Блокировка спамеров с mod

mod_defensible — модуль Apache 2, который использует DNSBL для проверки IP-клиентов и возвращает 403 для занесённых в чёрные списки адресов. В этой инструкции показано, как установить модуль на Debian Etch, настроить приоритеты пакетов, добавить серверы DNSBL и отладить распространённые ошибки. Если нужна более современная альтернатива — прочитайте раздел «Альтернативы».

Введение

mod_defensible проверяет IP-клиентa через DNS-блок-листы (DNSBL) и при совпадении блокирует доступ с кодом 403 Forbidden. Это полезный дополнительный уровень защиты от спам-ботов, скрипт-кидди и известных атакующих. Настройка выполняется на уровне Apache и не требует изменений в приложениях.

Краткие определения:

DNSBL — список IP-адресов, помеченных как источники спама/атаки; запросы к DNSBL возвращают информацию о статусе IP.
Debian Etch — старый релиз Debian; инструкция ориентирована на систему Etch с установкой пакета из Lenny.

Требования

Сервер Debian Etch с правами root.
Подключение к Интернету и доступ к зеркалам Debian.
Установленный Apache2 (будет показано) и инструменты apt.

Важно: установка пакета libapache2-mod-defensible в Etch требует использования пакета из Lenny и корректной настройки приоритетов apt, чтобы не нарушить остальную систему.

Установка Apache2 и mod_defensible

Отредактируйте /etc/apt/sources.list и добавьте репозиторий Lenny, чтобы можно было установить libapache2-mod-defensible:

vi /etc/apt/sources.list

Пример содержимого /etc/apt/sources.list:

deb http://ftp2.de.debian.org/debian/ etch main
deb-src http://ftp2.de.debian.org/debian/ etch main

deb http://ftp2.de.debian.org/debian/ lenny main

deb http://security.debian.org/ etch/updates main contrib
deb-src http://security.debian.org/ etch/updates main contrib

Задайте приоритеты, чтобы по умолчанию использовались пакеты из Etch, а не из Lenny:

vi /etc/apt/preferences

Добавьте:

Package: *
Pin: release a=etch
Pin-Priority: 700

Package: *
Pin: release a=lenny
Pin-Priority: 650

Примечание: если в вашем /etc/apt/sources.list используются имена stable/testing вместо etch/lenny — используйте те имена в /etc/apt/preferences.

Обновите индекс пакетов:

apt-get update

Если apt-get update выбрасывает ошибки вроде “Segmentation fault…” или “E: Dynamic MMap ran out of room”, увеличьте лимит кеша APT:

vi /etc/apt/apt.conf

Добавьте строку:

APT::Cache-Limit "100000000";

Снова выполните:

apt-get update

Обновите систему и установите Apache с модулем:

apt-get upgrade
apt-get install apache2 libapache2-mod-defensible libudns0

Включите модуль и перезагрузите конфигурацию Apache:

a2enmod defensible
/etc/init.d/apache2 force-reload

Если вы хотите полностью перезапустить Apache:

/etc/init.d/apache2 restart

Конфигурация mod_defensible

Откройте главный конфиг Apache и добавьте параметры mod_defensible перед виртуальными хостами:

vi /etc/apache2/apache2.conf

Пример вставки в конец файла:

# Include generic snippets of statements
Include /etc/apache2/conf.d/

DnsblUse On
DnsblServers httpbl.abuse.ch sbl-xbl.spamhaus.org
DnsblNameserver 145.253.2.75

# Include the virtual host configurations:
Include /etc/apache2/sites-enabled/

Описание ключевых опций:

DnsblUse On — включает модуль.
DnsblServers — список DNSBL, через пробел; можно добавлять свои серверы.
DnsblNameserver — DNS-сервер для запросов к DNSBL; указывайте быстрый и надёжный резолвер, иначе Apache может зависать при DNS-запросах.

После изменений перезапустите Apache:

/etc/init.d/apache2 restart

Если IP занесён в один из указанных DNSBL, клиент получит HTTP 403 Forbidden.

Отладка и распространённые ошибки

Проблема: Apache очень медленно обслуживает страницы после включения мод_defensible. Причина: медленный или недоступный резолвер DNS. Решение: укажите DnsblNameserver на быстрый DNS (например, локальный резолвер или адрес вашего провайдера).
Проблема: apt-get update завершился с ошибкой памяти. Решение: увеличить APT::Cache-Limit, как показано выше.
Проблема: пакет не устанавливается из-за конфликтов версий. Решение: проверьте /etc/apt/preferences и корректность репозиториев; при необходимости вручную скачайте .deb и проанализируйте зависимости.

Когда это не сработает

Если злоумышленник использует динамический прокси или ботнет с большим числом адресов, DNSBL может не покрыть все IP.
Если злоумышленник использует ваш CDN/обратный прокси и IP клиента всегда подменяется — модуль будет видеть IP прокси, а не реального клиента; в этом случае блокировка будет неэффективна.
DNSBL содержит ложные срабатывания; всегда проверяйте логи прежде чем блокировать критичный трафик.

Альтернативные подходы

Fail2ban — блокирует IP на уровне iptables по шаблонам логов (полезно для SSH, FTP, веб-приложений).
Mod_security — WAF для фильтрации HTTP-запросов по правилам.
Блокировка на уровне сети/файрвола (iptables, nftables) — эффективна для снижения нагрузки.

Каждый инструмент можно комбинировать: mod_defensible для оперативной отбраковки известных плохих IP + fail2ban для реагирования на повторяющиеся атаки.

Модель принятия решения

Цель: блокировать известные источники спама без ложных срабатываний.
Если у вас простой публичный веб-сервер и доступ к apt — mod_defensible даёт быстрый эффект.
Если вы используете CDN или сложную прокси-архитектуру — думайте о WAF или сетевом блокировании.

Пример простого алгоритма (Mermaid):

flowchart TD
  A[Поступил HTTP-запрос] --> B{Есть ли X-Forwarded-For?}
  B -->|Да| C[Использовать последний реальный IP]
  B -->|Нет| D[Использовать IP соединения]
  C --> E[Проверить DNSBL]
  D --> E
  E -->|В чёрном списке| F[Вернуть 403]
  E -->|Не в списке| G[Обработать запрос дальше]

Роли и чеклисты

Администратор:

Проверить /etc/apt/sources.list и /etc/apt/preferences.
Выполнить apt-get update и apt-get install.
Проверить зависимые пакеты (libudns0).
Включить модуль и перезапустить Apache.

DevOps/Инженер по безопасности:

Добавить подходящие DNSBL-серверы.
Настроить DnsblNameserver на быстрый резолвер.
Мониторить логи Apache на предмет ложных срабатываний.

Разработчик приложения:

Убедиться, что блокировка на уровне Apache не мешает тестовым или интеграционным вызовам.

Критерии приёмки

mod_defensible установлен и включён (a2query или a2enmod подтверждают статус).
В конфиге Apache присутствуют директивы DnsblUse, DnsblServers и DnsblNameserver.
При запросе с IP, занесённого в выбранный DNSBL, сервер возвращает 403.
Обычный трафик не замедлился заметно после установки (проверка по ответам сервера и времени отклика).

План отката (runbook)

Если модуль вызывает проблемы, отключите его:

a2dismod defensible
/etc/init.d/apache2 restart

Если проблема вызвана добавлением репозитория Lenny, удалите или закомментируйте строку в /etc/apt/sources.list и восстановите /etc/apt/preferences.
Если установлены несовместимые пакеты из Lenny — определите их и переустановите версии из Etch или выполните downgrade.

Советы по безопасности и соглашениям

Не полагайтесь только на DNSBL для защиты критичных систем.
Регулярно обновляйте списки и контролируйте лог-файлы на ложные срабатывания.
Учитывайте юридические и политические аспекты блокировки IP в вашей стране и у провайдера.

Справочные ссылки

Apache: http://httpd.apache.org
Debian: http://www.debian.org
mod_defensible: http://julien.danjou.info/mod_defensible.html

Вывод

mod_defensible даёт простой способ блокировать известные вредоносные IP на уровне Apache через DNSBL. На старых системах, таких как Debian Etch, потребуется осторожно подключить репозиторий Lenny и настроить приоритеты apt. Всегда тестируйте конфигурацию и мониторьте логи, а при необходимости комбинируйте с другими средствами защиты.