blocklistd

默认配置文件 /etc/blocklistd.conf 内容如下：

# Blocklist rule
# adr/mask:port	type	proto	owner		name	nfail	duration
[local]
ssh		stream	*	*		*	3	24h
ftp		stream	*	*		*	3	24h
smtp		stream	*	*		*	3	24h
submission	stream	*	*		*	3	24h
#6161		stream	tcp6	christos	*	2	10m
*		*	*	*		*	3	60

# adr/mask:port	type	proto	owner		name	nfail	duration
[remote]
#129.168.0.0/16	*	*	*		=	*	*
#[2001:db8::]/32:ssh	*	*	*		=	*	*
#6161		=	=	=		=/24	=	=
#*		stream	tcp	*		=	=	=

文件 /etc/blocklistd.conf 中的默认本地规则如下所示：

[local]
ssh		stream	*	*		*	3	24h
ftp		stream	*	*		*	3	24h
smtp		stream	*	*		*	3	24h
submission	stream	*	*		*	3	24h
#6161		stream	tcp6	christos	*	2	10m
*		*	*	*		*	3	60

• [local] 段后的所有规则均视为本地规则（此为默认设置），适用于本机
• [remote] 段后，后续规则将作为远程规则处理
• 通配符由星号 (*) 表示，匹配该字段中的任意内容

七个字段共同定义一条规则，字段之间以制表符或空格分隔：

• adr/mask:port、type、proto、owner：前四个字段用于标识需列入封禁列表的流量

  • adr/mask:port 字段：定义地址。在本地规则中，该字段是网络端口

    adr/mask:port 地址字段的语法：
    
    [地址|接口][/掩码][:端口]
    
    adr/mask:port 地址字段可按数字格式指定为 IPv4 或 IPv6（以方括号表示），也可使用接口名称，如 em0
    

  • type 字段：定义套接字类型
    • TCP 套接字为 stream 类型

    • UDP 则用 dgram 表示

      因为 SSH 基于 TCP 协议，上例使用的是 stream
      

  • proto 字段：定义协议

    可用协议包括 tcp、udp、tcp6、udp6 或数值形式的协议号
    
    除非有必要按特定协议区分流量，否则通常如示例所示使用通配符来匹配所有协议
    

  • owner 字段：定义报告事件的守护进程的有效用户或属主

    守护进程报告事件时，以此字段标识其身份
    
    这里可以使用用户名或 UID，也可以使用通配符
    

• name、nfail、duration：后三个字段定义 blocklistd 的行为

  • name 字段：定义数据包过滤规则名称，标志着规则行为部分的开始

    如果需要单独的封锁列表，可以在此字段中使用锚点名称
    
    在其他情况下，使用通配符即可
    

    • 名称以连字符 _-_开头时，表示应使用带有默认规则名称的锚点。修改后的示例如下：

      ssh             stream  *       *               -ssh       3       24h
      
      在此规则下，新的封禁规则将添加到锚点 blocklistd-ssh 中
      

    • 如果因某 IP 违反某条规则而需封锁整个子网，可以在规则名称中使用 / 这样名称中 / 后面的部分会当作掩码，应用到规则中指定的地址

      例如，以下这条规则会封锁与指定地址相邻的所有 /24 网段的地址
      
      22              stream  tcp       *               */24    3       24h
      
      这里需指定正确的协议。IPv4 和 IPv6 对 /24 的处理不同，因此在此规则的第三个字段中不能使用 *
      
      如果该网络中任何主机出现违规行为，则整个网络中的其他主机均将受到封禁
      

  • nfail 字段：设置需多少次登录失败方可将远程 IP 列入封禁列表。如果在此位置使用通配符，则永不触发封禁

    在上例中，定义了 3 次登录失败的限制，即在 SSH 上登录失败 3 次后，该 IP 被封禁
    

  • duration 字段：指定主机列入封禁列表的时间
    • 默认单位为秒，亦可指定 m、h、d 等后缀，分别表示分钟、小时和天

完整的示例规则 ssh stream * * * 3 24h 表示：SSH 验证失败三次后，该主机将生成一条新的 PF 封锁规则

规则匹配时，首先按顺序检查 local 规则，从最具体（匹配条件最严格、范围最小的规则）到最不具体（匹配条件宽泛、范围大的规则）

匹配成功后，会应用 remote 规则，并由匹配的 remote 规则修改字段 name、nfail 和 duration

remote 规则用于指定 blocklistd 如何根据当前评估的远程主机调整其行为。remote 规则中的每个字段与 local 规则相同，唯一的区别在于 blocklistd 使用这些字段的方式不同。以下用示例规则说明：

# adr/mask:port	type	proto	owner		name	nfail	duration
[remote]
#129.168.0.0/16	*	*	*		=	*	*
#[2001:db8::]/32:ssh	*	*	*		=	*	*
#6161		=	=	=		=/24	=	=
#*		stream	tcp	*		=	=	=

• 地址字段可为 IP 地址（IPv4 或 IPv6）、端口，或二者兼有

  这样可以为特定的远程地址范围设置特殊规则（如本例所示）
  

  • 套接字类型、协议和属主字段的解释与 local 规则完全相同
• name 字段有所不同：在 remote 规则中，等号 = 表示 blocklistd 沿用匹配的 local 规则中 name 字段的值
  • 如果 name 字段写为 =/XX 的格式（如 =/24），则在沿用 name 值的同时，将 /XX 作为掩码前缀应用于地址（即封禁整个 /XX 子网）

  • 若仅使用 = 而不带 / 部分，则不会修改掩码

    此处也可使用 PF 锚点名称，此时 blocklistd 会将该地址块的规则添加到该锚点下
    
    若使用通配符，则使用默认表格
    

• nfail 列可为某个地址定义自定义失败次数

  这在设置特定规则的例外时很有用，例如给予某些用户较宽松的登录尝试机会
  

  • 第六个字段使用星号时，封禁功能即告禁用

第六个字段使用星号时，封禁功能即告禁用