我的服务器被SSHguard导致SSHguard超载，它不能够快速添加规则。 因此，像这样的行被写入控制台：
ipfw: ipfw_install_state: add parent failed
我查看了tcpdump输出，并确定了一些IP数据包以过高的速率发送数据包，并添加了我期望阻止它们的ipfw规则。 但是，它看起来像ipfw完全忽略规则。
这是我在我的ipfw.rules的开始：
# Flush all rules before we begin. ipfw -q -f flush # Set rules command prefix cmd="ipfw -q add " # interface name of NIC attached to Internet if0="re0" $cmd 00002 deny all from 173.68.0.0/16 to any via $if0
这是我希望被阻止的一些stream量（我的域名在这里被编辑）：
11:37:13.044882 IP pool-173-68-25-180.nycmny.fios.verizon.net.32833 > example.com.domain: 1+ [1au] TXT? mpaaweb.com. (40) 11:37:13.045134 IP pool-173-68-25-86.nycmny.fios.verizon.net.7839 > Dreamer.domain: 1+ [1au] TXT? mpaaweb.com. (40) 11:37:13.045606 IP pool-173-68-25-72.nycmny.fios.verizon.net.30920 > Dreamer.domain: 1+ [1au] TXT? mpaaweb.com. (40) 11:37:13.046964 IP pool-173-68-25-118.nycmny.fios.verizon.net.26615 > Dreamer.domain: 1+ [1au] TXT? mpaaweb.com. (40) 11:37:13.047560 IP pool-173-68-25-68.nycmny.fios.verizon.net.58940 > example.com.domain: 1+ [1au] TXT? mpaaweb.com. (40) 11:37:13.047854 IP pool-173-68-25-80.nycmny.fios.verizon.net.26410 > Dreamer.domain: 1+ [1au] TXT? mpaaweb.com. (40) 11:37:13.048870 IP pool-173-68-25-52.nycmny.fios.verizon.net.31944 > example.com.domain: 1+ [1au] TXT? mpaaweb.com. (40) 11:37:13.048942 IP pool-173-68-25-170.nycmny.fios.verizon.net.20492 > Dreamer.domain: 1+ [1au] TXT? mpaaweb.com. (40) 11:37:13.053217 IP pool-173-68-25-138.nycmny.fios.verizon.net.43959 > example.com.domain: 1+ [1au] TXT? mpaaweb.com. (40) 11:37:13.053289 IP pool-173-68-25-15.nycmny.fios.verizon.net.51797 > example.com.domain: 1+ [1au] TXT? mpaaweb.com. (40) 11:37:13.053790 IP pool-173-68-25-207.nycmny.fios.verizon.net.1603 > Dreamer.domain: 1+ [1au] TXT? mpaaweb.com. (40) 11:37:13.053947 IP pool-173-68-25-126.nycmny.fios.verizon.net.63928 > Dreamer.domain: 1+ [1au] TXT? mpaaweb.com. (40) 11:37:13.056090 IP pool-173-68-25-172.nycmny.fios.verizon.net.59782 > Dreamer.domain: 1+ [1au] TXT? mpaaweb.com. (40)
我的过滤规则有什么问题吗？ 他们似乎在早些时候工作 – 但也可能是当我编辑ipfw.rules文件时攻击者切换到不同的IP范围 – 每当我看，有更多的IP地址被使用。
# uname -a FreeBSD Dreamer 10.3-RELEASE-p16 FreeBSD 10.3-RELEASE-p16 #2: Fri Mar 3 05:28:31 EST 2017 [email protected]:/usr/obj/usr/src/sys/GENERIC amd64
TL; DR
我抬头看了看mpaaweb.com因为他们似乎在所有这些过量的stream量中被提及，并且我从2010年发现了一篇关于4chan击中MPAA（美国电影协会）网站的DDoS攻击文章。 这让我觉得有人正在尝试将我的服务器用作DDoS机器的一部分。 如果是这样的话，我该怎么找？