Quelltext der Seite Pfsense - GeoIP Blocking auf bestimmte Ports oder Dienste IPv4 IPv6


[[Kategorie:PfSense]]
<u>'''Changelog:'''</u><br>
* 18.05.2016 Erste Version
<br>
<br>
----
==Warum?==
Auf meinem Miet-Server betreibe ich unter anderem einen Linux-Server der über SSH Port 22 und einen "Terminalserver" der über RDP Port 3389 erreichbar ist.<br>
Nun sehe ich jeden Tag wie hunderte von Zugriffsversuchen auf diese beiden Ports stattfinden. Auf dem Linux-Server setze ich {{Key|fail2ban}} ein, auf dem Terminalserver {{Key|EvlWatcher}}.<br>
Und die Liste der geblockten IP-Adressen wird länger und länger - bei den RDP-versuchen hatte ich mich an einer Liste versucht [[BannedIP]] ... aber das nahm einfach kein Ende ...<br>
<br>
Heute nun brachte mich nun jemand auf die Idee des "GeoIP-Blocking" ... Also einfach den Zugriff nur aus bestimmten Ländern erlauben.<br>
Das würde doch schon mal 99% der Angriffe ins leere laufen lassen .... und die pfSense kann das auch!<br>
<br>
<br>
----
==pfBlockerNG installieren==
Eine Firewallregel um bestimmte IP-Adressen zu blocken ist nicht schwer ... aber wie kommen wir an die Daten dazu?<br>
Das mach {{Key|pfBlockerNG}} für uns!<br>
<br>
Wir können diese Erweiterung über den Packetmanager nachinstallieren:<br>
[[Datei:GeoIP-Blocking-pfSense-001.png]]<br>
<br>
[[Datei:GeoIP-Blocking-pfSense-002.png]]<br>
<br>
Das kann eine Weile dauern, insbesondere wenn er die IP-Datenbanken von MaxMind herunterlädt und konvertiert.<br>
<br>
Danach haben wir unter {{Key|Firewall}} den neuen Menüpunkt {{Key|pfBlockerNG}}:<br>
[[Datei:GeoIP-Blocking-pfSense-003.png]]<br>
<br>
<br>
----
==pfBlockerNG konfigurieren==
Wir haben nun 2 Möglichkeiten:<br>
* Wir definieren die Länder aus denen der Zugriff verboten ist
* Wir definieren die Länder aus denen der Zugriff erlaubt ist
<br>
Tja, auf den 2. Weg bin ich erst später gekommen - aber ist einfacher nur "Deutschland ist erlaubt" zu defnieren als hunderten von Ländern als "gesperrt".<br>
Deshalb machen wir es auch jetzt so rum!<br>
<br>
Wir rufen {{Key|Firewall}} => {{Key|pfBlockerNG}} auf und landen in den {{Key|General Settings}}:<br>
[[Datei:GeoIP-Blocking-pfSense-004.png]]<br>
und als ersten aktivieren wir diesen erst einmal:<br>
:[[Datei:GeoIP-Blocking-pfSense-005.png]]<br>
Um das zu speichern müssen wir ganz nach unten Scrollen und auf [[Datei:GeoIP-Blocking-pfSense-006.png]] klicken.<br>
Die anderen Einstellungen sollten so passen - wir lassen keine Regeln durch das Modul erstellen, er soll uns nur die IP-Adressen beschaffen.<br>
<br>
Nun wechseln wir oben zum Abschnitt {{Key|Country}}:<br>
[[Datei:GeoIP-Blocking-pfSense-007.png]]<br>
<br>
Und wir landen in der Ansicht der '''''TOP 20 - Spammer Countries'''''<br>
[[Datei:GeoIP-Blocking-pfSense-008.png]]<br>
<br>
Nun könnten wir hier schon Deutschland wählen ... aber ich musste mehr als ein Land nehmen - deshalb gehen wir oben in der Auswahl auf {{Key|Europe}}:<br>
Mit gedrückter {{Key|Strg}} bzw. {{Key|CTRL}} Taste können wir nun in der Liste die Länder wählen aus denen der Zugriff erlaubt sein soll, auf der linken Seite für IPv4, auf der rechten Seiten für IPv6:<br>
[[Datei:GeoIP-Blocking-pfSense-009.png]]<br>
Wählt also die Länder aus aus denen Ihr den Zugriff erlauben wollt, bei '''List Action''' wählen wir {{Key|Alias Permit}}<br>
Ich habe auch noch das Logging deaktiviert.<br>
Dann wieder auf den Save-Button klicken!<br>
<br>
<br>
Mit dieser Einstellung erzeugt er uns eine IP-Adressliste für Europa mit den gewählten Ländern.<br>
Diese Liste legt er uns in einen Alias den wir dann in Firewall und NAT-Regeln benutzen können.<br>
<br>
Die Liste wird nun einmal die Stunde aktualisiert ... solange wollen wir nicht warten, deswegen stoßen wir das von Hand an!<br>
Dazu gehen wir auf {{Key|Update}}:<br>
[[Datei:GeoIP-Blocking-pfSense-010.png]]<br>
und klicken unten auf {{Key|Run}} - sofern er nicht sowieso gleich starten würden.<br>
Unten im Log-Feld sehen wir dann das er - unter anderem - die Listen erzeugt:<br>
 ===[  Continent Process  ]============================================
 
 [ pfB_Europe_v4 ]	 Changes found... Updating
 
 [ pfB_Europe_v6 ]	 Changes found... Updating
Nun hat er uns 2 Aliase erzeugt:
 pfB_Europe_v4
 pfB_Europe_v6
die wir in unseren NAT und Firewallregeln verwenden können:<br>
[[Datei:GeoIP-Blocking-pfSense-011.png]]<br>
<br>
[[Datei:GeoIP-Blocking-pfSense-012.png]]<br>
Wichtig: Die Aliase findet Ihr auf dem Reiter '''URLs'''!<br>
<br>
<br>
----
==NAT-Regeln anpassen (IPv4)==
Im IPv4 Bereich habe ich nur eine externe IP-Adresse und deshalb den SSH und RDP Zugriff durch ein Port-Forwarding auf die internen Server frei geschaltet.<br>
Diese Regeln ändere ich nun wie folgt ab:<br>
<br>
<u>'''Vorher:'''</u><br>
[[Datei:GeoIP-Blocking-pfSense-013.png]]<br>
Wie man sieht steht bei '''''Source Address''''' ein '''''*''''' - der Zugriff ist also von überall erlaubt.<br>
Nun bearbeiten wir den Eintrag:<br>
[[Datei:GeoIP-Blocking-pfSense-014.png]]<br>
<br>
Das er dann wie folgt aussieht:<br>
<u>'''Nachher:'''</u><br>
[[Datei:GeoIP-Blocking-pfSense-015.png]]<br>
Wichtig ist das Ihr den IPv4 Alias nehmt!<br>
<br>
Nachdem die Regeln übernommen wurden ist der SSH-Zugriff nur noch aus den gewählten Ländern möglich!<br>
<br>
<br>
----
==Rules anpsssen (IPv6)==
Die Rules für die NAT-regeln passt er automatisch mit an.<br>
Bei IPv6 gibt es kein NAT sondern nur eine Regel welche den Zugriff auf SSH erlaubt:<br>
<br>
<u>'''Vorher:'''</u><br>
[[Datei:GeoIP-Blocking-pfSense-016.png]]<br>
Wie man sieht steht bei '''''Source Address''''' ein '''''*''''' - der Zugriff ist also von überall erlaubt.<br>
Nun bearbeiten wir den Eintrag:<br>
[[Datei:GeoIP-Blocking-pfSense-017.png]]<br>
<br>
Das er dann wie folgt aussieht:<br>
<u>'''Nachher:'''</u><br>
[[Datei:GeoIP-Blocking-pfSense-018.png]]<br>
Wichtig ist das Ihr den IPv6 Alias nehmt!<br>
<br>
<br>
----
==Kommentare==
<comments />