Hvernig á að setja upp Blacklistd á FreeBSD 11.1

Kynning

Sérhver þjónusta sem er tengd við internetið er hugsanlegt skotmark fyrir árásir með grófum krafti eða óviðeigandi aðgang. Það eru til verkfæri eins og fail2baneða sshguard, en þau eru takmörkuð virkni vegna þess að þau eru aðeins að þátta annálaskrár. Blacklistd tekur aðra nálgun. Breyttir púkar eins og SSH geta tengst beint við svartan lista til að bæta við nýjum eldveggsreglum.

Skref 1: PF (eldveggur)

Akkeri er safn reglna og við þurfum einn í PF uppsetningunni okkar. Til að búa til lágmarksreglusett skaltu breyta /etc/pf.confþannig að það líti svona út:

set skip on lo0
scrub in on vtnet0 all fragment reassemble

anchor "blacklistd/*" in on vtnet0

block in all
pass out all keep state
antispoof for vtnet0 inet

pass in quick on vtnet0 inet proto icmp all icmp-type echoreq
pass in quick on vtnet0 proto tcp from any to vtnet0 port 22

Virkjaðu nú PFtil að byrja sjálfkrafa, breyttu /etc/rc.conf:

pf_enable="YES"
pf_rules="/etc/pf.conf"
pflog_enable="YES"
pflog_logfile="/var/log/pflog"

Hins vegar er eitt til viðbótar sem þú gætir viljað gera fyrst: prófaðu reglurnar þínar til að vera viss um að allt sé rétt. Fyrir þetta skaltu nota eftirfarandi skipun:

pfctl -vnf /etc/pf.conf

Ef þessi skipun tilkynnir um villur skaltu fara til baka og laga þær fyrst!

Það er góð hugmynd að ganga úr skugga um að allt virki eins og búist var við með því að endurræsa þjóninn núna: shutdown -r now

Skref 2: Svartur listi

IP-tölur eru læstar í 24 klst. Þetta er sjálfgefið gildi og hægt er að breyta því í /etc/blacklistd:

# Blacklist rule
# adr/mask:port type    proto   owner           name    nfail   disable
[local]
ssh             stream  *       *               *       3       24h

Breyta /etc/rc.conftil að virkja Blacklistd:

blacklistd_enable="YES"
blacklistd_flags="-r"

Byrjaðu Blacklistd með eftirfarandi skipun:

service blacklistd start

Skref 3: SSH

Eitt síðasta sem við þurfum að gera er að segja sshdað láta vita blacklistd. Bættu UseBlacklist yesvið /etc/ssh/sshd_configskrána þína. Endurræstu nú SSH með service sshd restart.

Lokaskref

Að lokum, reyndu að skrá þig inn á netþjóninn þinn með ógildu lykilorði.

Til að fá allar læstar IP-tölur notaðu eina af eftirfarandi skipunum:

blacklistctl dump -bw
        address/ma:port id      nfail   last access
 150.x.x.x/32:22        OK      3/3     2017/x/x 04:43:03
 115.x.x.x/32:22        OK      3/3     2017/x/x 04:45:40
  91.x.x.x/32:22        OK      3/3     2017/x/x 07:51:16
  54.x.x.x/32:22        OK      3/3     2017/x/x 12:05:57

pfctl -a blacklistd/22 -t port22 -T show
   54.x.x.x
   91.x.x.x
  115.x.x.x
  150.x.x.x

Til að fjarlægja lokaða IP verðurðu að nota skipunina pfctl. Til dæmis:

pfctl -a blacklistd/22 -t port22 -T delete <IP>

Athugaðu að blacklistctlmun enn sýna IP sem læst! Þetta er eðlileg hegðun og verður vonandi fjarlægð í komandi útgáfum.