いままでずっと/var/log/messageに出ていたエラーメッセージ

hostname dhcpd: if hostname.network IN A rrset doesn’t exist
add hostname.network 300 IN A 192.168.1.2: timed out.

を出なくしようと、いろいろやってみることに。

環境は、FreeBSD7Releaseでやってます。

まず、bind（named）の設定変更をしてみた。

１．bindがDynamic DNSを受け付けなければならない。

これは結構すぐだと思ったのですが

BINDでDynamicDNS環境構築

allow-updateを/etc/namedb/named.confに加える。

だけで終わるはずだったのですが、なぜかうまくいかない。

エラーは、dns_rdata_fromtext: ./master/192.168.1.rev:2: near eol:
unexpected end of input

まあ書き込めないとのことなのでmasterディレクトリをchownしてbindにして、再起動。

で再起動した後に見るとさっきchownしたのが元に戻ってました。

で、/etc/namedbの下には、他にいくつかディレクトリがあって

いかにもっていう「dynamic」って言うディレクトリがしかもオーナーがbindってことで

ここのzoneファイルとrevファイルを置かないといけないようで、ここに配置することで

無事DNSのDynamic DNSの受け付け設定成功。

おそらくセキュリティあげるために変更になっているのだと思います。

２．でもこれだけでは、さっきのエラーは直らなくて、次の問題は

dhclientが/etc/resolve.confを書き換えてしまうため、
dhcpdが追加をISP側のnameserverに

問い合わせに行ってるようで、当然拒否とかつながらないわなってわけでした。

で/etc/dhclient.confにdhclientがdhcpサーバからもらう情報を選ぶというのがあって

resolv.conf が勝手に書き換わる：リファレンス – ZDNet Japan

をやってみたのですが、相変わらず書き換わってしまいました。

たぶん設定で絶対に全部送るって設定になってるのかな？どっちにしろこれでは

不都合なので、またいろいろ調べると

dhclient.confで上書きする設定をすることができるとのことなので

雨と樹海とFreeBSDとresolv.confを勝手に書き換えちゃ嫌

supersedeというコマンドで上書きをしてもらえるので、
これでdhclientによる/etc/resolve.conf

書き換えの被害は終了。

やっと初期のエラーはなくなりましたが、

zone ‘network’ allows updates by IP address, which is
insecure

ってエラー？が出るようになりました。探してみると

＠IT：Dynamic DNSとnsupdateコマンド（3/3）

IPアドレスでDNSupdateを受け付けるのは危険だよってことらしいですが、

起動時だけなのでいいかな。

FreeBSD7になって、入れなおそうかと思ったけど、

なんかうまくできなく挫折。

でも家にインターネットからリモートで入りたいので調べてみることに。

1番簡単なのは、SSHからの転送。

家のクライアントPCにリモートデスクトップしたいだけなので、

これが1番簡単なのでこれを使うことに。

というか、POPTOPいらないや。

3389番ポートだけ接続すればリモートデスクトップは成功しました。

sshへの辞書攻撃がうざいので、対策をしました。

いろいろ調べてみると結構いろいろソフトはあるようです。

SSHパスワード認証に対する総当たり攻撃への対抗ツール

この中で、bruteblockをチョイス。

現在FreeBSDとipfwで合致するのがこれだったので。

で、説明書をと思ったのですが、

BruteBlockV0.0.5

を呼んでもいまいちわかんない。

１．makeでインストールしろ、オプションなんてない。

２．コンフィグファイルを設定。見て大体わかったというかFreeBSDだと使える設定ファイルを

すでに用意してあったので、それを使用する。

（ちょっと違うところあるのでそれはauth.log見つつ変更うちの環境だと

May 19 10:28:01 hostname sshd[1119]: Invalid user aaron
from ???.???.???.???

ってなログが多くてうまく拾ってくれないことが多かった。)

３．Logがburuteblockに送られるようにする。

４．ipfwでtableで通信を遮断する設定を追加する。

（ここがはじめわからなかったが、ipfwにはtableという変数を使って設定することが可能。）

例にある。$(fwcmd) add deny ip from me to table\(1\)は、

ipfwがtable1に書いてある内容を遮断するということらしい。

いままで使用してなかったのでtableって何だろ？と思ってえらい調べました。

まあ、manに書いてあったのだけど、こういうときは真っ先にmanしないとだめですね。

ipfwには、tableが1～127くらい設定できてそれを変数として使用することが可能なようです。

コマンドで書くときは、括弧で囲んでそれをエンコードしないといけないので上のようになるらしい。

中ではipfw add deny ip from me to table(1)になる。

tableの番号は、コンフィグで書かれた番号なのでもし複数する場合は、変更する。

うまくいけば、複数回ログオン試行後にauth.logに以下のようなログが出力される

May 19 10:28:01 hostname bruteblock[863]: Adding 64.33.51.237
to the ipfw table 1

これで動作完了。

うるさいログが少しはマシになりそうです。