Tag: Security
-
IP子网段和子网掩码
自从小的Amazon EC2上的Instance一工作，就有各种无聊的动物尝试SSH暴力破解登录，很遗憾啊（我都快说无数遍了），我用的是key的验证登录方式，不是一般的password，要破解出来估计我都因为经济压力关掉我的instance了。 不过为了减轻系统的运作压力，我启用了ipfilter（见我之前关于NetBSD开启ipfilter简易防火墙的文章）。因为我的这个进程只打算对我自己开放，就用来翻翻墙，离线下载境外文件罢了，博客还是继续扔在免费的PaaS——大Red Hat的OpenShift上。所以呢，所以呢，我决定直接ban掉尝试暴力登录IP所在的整个C类子网段（即255.255.255.0）。我也是被逼无奈开始学习这IPv4的知识，下面记一下直接结果，至于中间神马几个bit几个bit的运算过程就省掉了。 对于255.255.255.0这种子网掩码，C类网段，最多可存在254个主机的，它的shorthand是/24； 对于255.255.0.0这种子网掩码，B类网段，最多可存在256×256个主机地址，它的shorthand是/16； 对于255.0.0.0这种子网掩码，那就是A类网段了，shorthand是/8！ 当然我不可能用A类去封杀登录IP，那样杀伤面积太大了点，容易误伤到我自己，所以目前我还是直接ban掉整个C类网段。等我摸清楚我自己的IP地址变化规律后，就直接白名单了事了，省得一个个抓起来杀。 话说对于这些闲着蛋疼的hacker下次应该用洪水攻击弄死他们！ 本文内容参考自Digi Pro ，以上若有纰漏还请指正。
-
配置NetBSD防火墙ipfilter
不看不知道，一看吓一跳，今天SSH连上服务器之后，顺带看了一下各个log，翻到/var/log/authlog的时候，心中一百只草泥马奔腾（略夸张哈哈）。 有一品德低下的电脑操作人员尝试暴力登录，对此我是呵呵啊，哥不是用的密码验证方式，而是用的SSH的私钥（key）验证的啊，你扫描致死都是进不来的。更可笑的是这哥们尝试的用户名除了root就是CUCU、git还有ubuntu，抱歉啦，哥用的是NetBSD，打死都不可能创建一个用户名是ubuntu，NND鄙视一万次。 好吧，鄙视归鄙视，从authlog记录的IP地址查到是煤矿省的，不管了，赶紧上防火墙block掉这个IP！ NetBSD是自带ipfilter的，但是默认没有激活这项服务，首先当然是在/etc/rc.conf里面加上ipfilter=YES一行，然后就是编辑/etc/ipf.conf这个文件（没有则新建，/etc/ipf6.conf则是针对IPv6的）。详情可以看NetBSD官方的文档。下面贴出在下的ipf.conf文件的内容以供参考。 第一行是放行所有出去的数据包，第二行是阻止从218.26.XX.XXX（保护这傻逼的隐私，最后几位数就不写出来了）这个IP到任意IP（任意IP当然就包括了本机IP啦）的所有数据包。 完成之后，/etc/rc.d/ipfilter start就可以启动服务了（因为添加到/etc/rc.conf了，所以重启的话ipfilter也会自动启动的）！