うちもあちこち、ＩＰアドレスでアクセス制限をかけています。
ただ、このWebForumってシステムは、それぞれの記事の投稿者のＩＰアドレスを
ログに残すようになっているので、それを確認するようにすれば、少なくとも過
去に投稿したことのある人については、アクセス制限をかけないようにすること
が可能でしょう。
一応、私はそういうようにしているつもりですが、でも、確認が漏れてしまうと
いうのはままあることでして。もっとも、それ以前の問題というか、うちの場合
は頻繁にサーバが落ちているのをなんとかする必要がありそうなんですが。

> 　1オクテットで制限してしまったので， 

やるなぁ。
あ、でも、今確認したら、私のところでも、一番ざっくりと制限しているところ
は９ビットマスクで制限していたので、大して変わらんか。

> 　当面，IP 制限を自粛します。スパムが怖いなぁ…

他に有効な手立てがないのであれば、慎重に運用するという条件で、この方法を
使うしかないのではないかと思います。もっとも、罠認証欄程度の、大して負担
にならない方法を導入することがお勧めですけどね。

> ただ、このWebForumってシステムは、それぞれの記事の投稿者のＩＰアドレスを
> ログに残すようになっているので、それを確認するようにすれば、少なくとも過
> 去に投稿したことのある人については、アクセス制限をかけないようにすること
> が可能でしょう。

ＩＰは変動するので、私は常連さんの名前で制限除外しています。本当は
自動登録できればいいんですが、時間もスキルも足りないなぁ。
登録した常連さん以外はいろいろ書き込み制限を掛けているので、書き込めなくて
困っている人もいるかもしれませんが、そういうひとはメールくださいね。

> あ、でも、今確認したら、私のところでも、一番ざっくりと制限しているところ
> は９ビットマスクで制限していたので、大して変わらんか。

９ビットマスクで国や地域を特定できるとしたら効果有りそうですね。
どういうものかちょっと気になります。

> ＩＰは変動するので、私は常連さんの名前で制限除外しています。

これってどういうふうになっているのですか？
登録済みの人（過去に書き込みをしたことのある人）はＵＲＬを本文に書き込め
るけど、そうでない人は本文にＵＲＬを書き込めない、ということでしょうか。
だとすると、なんか、身分を詐称した書き込みが発生するような気もします。

ちなみに、ＩＰアドレスは変動するといっても、変動幅っていうのは同一のプロ
バイダの範囲内なわけですから、実質的には、あるプロバイダを許可する・拒否
する、という事と変わらないわけです。きちんと設定すれば、ですけど。

> 自動登録できればいいんですが、時間もスキルも足りないなぁ。

時間はともかく、自動登録が実装できるようになれば、かなりスキルは身につく
でしょう。ただ、もっと簡単に実装できて比較的効果の高い方法が他にもたくさ
んあるので、無理して勉強する必要もないと思いますけど。

> ９ビットマスクで国や地域を特定できるとしたら効果有りそうですね。
> どういうものかちょっと気になります。

このスクリプトそのものの制限機能や、うちで使っているサーバのソフトウェア
の機能としては、オクテット単位、すなわち８ビット単位でしか指定できないよ
うです。が、うちの場合、サーバの負荷を減らすという意味から、サーバの手前
のファイヤーウォール（ルータ）で制限しています。うちで使っているルータの
場合、民生用の古い機種のわりにはこの手の制限機能が充実しています。
具体的にどのようにしているかというと、例えば128.128.128.64から不正なアク
セスがあった場合、128.128.128/24をアクセス禁止、というようにします。これ
で、最後の８ビットだけが異なるＩＰアドレスからのアクセスは禁止となります。
もし次に128.128.129.32から不正なアクセスがあれば、今度は128.128.128/23を
アクセス禁止にしますし、アクセス元が128.128.0.1であれば128.128.0/16を禁止
する、という風にしています。制限範囲を拡大する場合には、一応、過去に投稿
されたことのあるＩＰアドレスが制限に引っかからないように気をつけてはいる
のですが、何となく不安は残ります。

この書き込みをしている時点でどのくらい制限をしているか数えてみましたが、
全部で５９種類。

　netmask　　
　ビット長　　設定数　２４ビットマスク換算
　２４　　　　４８　　　　　　４８
　２１　　　　　１　　　　　　　８
　１９　　　　　１　　　　　　３２
　１８　　　　　３　　　　　１９２
　１７　　　　　１　　　　　１２８
　１６　　　　　３　　　　　７６８
　１３　　　　　１　　　　２０４８
　　９　　　　　１　　　３２７６８

２４ビットマスク換算で約３．６万個分ぐらいを規制している事になるんだ。
これだけ規制をかけても、設定に間違いがなければ、過去にうちに書き込んだこ
とがある人は、アクセス禁止をくらっていないはず。ちょっと弱気だけどね。

> これってどういうふうになっているのですか？
> 登録済みの人（過去に書き込みをしたことのある人）はＵＲＬを本文に書き込め
> るけど、そうでない人は本文にＵＲＬを書き込めない、ということでしょうか。

そうです。登録は手動ですが。あとURL書き込みは1つだけOKだったかもしれません。

> だとすると、なんか、身分を詐称した書き込みが発生するような気もします。

普通の掲示板ならいくらでも詐称できますよね。だからこれについてはなにもして
ません。(^^;
ID表示とかで対策しているところもあるようですが、うちでやるなら、名前とＩＰ
の両方チェックすればよさそうですね。必要性はあまり感じないですが。

> ちなみに、ＩＰアドレスは変動するといっても、変動幅っていうのは同一のプロ
> バイダの範囲内なわけですから、実質的には、あるプロバイダを許可する・拒否
> する、という事と変わらないわけです。きちんと設定すれば、ですけど。

例えばスパマーが@niftyだったりしてもＩＰで問題なく制限できるんでしょうか。

> 時間はともかく、自動登録が実装できるようになれば、かなりスキルは身につく
> でしょう。ただ、もっと簡単に実装できて比較的効果の高い方法が他にもたくさ
> んあるので、無理して勉強する必要もないと思いますけど。

必要な(やりたかった)機能はほぼ実装できたし、今は安定して運用できているので
勉強の意欲は無くなってますね。となると、私の性格からして、簡単なほうを選択
してしまいますね。(^^;

> 具体的にどのようにしているかというと、例えば128.128.128.64から不正なアク
> セスがあった場合、128.128.128/24をアクセス禁止、というようにします。これ
> で、最後の８ビットだけが異なるＩＰアドレスからのアクセスは禁止となります。
> もし次に128.128.129.32から不正なアクセスがあれば、今度は128.128.128/23を
> アクセス禁止にしますし、アクセス元が128.128.0.1であれば128.128.0/16を禁止
> する、という風にしています。制限範囲を拡大する場合には、一応、過去に投稿
> されたことのあるＩＰアドレスが制限に引っかからないように気をつけてはいる
> のですが、何となく不安は残ります。

う〜む、ビット演算だと思いますが、理屈がよくわからないです。(^^;
wforumなら、128.128.128.* とやるのと同じなんですよね。
もしこれに引っ掛かった場合は掲示板が見られないんですよね。それを考えると
私には導入できないなぁ。今までいくつか見れない掲示板を見た気がしますが、
ＩＰ規制のせいだったのかなぁ。

> この書き込みをしている時点でどのくらい制限をしているか数えてみましたが、
> 全部で５９種類。

５９種類というからリストがずらずら〜と思ってしまいましたが、たった８行
なんですね。

ちなみにうちの過去ログから私のＩＰの先頭の数字を拾ってみると
 59, 202, 219, 220 などとなっています。全て@niftyのはずですが、自信なし。
もちろん各列の数字は全て変動しており、固定された数字は有りませんね。
一見バラバラに見えるこれらの数字列もなんらかの規則によって決まるんで
しょうね。

> 例えばスパマーが@niftyだったりしてもＩＰで問題なく制限できるんでしょうか。

@niftyの全ユーザのうちの一部を制限する、という形になりますからね。
問題は出まくりでしょう。

> う〜む、ビット演算だと思いますが、理屈がよくわからないです。(^^;

ネットワーク技術者初級クラスの問題かも。

> wforumなら、128.128.128.* とやるのと同じなんですよね。

そうそう。イメージ的には「128.128.128/24 == 128.128.128.*」でＯＫですね。
で、wforumならアスタリスクで指定できるところが８ビット単位だよ、というの
が、#2686で書いた

> このスクリプトそのものの制限機能や、うちで使っているサーバのソフトウェア
> の機能としては、オクテット単位、すなわち８ビット単位でしか指定できない

という部分です。

> もしこれに引っ掛かった場合は掲示板が見られないんですよね。それを考えると
> 私には導入できないなぁ。今までいくつか見れない掲示板を見た気がしますが、
> ＩＰ規制のせいだったのかなぁ。

それはお客様の対象をどう考えるかでしょうね。
例えば、海外からのお客様は切り捨てる、ということであれば、ＩＰアドレス規
制は抵抗なく導入できるでしょう。めざらさんの場合はこのパターンですね。
うちの場合は、迷惑度の大きいお客様に対しては、そのプロバイダに加入してい
る他のお客様も連帯責任でアクセス規制となってしまいますが、これはまぁ仕方
ないかな、と。
もしかしたら今でもそうかもしれませんが、かつて、２ちゃんでは、多量の迷惑
書き込みがあったら、一定時間、そのアクセス元のプロバイダからの接続を遮断
する、という方法を取ったそうです。これなんかは、うちの考え方にわりと近い
と思います。うちのケーブルテレビ屋も、昔、加入者の誰かがその手のアクセス
をしたようで、その時はこのケーブルテレビ屋がまるごと遮断されたとか。期間
は数時間か数日間かは知りませんけどね。私自身は２ちゃんは年に数回しかアク
セスしないので実害は皆無でしたが、うちの弟は思いっきり蹴っ飛ばされていた
ようで、ぼやくことぼやくこと。
現実的には、スパムの踏み台にされてしまったホストがあって、そのアドレスを
ピンポイントで規制したとしても、時間の経過に伴ってそのホストのアドレスが
変化してしまう可能性は高いでしょう。ただ、変化するとしても、同一のプロバ
イダの割り当て範囲をはみ出ることはないでしょうから、ある程度の範囲で規制
すれば、少なくともピンポイントで規制した時よりは規制の効果が持続する期間
が長いかな、という読みもあるわけです。

> ５９種類というからリストがずらずら〜と思ってしまいましたが、たった８行
> なんですね。

本当の規制リストを出すと、５９行もずらずら〜、となります。
ちょっとそれは迷惑だな、と思って自粛しました。
実際のリストを出すと差し障りがあるかもしれませんけど、イメージとしては、
以下のような感じですかね。

123.4.56.0/24   
78.91.11.0/24    
128.128.128.0/17 
56.56.56.0/24    
（後略）

これだと、２４ビットマスクが３つに１７ビットマスクが１つ、ですね。
前回出したのは、何ビットマスクで指定しているものがいくつあるか、というリ
ストです。

>  59, 202, 219, 220 などとなっています。全て@niftyのはずですが、自信なし。

Win2k/XPであれば、コマンドプロンプトで使えるツールに、nslookupというもの
があります。コマンドラインからＩＰアドレスを指定して

 >nslookup 59.202.219.220

とかって感じで打ってみてください。

> @niftyの全ユーザのうちの一部を制限する、という形になりますからね。
> 問題は出まくりでしょう。

う〜む、やっぱりスパマーだけをマスクするのは無理ですか。

> ネットワーク技術者初級クラスの問題かも。

うう、私には初級でも難しいということかぁ。(++;

> それはお客様の対象をどう考えるかでしょうね。
> 例えば、海外からのお客様は切り捨てる、ということであれば、ＩＰアドレス規
> 制は抵抗なく導入できるでしょう。めざらさんの場合はこのパターンですね。

これが問題の発端ですが、海外だけと思って網を掛けても一部の国内のＩＰまで
引っ掛かってしまうとなると、怖くて使えないなぁ、となってしまいます。
128.128.*　ぐらいでマスクすれば大丈夫なのかなぁ。

> 本当の規制リストを出すと、５９行もずらずら〜、となります。
> ちょっとそれは迷惑だな、と思って自粛しました。

あ、そうでしたか。あの8行で全てを網羅しているのかと。(^^;

> >  59, 202, 219, 220 などとなっています。全て@niftyのはずですが、自信なし。
> Win2k/XPであれば、コマンドプロンプトで使えるツールに、nslookupというもの
> があります。コマンドラインからＩＰアドレスを指定して
>  >nslookup 59.202.219.220
> とかって感じで打ってみてください。

おお、こんな便利なコマンドがあったんですね。
ところで、ちょっと紛らわしい書き方だったですが、私の言いたかったことは、
59.86.*
219.117.*
220.148.*
これらのＩＰが皆私のＩＰで、一台のルータで出力していて、同じプロバイダだった
ということです。202.は違ってましたが。
こんなにばらばらではマスクしようがないですね。

> う〜む、やっぱりスパマーだけをマスクするのは無理ですか。

かなり無理っぽいですね。
仮にピンポイントで規制したところで、踏み台にされてしまっている人の場合、
本人にはスパマーだという自覚はないわけで。

> うう、私には初級でも難しいということかぁ。(++;

ネットワーク技術者であれば、「ＩＰアドレス」の意味で「ＩＰ」という言葉を
使うことは絶対ありませんから、その点からも、konnoさんはパンピーであること
が確認されます。

> これが問題の発端ですが、海外だけと思って網を掛けても一部の国内のＩＰまで
> 引っ掛かってしまうとなると、怖くて使えないなぁ、となってしまいます。

このへんは、しかるべきサイトで検索をかければ、どのプロバイダはどの範囲の
ＩＰアドレスを保有しているか、というのはすぐ出てきますので、その範囲から
逸脱しないように規制をかけるようにすれば大丈夫でしょう。実際、私はそうし
ています。

> ところで、ちょっと紛らわしい書き方だったですが、私の言いたかったことは、

大丈夫ですよ。
元発言からも、先頭の１バイトときちんと理解できましたし。
私の方は、例示としてあの値を使っただけですから。
別に、59.59.59.59でもなんでもよかったんですが。

> こんなにばらばらではマスクしようがないですね。

だから、複数のマスクを駆使する格好になるのです。
スクリプトの機能では、多分、アクセスさせないものを指定するしかなかったか
と思いますが、ルータには、このＩＰアドレスはアクセスさせる、ということを
明示的に指定できる機能もあったりします。

> ネットワーク技術者であれば、「ＩＰアドレス」の意味で「ＩＰ」という言葉を
> 使うことは絶対ありませんから、その点からも、konnoさんはパンピーであること
> が確認されます。

おっと、そういえば私はその道のプロと話してたんでしたね。(^^;

> このへんは、しかるべきサイトで検索をかければ、どのプロバイダはどの範囲の
> ＩＰアドレスを保有しているか、というのはすぐ出てきますので、その範囲から
> 逸脱しないように規制をかけるようにすれば大丈夫でしょう。実際、私はそうし
> ています。

ぐぐってみたら、こんなサイトが有りました。ここはいろいろなテストとかもあります。
ドメイン/IPアドレス【whois情報検索】
http://www.cman.jp/network/support/ip.html

ここに、最近多いスパムIP「 220.219.68.*」を入れたところ、

inetnum: 220.219.0.0 - 220.219.247.255 　　　これが範囲？
netname: INFOWEB 
descr: InfoWeb(Fujitsu Ltd.) 
country: JP　　　→　（日本） 

と出ました。さらに、としきさんの仰っていた範囲指定も
 割り振り] 220.219.0.0/16 

と出てました。この範囲は上の範囲と同じなのかな。
 

けっこう自宅サーバーなサイトが検索にかかりましたが、ここのサイトなどは
http://cmf.ohtanz.com/blog/archives/59
サーバーが落ちたらメールで知らせる仕組みをやっていたりして、ついつい
読んでしまいましたが、自宅サーバーでもドメインの更新が必要なんですね。
通常プロバイダなら自動更新なのでつい忘れてしまうようですね。大変だ。

> おっと、そういえば私はその道のプロと話してたんでしたね。(^^;

一般人でも、正しい用語を使った方が各方面との意思の疎通が円滑になるという
効果は期待できますがね。私自身は、専門家ではないという条件付きで、そんな
に目くじらを立てるべきほどのことではないと思っております。
でもね、この「ＩＰアドレス」と「ＩＰ」、かつてのＴＴＹの時代のニフティの
ネットワーク系のフォーラムでは、結構きつい突っ込みが入りまくっていたんで
すよ。そりゃぁもう、ハードウェア系のフォーラムにおける「内蔵」と「内臓」
の間違いに匹敵するくらいに。最近はどうなんだろ、例えば、２ちゃんねるなん
かでこの手の書き込みをすると、かわいそうな人を見るような目つきというか、
そんな感じで遇されるような気がします。もしかしたら思いっきり罵倒されるか
もしれないけど。

似ているけどちょっと違うのが、ネットワークの疎通を確認するのに使うpingと
いうコマンドの発音問題があります。日本語では「ピング」と発音する人がほと
んどですね。多分、８割を越えているでしょう。もしかしたら９割以上かも。で
も、これ、pingpongと同じですから、英語では「ピン」という発音になります。
元々の由来は潜水艦のアクティブソナーから来ているようですね。
一応、ネットワーク技術者であれば、建前は原語を知っている事になっています
から、たとえば電話で「ピンが通らないんですけど」といわれた時にずっこけた
対応をしてはいけない（特に私の職場は電話での故障受付ですからなおさら）な
んですが、ではこちらからいう時にはどう言うかというと、やっぱり「ピング」
だったりしてしまうわけです。
でもね、これ、私は個人的には英語が悪いと思っております。
だって、ソナーの応答のことだと思いますが、pingerは英語でも「ピンガー」と
発音するし、動詞の現在分詞のpingingも「ピンギング」だし。

ちょっと余談が長くなりすぎました。


> ドメイン/IPアドレス【whois情報検索】

おぉ、ここはいいですね。
自動で該当のネットワーク管理組織に問い合わせしてくれるのはありがたいです。

> と出てました。この範囲は上の範囲と同じなのかな。

なんか微妙に違うような気もする。
普通は 220.219.0.0/16 といえば 220.219.0.0 - 220.219.255.255 です。

> 読んでしまいましたが、自宅サーバーでもドメインの更新が必要なんですね。

ん？
なんか誤解していそう。
この方の場合、自宅サーバ用にドメインを取得されているようです。
で、企業だろうと個人だろうと、取得したドメインは更新手続が必要なのです。
私の場合は自宅サーバ用にドメインを取得していませんから、この手の苦労とは
無縁です。というか、ドメインを取っているのは地主のケーブルテレビ屋ですか
ら、そこが更新手続を忘れると大問題ですけど。
自動更新というのはないはずなんだけど、最近はあるのかなぁ。
プロバイダがきちんと仕事をしているから、一般の利用者からすると自動更新に
見えるだけであって、裏では一人の誠実な労働者が平凡な日常業務をこなしてい
るだけ、ということだったりしそうです。

> でもね、この「ＩＰアドレス」と「ＩＰ」、かつてのＴＴＹの時代のニフティの
> ネットワーク系のフォーラムでは、結構きつい突っ込みが入りまくっていたんで
> すよ。そりゃぁもう、ハードウェア系のフォーラムにおける「内蔵」と「内臓」
> の間違いに匹敵するくらいに。

うう、そうでした。ＩＰと言えば、Internet Protocol という意味でしたね。
「アドレス」を省略したら何のことか分からないですよね。すみませんでした。
そういえば私は「ＨＰ」とかでも突っ込まれるほどいい加減な奴だったのでした。

> おぉ、ここはいいですね。
> 自動で該当のネットワーク管理組織に問い合わせしてくれるのはありがたいです。

あ、そうなんですか。よくわかってませんでしたが、便利そうですねぇ。(^^;

> なんか微妙に違うような気もする。
> 普通は 220.219.0.0/16 といえば 220.219.0.0 - 220.219.255.255 です。

そうなんですか？　最後の数字列を伏字にしたせいかなぁ。

> 私の場合は自宅サーバ用にドメインを取得していませんから、この手の苦労とは
> 無縁です。というか、ドメインを取っているのは地主のケーブルテレビ屋ですか
> ら、そこが更新手続を忘れると大問題ですけど。

あ、そうでした。なぜか自宅サーバ＝独自ドメインというイメージを持ってしまって。
更新を忘れてサーバーダウンというのをあちこちで見かけたものでつい要らぬ心配を
してしまいました。(^^;

> 自動更新というのはないはずなんだけど、最近はあるのかなぁ。
> プロバイダがきちんと仕事をしているから、一般の利用者からすると自動更新に
> 見えるだけであって、裏では一人の誠実な労働者が平凡な日常業務をこなしてい
> るだけ、ということだったりしそうです。

スクリプトや専用ソフトで自動更新とかなら有りそうな気もしますがねぇ。
大手のプロバイダで手動ではとても追いつかないのではないかなぁ。(^^;
数十人がかりでやってたりして。(^^; マサカ
例えば、メルアドの空きを調べるのなんかも自動ですよねぇ。

> 　1オクテットで制限してしまったので， 世界じゅうの 256分の 1の人のアク
> セスを禁止したことになります。それがたまたま Konno さんに当たるとわ。

私はくじ運は相当悪いほうなんですが、こんなのに当たっても嬉しくないなぁ。
というか、ちょっとこれはそうとう猛烈に極悪なのではないかしらん。(^^;

掲示板に書き込んだ人の中には先頭が同じ人はいないかもしれませんが、うちの
アクセスログで見ると、一日に一人くらいはアクセスしているようですよ。
ＩＰサーチ（一日5回までなのね）で見ると、OCN、DION、SONETなどでした。
これが実はスパマーだったりして。(^^;

> 　当面，IP 制限を自粛します。スパムが怖いなぁ…

うちでは今はＩＰ制限はせず、ＵＲＬによる書き込み制限がメインだったと思います。
まあ、複合的な仕掛けでからくり屋敷みたいになってしまって自分でも落とし穴に
はまってしまったり。（スパムよりも弄るほうが怖かったりして(^^;）