DirectAdmin在FreeBSD系统下配置IPFW的例子

请先确定你可以顺利的访问自己的服务器，不管是本地访问、VM控制台或者是telnet，保证防火墙没有因为意外的错误配置导致系统无法访问。

这里是本文是适用条件：
1.FreeBSD 7.x, 8.x or 9.x; x86 or x64
2.ipfw + tables support
3.DirectAdmin's Brute Force Monitor (version 1.40 required)

跟随本文设置完成之后你将获得一下的功能：
1.通过DirectAdmin的BFM（强力监控）模块自动的封禁IP。
2.根据在DirectAdmin后台BFM中设置的指定时间间隔取消相关的IP封禁。
3.一个强力的防火墙。
4.拥有干净和规整的防火墙规则表。
5.最小的系统修改。

1.在FreeBSD上打开IPFW

先修改rc.conf文件并且打开IPFW

把下面的内容增加到rc.conf
 

重启系统来打开防火墙
一旦系统启用，再次修改rc.conf文件并在firewall_enable="YES"增加以下内容：
 

考虑到防火墙最大规则的限制，附加的改变可能需要sysctl，如果你的服务器很繁忙，你可能会得到以下的错误信息：

如果想在以后避免这样的情况，使用下面命令在sysctl.conf（默认值4096）增加一下的内容，这样允许FreeBSD在IPFW中拥有创建和获取动态规则的权限。

或者你可以手动编辑sysctl.conf文件并增加“net.inet.ip.fw.dyn_max=65536”，这里的最大值为65535。

2.为你的防火墙增加一些基本规则

下面的内容可以自己自定义设置，这里我们将标准的服务端口加入防火墙：FTP、SSH、POP、SMTP/EXIM、DNS、HTTP、SSL和DirectAdmin的2222端口，你可以根据自己的实际情况修改相关的设置。

命令“setup limit src-addr ”是用来限制连接主机的IP数目，这是一个非常安全的方法，已经在非常多的大型服务器上成功的使用了很多年。

先修改/etc/ipfw.rules文件，采用命令：

将一下内容添加到文件内：
 

3.创建必要的DirectAdmin的封禁和解除封禁的脚本，并赋予执行的权限：

4.将文件准备好之后复制并粘贴以下内容：

block_ip.sh:

#!/bin/sh

 

SCRIPT=/usr/local/directadmin/scripts/custom/block_ip.sh

 

ip=$value $SCRIPT

 

exit $?;

#!/bin/sh

 

/sbin/ipfw table 10 list | sed 's//32 0//g'

 

exit 0;

现在核实一下DirectAdmin已经在BFM模块中提供了Block IPs的功能，就可以重启服务，来确保系统重启之后仍然可用，然后可以逐个检查其他的服务。