Не пойму логику работы sshguard

[romaxa]

Всем доброе время.

Кто каким пользуется сервисом для защиты ssh от брутфорса?
Я не могу понять и найти как sshguard блокирует IP злоумышленников, если выбрана опция:

Код: Выделить всё

BACKEND="/usr/local/libexec/sshg-fw-ipfw"

IP адреса, которые он добавил в

Код: Выделить всё

1588796965|100|4|113.160.173.31

После того, как он увидил атаку, атака прекращается, но в

Код: Выделить всё

ipfw show | grep 113.160.173.31

ничего нет.

Каким образом с этой опцией он банит IP?

Может быть лучше все таки использовать

Код: Выделить всё

BACKEND="/usr/local/libexec/sshg-fw-hosts"

Перелопатил кучи статей, но так и не понял принципа его работы. Не в части алгоритма блокировки, а в части принципа блокировки.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[guest]

Перелопатил кучи статей, но так и не понял принципа его работы. Не в части алгоритма блокировки, а в части принципа блокировки.

Не верю! Бо там до ж...ы просто.
Отсюда вывод - скачете по верхам и стремным статьям.

sshguard парсит скормленные ему логи и далее
вставляет правила в ipfw или pf или iptables или...
причем использует конкретные номера для правил, с N по N+50 (не помню уже)

Все это есть в доках.

[romaxa]

Никто не акцентирует внимание на методах блокировки, в теории понятно, что оно в Ipfw, но я там не находил ничего. Копал ipfw, в итоге наткнулся на таблицы, раньше я их не использовал, и так как я ничего в rc.firewall не прописывал мне не понятно было как он может блокировать то, чего там нет.

Помогла комманда # ipfw table all list

ipfw table all list
--- table(22)

А в rc.firewall выглядит оно так, так что буду использовать этот параметр и для portsentry.

${fwcmd} table ${BAD_ADDR_TBL} add 224.0.0.0/4
${fwcmd} add deny all from ::224.0.0.0/100 to any via ${oif6}
${fwcmd} add deny all from any to ::224.0.0.0/100 via ${oif6}

Все описывают как поменять конфигурацию блокировки, вот тут я накопал принцип. :-)