Az /etc/hosts.deny

1. A fájl neve /etc/hosts.deny, nem pedig host.deny

2. Nem minden szolgáltatás használ TCP-csomagolókat. Például a sshd alapértelmezés szerint nem “t”. Az apache sem.

3. Használhatja a iptables az összes csomag blokkolásához a 117.25.128 / 24-től, pl .:

     iptables -I INPUT -s 117.25.128.0/24 -j DROP  

4. Még jobb, ha a fail2ban segítségével naplófájlt figyelhet (például az apache access.log és / vagy error.log), és automatikusan blokkolja az IP-címeket, amelyek megpróbálják megtámadni a szervert.

A debian fail2ban csomag leírásából:

A Fail2ban figyeli a naplófájlokat (pl. /var/log/auth.log, /var/log/apache/access.log), és a meglévő tűzfalszabályok frissítésével ideiglenesen vagy tartósan tiltja a hibára hajlamos címeket.

A Fail2ban lehetővé teszi a különböző műveletek egyszerű megadását, például az IP letiltását az iptables vagy a hosts.deny szabályok használatával, vagy egyszerűen értesítési e-mail küldését.

Alapértelmezés szerint a szűrő kifejezéseket tartalmazza a különböző szolgáltatásokhoz (sshd, apache, qmail, proftpd, sasl stb.), de a konfiguráció könnyen kiterjeszthető bármely más szövegfájl nyomon követésére. Minden szűrő és művelet a konfigurációs fájlokban van megadva, így a fail2ban alkalmazható különféle fájlokkal és tűzfalakkal együtt.

Megjegyzések

• Ok, igen, én ‘ szerkesztem a csempét. Hát rendben, jól kipróbáltam a iptables -A INPUT -s 117.25.128.0/24 -j DROP -t, de ez sem ‘ nem blokkolta.
• -I INPUT beszúrja az új szabályt az INPUT lánc tetejére. -A INPUT hozzáadja a lánc aljára. ha -A INPUT nem működött, akkor a láncban korábban kellett volna lennie valamilyen más szabálynak, amely lehetővé tette ezeket a csomagokat.
• ahhh oké, én ‘ m feltételezem, hogy az elsőbbség fentről lefelé van?
• igen az első megfelelő szabály nyer.
• Tökéletesnek tűnik, hogy működjön! Köszönöm. Gyors kérdés, bár nagyon sok kérés ugyanazon referenciából származik. (item.taobao.com) különböző kliens IP-vel ‘ s, tehát én ‘ m feltételezem, hogy ők ‘ valamilyen típusú átirányítást használ. Van-e mód blokkolni hivatkozó szerint, vagy blokkolni 117. * segítségével, helyettesítő karakterként,

Ami az eredeti kérdését illeti. A Debian Apache-m nincs konfigurálva a libwrap-tal, ezért nem fogja megkérdezni a hosts.deny-t. [Az előző válasz már említi – a valóság az, hogy a tcpwrappers nem a biztonság megtestesítője, mint a 90-es években, különösen, amikor jön nem feketelistára]. Nem démonként, hanem az (x) inetd fájlból kell futtatnia, ami lelassítja (jelentősen).

Blokkolhatja / engedélyezheti a hozzáférést Apache szinten, és megteheti nem kell tcp csomagolók az Apache-hoz [sem az IPTV-k]. Nem említetted az ssh-t, de soha nem hagyom az ssh-kiszolgálókat közvetlenül kívülre nyitva. Azonban olvass tovább.

Van egy 300-as vhostunk + domainek, és hasonló problémák, a taobao-val, a baiduval és gyakran még a google pókokkal is. Nevezetesen a baidu pókok meglehetősen agresszívek és tartósak lehetnek.

Mint már kitaláltátok, vannak szervereik, és még akkor is, ha blokkol egy IP-t, hamarosan újra megjelennek más IP-címeknél.

Egyáltalán nem célszerű megpróbálni fenntartani a lis Az IP-címek / netblokkok kézzel.

Ami számunkra meglehetősen jól működik, az az, hogy a modsecurity véglegesen blokkolja a felhasználói ügynök húrjait, míg a mod_evasive átmenetileg a visszaélésszerű IP-ket.

Ez a beállítás a keresőmotorok pókjainak lelassítása mellett az az előnye is, hogy a zombikat lecsökkenti, és megpróbálja kitalálni a jelszavakat a CMS-eken. >