Блокировка IP-адресов с помощью ipfw

1. Правильные правила должны быть восстановлены после каждой перезагрузки. Это не будет напрямую влиять на другие правила, но может косвенно (например, если другое правило разрешает IP по какой-либо причине, это может заблокировать IP...)

2. Вы ищете когда-либо популярный fail2ban, который читает файлы журналов и запрещает IP-адреса людей, которые делают "плохие" вещи.

Кроме того, вам не нужно постоянно добавлять правила для каждого отдельного бана, это быстро нарушит правила. Однако вы можете добавить правило для блокировки таблицы, а затем добавить IP-адреса в таблицу. Таблица - это просто список IP-адресов, поэтому вы можете легко применять правила ко всей таблице, а не указывать их все по отдельности.

Например, у меня есть скрипт брандмауэра по умолчанию, который я использую, первые два правила в этом скрипте:

00030 deny ip from "table(1)" to me
00031 deny ip from "table(2)" to me

Ключевое слово "я" означает любой мой локальный IP-адрес. Таблица 1 предназначена для Fail2Ban: когда он находит IP, который ему не нравится, он на некоторое время добавляет IP в эту таблицу. В таблице 2 приведен список DROP Spamhaus, список известных профессиональных спам-систем (подробности см. На их веб-сайте).

Вы можете добавить IP-адреса в таблицу вручную с помощью этой команды:

ipfw table 2 add

На моих серверах таблица 2 заполняется автоматически при запуске скриптом /usr/local/etc/rc.d/spamhaus-drop следующее:

#!/bin/csh
fetch -i /tmp/drop.lasso -o /tmp/drop.lasso "http://www.spamhaus.org/drop/drop.lasso"
sed -i '' "s/;.*//" /tmp/drop.lasso
ipfw table 2 flush
foreach IP ( `cat /tmp/drop.lasso` )
        ipfw table 2 add $IP
end

Я настоятельно рекомендую вам написать собственный скрипт для настройки брандмауэра. Во FreeBSD с ipfw это довольно легко, и я не стал бы беспокоиться о графическом интерфейсе (я знаю, что это звучит сложно, когда все новое, но основы проще, чем вы думаете).

Мой конфигурационный скрипт находится в /etc/ipfw.rules и идет так:

#!/bin/sh

#FOR KEAIRA  - The computer this script was customized for.

ipfw -q -f flush       # Delete all rules
cmd="ipfw add"

# Ban tables
$cmd 00030 deny ip from "table(1)" to me
$cmd 00031 deny ip from "table(2)" to me

# Statefull firewall config, more secure
$cmd 00060 check-state

# Allow outbound traffic
$cmd 00130 allow ip from me to any keep-state

# SSH - I have SSH on port 2222 to keep the script kiddies out.
$cmd 11020 allow tcp from any to me dst-port 2222 setup keep-state

# DNS
$cmd 11090 allow tcp from any to me domain setup keep-state
$cmd 11092 allow udp from any to me domain

# NTP
$cmd 11100 allow tcp from any to me ntp setup keep-state
$cmd 11101 allow udp from any to me ntp

# General Network - ICMP & IGMP
$cmd 61001 allow icmp from any to any
$cmd 61002 allow igmp from any to any

# Deny the rest
$cmd 65500 deny ip from any to any

Этот сервер работает SSH (на альтернативном порту), DNS и NTP (время). Остальное - просто общие вещи, которые я вставляю во все свои скрипты брандмауэра. Если у вас есть другие службы, которые вам нужно открыть, просто дайте мне знать, и я настрою пример. Большинство сервисных названий, которые вы можете получить /etc/services хотя, что делает написание этих очень легко. Для каждого правила не обязательно иметь разные номера, но это облегчает управление ими. Правила обрабатываются по порядку по номеру, но в остальном числа не имеют значения.

Этот скрипт "активируется", помещая эти строки в /etc/rc.conf

firewall_enable="YES"                   # Firewall On
firewall_script="/etc/ipfw.rules"       # Firewall Script

Настройка Fail2Ban - это немного больше работы, но она также довольно проста. Если вы хотите узнать больше об этом, просто спросите.