34.6.blocklistd
blocklistd 是守护进程，监听套接字，等待接收来自其他守护进程关于连接尝试失败或成功的通知。它最广泛用于阻止对开放端口的过多连接尝试。典型的例子是互联网上运行的 SSH 服务器会收到大量来自机器人或脚本的请求，这些机器人或脚本试图猜测密码以获取访问权限。
使用 blocklistd，守护进程可通知防火墙创建过滤规则，在多次尝试后阻止来自单一来源的过多连接尝试。blocklistd 最初在 NetBSD 上开发，并随其版本 7 发布，最初名为 blacklistd。FreeBSD 11 从 NetBSD 引入了 blocklistd。
本章介绍如何设置和配置 blocklistd，并提供使用示例。读者应熟悉规则等基本防火墙概念。有关详细信息，请参阅防火墙相关章节。
示例中使用 PF，但 FreeBSD 上可用的其他防火墙也应该能与 blocklistd 一起工作。
34.6.1. 启用 blocklistd
blocklistd 的主要配置存储在 blocklistd.conf(5) 中。还提供了各种命令行选项来更改 blocklistd 的运行时行为。跨重启保留的持久配置应存储在 /etc/blocklistd.conf 中。要在系统引导时启用该守护进程，请将 blocklistd_enable 行添加到 /etc/rc.conf 中，如下所示：
# sysrc blocklistd_enable=yes要手动启动服务，请运行以下命令：
# service blocklistd start34.6.2. 创建 blocklistd 规则集
blocklistd 的规则在 blocklistd.conf(5) 中配置，每行包含一个条目。每个规则包含由空格或制表符分隔的元组。规则可以属于 local 或 remote，分别适用于运行 blocklistd 的机器或外部源。
34.6.2.1. 本地规则
本地规则的示例 blocklistd.conf 条目如下所示：
[local]
ssh stream * * * 3 24h所有跟随 [local] 部分的规则都被视为本地规则（这是默认设置），适用于本地机器。遇到 [remote] 部分时，后续规则将作为远程机器规则处理。
七个由制表符或空格分隔的字段定义规则。前四个字段标识应列入黑名单的流量。接下来的三个字段定义 blocklistd 的行为。通配符由星号 (*) 表示，匹配该字段中的任何内容。第一个字段定义位置。本地规则中，这些是网络端口。位置字段的语法如下：
地址可以以数字格式指定为 IPv4，或者用方括号表示 IPv6。也可以使用像 em0 这样的接口名称。
第二个字段定义了套接字类型。TCP 套接字为 stream 类型，而 UDP 则用 dgram 表示。上面的示例使用的是 TCP，因为 SSH 使用的是该协议。
第三个字段可在 blocklistd 规则中使用协议。可使用的协议包括：tcp、udp、tcp6、udp6 或数字。像上面的示例一样，通常使用通配符匹配所有协议，除非有特别的理由需要通过特定协议区分流量。
在第四个字段中，定义了报告事件的守护进程的有效用户或所有者。这里可以使用用户名或 UID，也可以使用通配符（参见上面的示例规则）。
第五个字段声明了数据包过滤规则的名称，这标志着规则的行为部分。默认情况下，blocklistd 将所有阻塞规则放置在 pf.conf 中的名为 blocklistd 的锚点下，如下所示：
对于单独的黑名单，可在该字段中使用锚点名称。其他情况下，使用通配符就足够了。名称以连字符（-）开头时，意味着应使用带有默认规则名称的锚点。下面是修改后的示例，使用了连字符：
在此规则下，任何新的黑名单规则将添加到名为 blocklistd-ssh 的锚点中。
要在单次规则违反时阻止整个子网，可在规则名称中使用 /。这会使名称的剩余部分解释为应用于规则中指定地址的掩码。例如，此规则将阻止与 /24 相邻的每个地址：
注意
这里需要指定正确的协议。IPv4 和 IPv6 对
/24的处理不同，因此在此规则的第三个字段中不能使用*。
此规则定义，如果该网络中的任何主机表现不当，整个网络中的其他主机也将被阻止。
第六个字段，称为 nfail，设置需要多少次登录失败才能将远程 IP 列入黑名单。在此位置使用通配符时，意味着永远不会发生阻止。在上面的示例规则中，定义了三次登录失败的限制，即在单个连接上三次尝试登录 SSH 后，该 IP 会被阻止。
最后一个字段指定了主机被列入黑名单的时间。默认单位为秒，但也可以指定如 m、h 和 d 等后缀，分别表示分钟、小时和天。
完整的示例规则意味着在三次尝试 SSH 认证后，将为该主机创建新的 PF 阻止规则。规则匹配按顺序执行，首先检查本地规则，最具体的规则优先。匹配后，将应用 remote 规则，并通过匹配的 remote 规则更改规则中的名称、nfail 和持续时间字段。
34.6.2.2. 远程规则
远程规则用于指定 blocklistd 如何根据当前评估的远程主机改变其行为。远程规则中的每个字段与本地规则相同。唯一的区别在于 blocklistd 使用它们的方式。为说明这一点，使用以下示例规则：
地址字段可以是 IP 地址（无论是 v4 还是 v6）、端口或两者的组合。这样能为特定的远程地址范围设置特殊规则，就像此示例一样。套接字类型、协议和所有者字段的解释与本地规则相同。
不过，名称字段是不同的：远程规则中的等号（=）告诉 blocklistd 使用匹配的本地规则中的值。这意味着防火墙规则条目会被采用，并且会添加 /25 前缀（即子网掩码为 255.255.255.128）。来自该地址范围的连接被列入黑名单时，整个子网都会受到影响。这里也可以使用 PF 锚点名称，在这种情况下，blocklistd 会将此地址块的规则添加到该名称的锚点中。使用通配符时，将使用默认表。
可以为地址在 nfail 列中定义自定义的失败次数。此字段对特定规则的例外情况很有用，例如，可能让某人对登录尝试有更宽松的限制或更多的容忍度。使用星号（*）时，将禁用阻止功能。
与来自本地网络（例如办公室）的登录尝试相比，远程规则允许对登录尝试实施更严格的限制。
34.6.3. blocklistd 客户端配置
在 FreeBSD 中，有一些软件包可以利用 blocklistd 的功能。最突出的两个是 ftpd(8) 和 sshd(8)，它们可以阻止过多的连接尝试。要在 SSH 守护进程中启用 blocklistd，请在 /etc/ssh/sshd_config 中添加以下行：
然后重新启动 sshd 使更改生效。
对于 ftpd(8)，可以使用 -B 来启用黑名单功能，这可以在 /etc/inetd.conf 中设置，或者作为标志在 /etc/rc.conf 中设置，如下所示：
这就是让这些程序与 blocklistd 通信所需的所有设置。
34.6.4. Blocklistd 管理
blocklistd 提供了名为 blocklistctl(8) 的管理工具。它显示通过 blocklistd.conf(5) 中定义的规则列入黑名单的地址和网络。要查看当前被阻止的主机列表，可使用 dump 命令并结合 -b 参数，如下所示：
此示例显示了来自地址范围 213.0.123.128/25 的端口 22 上发生的连接尝试，其中有 6 次尝试，超过了允许的 3 次。列出的尝试次数超过了允许的次数，因为 SSH 让客户端能在单个 TCP 连接上尝试多次登录。当前的连接不会被 blocklistd 停止。最后一次连接尝试的时间显示在 last access 列中。
要查看此主机剩余的封锁时间，可以在之前的命令中添加 -r 参数：
在此示例中，距离该主机解除封锁还有 36 秒。
34.6.5. 从黑名单中移除主机
有时需要在剩余时间到期之前将某个主机从黑名单中移除。不幸的是，blocklistd 并未提供直接执行此操作的功能。然而，可使用 pfctl 从 PF 表中移除该地址。对于每个被阻止的端口，/etc/pf.conf 中的 blocklistd 锚点内都会定义子锚点。例如，如果有子锚点用于阻止端口 22，它会被命名为 blocklistd/22。该子锚点内部有表格，包含被阻止的地址。此表格的名称为 port 后跟端口号。在此示例中，其名称为 port22。有了这些信息后，就可使用 pfctl(8) 显示列出的所有地址，如下所示：
从列表中识别出需要解除封锁的地址后，使用以下命令将其从列表中移除：
该地址现在已从 PF 中移除，但仍会出现在 blocklistctl 列表中，因为 blocklistd 并不知道 PF 中的更改。blocklistd 数据库中的该条目最终会过期，并从输出中移除。如果该主机再次匹配 blocklistd 中的某条封锁规则，则该条目将再次添加。
最后更新于