete chtít udělat ještě jednu věc: otestujte svá pravidla, abyste se ujistili, že je vše správně. K tomu použijte následující příkaz:

pfctl -vnf /etc/pf.conf

Pokud tento příkaz hlásí chyby, vraťte se a nejprve je opravte!

Je dobré se ujistit, že vše funguje podle očekávání tím, že nyní restartujete server: shutdown -r now

Krok 2: Černá listina

IP adresy jsou blokovány na 24 hodin. Toto je výchozí hodnota a lze ji změnit v /etc/blacklistd:

# Blacklist rule
# adr/mask:port type    proto   owner           name    nfail   disable
[local]
ssh             stream  *       *               *       3       24h

Upravit /etc/rc.confpro povolení Blacklistu:

blacklistd_enable="YES"
blacklistd_flags="-r"

Spusťte Blacklistd následujícím příkazem:

service blacklistd start

Krok 3: SSH

Poslední věc, kterou musíme udělat, je říct, sshdabychom to oznámili blacklistd. Přidejte UseBlacklist yesdo /etc/ssh/sshd_configsouboru. Nyní restartujte SSH pomocí service sshd restart.

Poslední krok

Nakonec se zkuste přihlásit na svůj server s neplatným heslem.

Chcete-li získat všechny blokované adresy IP, použijte jeden z následujících příkazů:

blacklistctl dump -bw
        address/ma:port id      nfail   last access
 150.x.x.x/32:22        OK      3/3     2017/x/x 04:43:03
 115.x.x.x/32:22        OK      3/3     2017/x/x 04:45:40
  91.x.x.x/32:22        OK      3/3     2017/x/x 07:51:16
  54.x.x.x/32:22        OK      3/3     2017/x/x 12:05:57

pfctl -a blacklistd/22 -t port22 -T show
   54.x.x.x
   91.x.x.x
  115.x.x.x
  150.x.x.x

Chcete-li odstranit blokovanou IP adresu, musíte použít příkaz pfctl. Například:

pfctl -a blacklistd/22 -t port22 -T delete <IP>

Všimněte si, že blacklistctlIP bude stále zobrazena jako blokovaná! Toto je normální chování a doufejme, že bude v budoucích verzích odstraněno.