|
|
|
|
日々増大する中国からのスパムアクセス。全てのWebサーバ管理者が悩まされていると言っても過言ではないだろう。これを低コストで完璧に排除する活気的な方法を思いついたので、以下に提案する。キーワードは「発想の転換」である。
中国からのアクセスを弾くために
Deny from .cn |
という排除方法を考えてみる。この場合、問題が2つある。
1の速度面を我慢したとしても、「中国で利用されているホスト情報」というブラックリストが定義不能であるため、この方式は完全ではない。
発想を逆にして、ホワイトリストを定義してみる。話を簡単にするために、もう大雑把に「日本国内のみ」という条件での運用例を考える。
Allow from .jp |
これは期待通り動作しない。理由はブラックリストの場合と同じで、「日本国内で使われているIP」に対する完全性を満たさないからだ。しかし、これは「ホワイトリスト」が失敗した訳ではなく、「DNSが持つ表現力」が不十分であるという指摘に過ぎない。「全てのIPを列挙する」という方法で完全性を満たすことが可能だからだ。
実際にIPアドレスを記述すると無論爆発するためネットワークアドレスを列挙することになるが、問題はそのデータの所在である。これには「JPNIC 管理下の割り当てIP」のリストがピッタリだ。
(2010年04月01日現在) 27.0.16.0 - 27.0.31.255 27.0.32.0 - 27.0.47.255 27.34.128.0 - 27.34.159.255 ... |
| http://www.nic.ad.jp/ja/dns/ap-addr-block.html |
しかし、これにも問題がある。JPNIC 発足前に割り当てられた大学や民間企業の分が含まれていないからだ。
ここで再度、発想を逆転させてみる。「パンがなければ買ってくればいいじゃない」方式で、不足分を追加するという戦略を取る。幸い、不足分の特徴として
があるため、実現可能であろう。特に後者が重要で、このやり方を「中国のブラックリスト方式 (IP)」として適用しようとすると、ここが一番の障壁になると予想する。
さらに、これらを iptables で定義し、Kernel レベルでの排除を行う。これまで想定していた Web サーバによるアクセス制限では、DoS自体が防げないからだ。前述のホワイトリストが手元にあるというテイで行けば遂に完成！かと思われたが、
というランニングコストが発生してしまっている。これは「スクリプトを準備する」という初期コストに落とせるものの、
などを考慮していくと結構大変な作業になってしまう。なんか、いい方法はないものか？
ここで大きく発想を逆転させよう。今までのようにユーザが能動的に努力するのではなく、そういう仕組み(インフラ)を準備することを考える。うん、その方がDRYだし。そう、Cの
#include <stdio.h> |
のように、プログラミング言語の習得には「おまじない」が存在するのならば、Webサーバの管理にも「おまじない」が存在するのだと私は言いたい！
ということで、ユーザが、トップページのコンテンツに「おまじない」を入れるだけで
という夢のようなシステムを構築したので、紹介します。
<html>
<head>
<title>...</title>
<!-- ヒント：六四天安門事件 --> |
私のアイディアに賛同し、国を挙げてその実現・保守・運用に尽力してくれている中国政府に深く感謝したい。
| JRuby | Rails | Berryz | ℃-ute | エッグ | jQuery |
| 前 | 2010年 4月 |
次 | ||||
| 日 | 月 | 火 | 水 | 木 | 金 | 土 |
| 1 | 2 | 3 | ||||
| 4 | 5 | 6 | 7 | 8 | 9 | 10 |
| 11 | 12 | 13 | 14 | 15 | 16 | 17 |
| 18 | 19 | 20 | 21 | 22 | 23 | 24 |
| 25 | 26 | 27 | 28 | 29 | 30 | |
吹いたｗ<br>どうせならURLに「天安門」を含めれば、リクエストすら来ないかもｗ
素晴らしい。俺は鯖缶じゃないすけど。あと会社で声だして吹いた責任とって。
すばらしい発想！<br>事件の事を書いてるwikipedia英語版のURLとかさらに効果的そうですが・・・<br>で、これ試したんですか？
笑った。あと法輪功と赖喇嘛(達�鰉瓶�)を加えておけば完璧デスネ。
鬼才現るｗ
良いオチｗ<br>全てのHTML入門本に，これをおまじないとして紹介してもらわなくては…
でも、この方法だとhtmlのwebページしか制限出来なくね？<br>画像とかデータへのアクセスは素通りじゃないのかな？
あまりの素晴らしさに、SMTPでもできるんじゃ…と思ってメールサーバに仕込んでみたら、なんかinboundのSMTPトラフィックが減りました！ ありがとうございます！（ただ単にエラーで送れてないだけかもしれないですが…）
各国語に翻訳して展開する必要があります。至急！！
なるほど。で、本当に効果あるのかな。エイプリルフールのネタとかじゃなくて。
天才だー！
マジレスするとHTMLの送信が始まる前に止めるならhttpd.confかhtaccessで「Header append Comment "Free Tibet!"」とか書いた方がいいかも？<br>ヘッダーの部分で止められるかは要検証だけど。<br>その他にもレスポンスヘッダいじれるdaemonなら同様のことができる。
なるほど！目からウロコ！
先日SMTPでもできたと書いた者ですが、SMTPには効果がなかったみたいで、トラフィックが復活してました…というわけで"pekeq (2010-04-05 12:06)"の内容は誤りです。失礼しました
「活気的」→「画期的」