FreeBSD Notes

先日のトラックバック スパム、一日、500回のペースで来てた（トータルで2000件弱）。ま、数は大したこともないんだけど、後々のため、Webサーバの方だけで拒否するだけじゃ、不十分なような気もしてきたので、IPベースで弾いてみることにした。

何を使おうか迷ったけど、とりあえず、ipfilterにしてみた。

カーネルは、予め

options        IPFILTER
options        IPFILTER_LOG

のオプションを付けて構築してある。

これらの機能を活用するため、まず、/etc/ipf.rulesを、

# default rules
pass in  on fxp0 all head 100
pass out on fxp0 all head 200

# block trackback spam
block return-icmp-as-dest(port-unr) in log quick proto tcp from 195.225.176.160/32 to any port = http group 100

のように作成し^*1*2、/etc/rc.confに、

ipfilter_enable="YES"
ipmon_enable="YES"

を追加して、フィルタ リストを操作するipfと、ログをとるためのipmonを自動起動できるように設定。

そして、

# /etc/rc.d/ipfilter start && /etc/rc.d/ipmon start

と有効化した。

• *1 195.225.176.160は今回ブロックすることにしたIPアドレス。今回は、httpのポート（80番）に限りブロック。
• *2 return-icmp-as-dest(port-unr)は別になくてもよく、そのままパケットを捨ててもよかったんだが、あんたの意図するサービスはありませんよ、って思いを込めたささやかな抗議…。

大体、一時間置きの間隔でやってきて、10秒内に20〜30回のトラックバックを送信して来るので、その時間帯を予想し、Webサーバのログをウォッチしてたけど、予定の時刻を過ぎても、そういったアクセスは現れない。

どうやら、フィルタリングは成功かな？と思って、syslogの方も確認してみたけど、あれ？フィルタリングのログも残ってない。

あちこち設定を見直してみたけど、ipmonは標準では、local0のファシリティを使用するのに、/etc/syslog.confには、それが記載されてなかったではないか…。

改めて、/etc/syslog.confに

security.*;local0.*                             /var/log/security

という具合に追加して、syslogdに設定を再読み込みさせる。

・・しかし、次の予定時間を過ぎても、例のトラックバック スパムが現れてくれない。別ルールを書いて、syslogにログが残るかどうかは確認済みだし、準備は万全なのに…。

先程、フィルタリングのログには残らなかったものの、アクセスのブロックは成功したと思う（単に、突然アクセスを止めたというケースもあり得るけど…）し、もしかして、一回、アクセスできなかったら、次回はもう繰り返さないのかな？いずれにしても、忘れた頃にやって来られても何なので、しばらくこのままの状態で様子見。