Comment bloquer les adresses IP abusives avec pf dans OpenBSD?

Nous pouvons voir dans les journaux nginx qu'il y a une adresse IP qui fait des choses désagréables.

Comment pouvons-nous le bloquer avec une pfcommande, puis plus tard de manière permanente avec le /etc/pf.log? Comment pouvons-nous bloquer un x.x.x.x/24pour cette IP? C'est un exemple: 1.2.3.4

MISE À JOUR: non, il semble qu'OpenBSD n'ait pas le fichier autoriser / refuser dans / etc. Et AFAIK le meilleur conseil pour bloquer les adresses IP abusives utilise pf.

# cd /etc 
# ls -la|egrep -i 'deny|allow'
# uname -a
OpenBSD foo.com 5.4 GENERIC.MP#0 amd64
# 

La meilleure façon de le faire est de définir une table et de créer une règle pour bloquer les hôtes, dans pf.conf:

table <badhosts> persist
block on fxp0 from <badhosts> to any

Et puis ajoutez / supprimez dynamiquement des adresses IP:

$ pfctl -t badhosts -T add 1.2.3.4
$ pfctl -t badhosts -T delete 1.2.3.4

Les autres commandes «table» incluent flush(supprimer tout) replaceet show. Voirman pfctl pour en savoir plus.

Si vous voulez une liste plus permanente, vous pouvez la conserver dans un (ou plusieurs) fichiers. Dans pf.conf:

table <badhosts> persist file "/etc/badguys1" file "/etc/badguys2"
block on fxp0 from <badhosts> to any

Vous pouvez également ajouter des noms d'hôtes au lieu d'adresses IP. Voir la section "Tables" de man pf.confet man pfctl.

Remarque : Les exemples ci-dessus supposent que l'interface Internet est fxp0, veuillez modifier en fonction de votre configuration. Gardez également à l'esprit que les règles dans pf.confsont évaluées de manière séquentielle et pour blockou les passrègles sont la dernière règle de correspondance qui s'applique. Avec cet ensemble de règles

table <badhosts> persist
block on fxp0 from <badhosts> to any
pass inet tcp from 192.168.0.0/24 to any port 80

et après avoir ajouté 1.2.3.4 et 192.168.0.10 au badhoststableau

$ pfctl -t badhosts -T add 1.2.3.4
$ pfctl -t badhosts -T add 192.168.0.10

tout le trafic de 1.2.3.4 et 192.168.0.10 sera bloquée , mais le second hôte sera en mesure d'établir des connexions au port d'autres machines 80 parce que les passmatchs de la règle et les exceptions à la blockrègle.

Il n'est pas clair d'après les autres réponses que vous devez créer un tableau réel des badhosts que vous essayez de bloquer.

Cela va dans le fichier pf.conf, par exemple j'ai deux fichiers badguys, 1 & 2 badguys1 est pour ceux qui vont et viennent, et badguys2 est pour la liste noire permanente.

Donc, si vous devez ajouter une adresse IP de quelqu'un qui est une nuisance pendant un certain temps, ajoutez-les à badguys1.

Maintenant, dans votre fichier pf.conf, vous avez ceci. Dans mon exemple, j'utilise en1, car c'est mon interface WiFi. Réglez-le sur l'interface de votre réseau.

table <badhosts> persist file "/etc/badguys1" file "/etc/badguys2"
block on en1 from <badhosts> to any

Vous pouvez maintenant ajouter des adresses temporaires à badguys1. (PAS de mauvais hôtes, c'est un nom pour les tables)

sudo pfctl -t badguys1 -T add 185.130.5.160

1 table created.
1/1 addresses added.

Bien qu'il indique 1 table créée - il ajoute en fait l'ip, pas la création d'une nouvelle table. Maintenant, si vous regardez dans badguys1, vous verrez la nouvelle IP.

sudo pfctl -t badhosts -T show

J'ai obtenu ces informations sur le site Web et pardonnez-moi de ma mauvaise connaissance OpenBSD, mais ça y est. Jetez un œil à cette URL . Selon lui, il déclare que pour bloquer une adresse IP, vous devez:

echo '123.123.123.123' >> /etc/pf.blocked.ip.conf

Ensuite, vous redémarreriez le pare-feu:

pfctl -d
pfctl -e -f /etc/pf.conf

Ou, pour ajouter sans redémarrer le type de pare-feu:

pfctl -t blockedips -T add 111.222.333.444

Maintenant, pour vérifier s'il a été ajouté, tapez:

pfctl -t blockedips -T show

Mise à jour: Peut-être que cela aiderait.

• Ouvrez le fichier suivant dans vi:

  vi /etc/pf.conf

• Ajoutez la ligne de code suivante:

  table <blockedips> persist file "/etc/pf.blocked.ip.conf" ext_if="bge0" # interface connected to internet

• Après ce point, j'essayerais de redémarrer le pare-feu et de confirmer que l'adresse IP est bloquée en tapant:

  pfctl -d
  pfctl -e -f /etc/pf.conf
  pfctl -t blockedips -T show