Port Knocking: La millor seguretat que pots tenir al teu ordinador o servidor (Implementació + Configuració)

Cop de ports (En anglès port Knocking) És sense cap dubte una pràctica que bé tots els que administrem servidors hauríem de conèixer, aquí els explico detalladament què és això i com implementar i configurar això 😉

Ara mateix els que administrem algun servidor tenim accés SSH a aquest servidor, alguns canviem el port per defecte de SSH i ja no fa servir el port 22 i uns altres simplement ho deixen així (cosa no recomanat), no obstant el servidor té habilitat l'accés per SSH mitjançant algun port i això ja és una 'vulnerabilitat'.

Amb Port Knocking podem aconseguir el següent:

1. L'accés SSH no està habilitat per cap port. Si tenim SSH configurat pel port 9191 (per exemple) aquest port (9191) estarà tancat per a tothom.
2. Si algú vol accedir per SSH a servidor no podrà òbviament, ja que el port 9191 està tancat ... però, si fem servir una combinació 'màgica' o secreta se'ns obrirà aquest port, per exemple:

1. Faig una telnet a el port 7000 de l'servidor
2. Faig un altre telnet a el port 8000 de l'servidor
3. Faig un altre telnet a el port 9000 de l'servidor
4. El servidor detecta que algú ha efectuat la combinació secreta (tocar els ports 7000, 8000 i 9000 en aquest ordre) i obrirà el port 9191 perquè se sol·liciti el login per SSH (l'obrirà només per a la IP des de la qual es va fer la combinació de ports satisfactòria).
5. Ara per tancar SSH simplement faig un telnet a port 3500
6. Faré un altre telnet a port 4500
7. I finalment un altre telnet a port 5500
8. A l'efectuar aquesta altra combinació secreta que el servidor detecta, es tancarà el port 9191 de nou.

O sigui, explicant de forma encara més simple això ...

Amb Port Knocking el servidor nostre podrà tenir determinats ports tancats, però quan el server detecti que des X IP es va efectuar la combinació de ports correcta (configuració prèviament definida en un fitxer de configuració) Executarà ordre determinada en ell mateix òbviament (Comando també definit a l'arxiu de configuració).

¿S'entén no? 🙂

Com instal·lar un dimoni per a Port Knocking?

Jo ho faig amb el paquet kockd, Que ens permetrà de forma molt però molt simple i ràpida poder implementar i configurar Port Knocking.

Instal·lin el paquet: knockd

Com configurar Port Knocking amb knockd?

Un cop instal·lat passem a configurar-lo, per això vam editar (com a root) l'arxiu /etc/knockd.conf:

nano /etc/knockd.conf

Com podran veure en aquest arxiu ja ve una configuració per defecte:

 Explicar la configuració per defecte és realment simple.

- Primer, UseSyslog significa que per a registrar activitat (log) es farà servir / var / log / syslog.
- Segon, a la secció [OpenSSH] és on òbviament aniran les instruccions per obrir SSH, primerament tenim la seqüència de ports (la combinació secreta) que està configurada per defecte (port 7000, port 8000 i finalment port 9000). Òbviament els ports es poden canviar (de fet ho recomano) així com no han de ser 3 obligatòriament, poden ser més o menys, depèn de vostès.
- Tercer, seq_timeout = 5 significa el temps que s'esperarà perquè s'efectuï la combinació secreta de ports. Per defecte està posat 5 segons, això vol dir que un cop comencem a efectuar el port Knocking (o sigui, que quan fem un telnet a port 7000) tenim màxim 5 segons per acabar la seqüència correcta, si passen 5 segons i no hem culminat el port Knocking llavors simplement serà com si la seqüència no hagués estat vàlida.
- Quart, comanda no necessita de molta explicació. Aquest serà simplement la comanda que el servidor executarà quan detecti la combinació abans definida. La comanda que està posat per defecte el que fa és obrir el port 22 (canviïn aquest port pel de la seva SSH) només a la IP que va efectuar la combinació correcta de ports.
- Cinquè, tcpflags = syn amb aquesta línia especifiquem el tipus de paquets que reconeixerà el servidor com a vàlids per al port Knocking.

Després hi ha la secció per tancar el SSH, que la configuració per defecte no és més que la mateixa seqüència de ports anterior però en ordre contrari.

Aquí els deixo una configuració amb algunes modificacions:

 Com iniciar el daemon knockd?

Per iniciar-lo primer hem de modificar (com a root) l'arxiu / Etc / default / knockd:

nano /etc/default/knockd

Aquí canviem la línia número 12 que diu: «START_KNOCKD = 0»I canviar aquest 0 per un 1, ens quedaria:«START_KNOCKD = 1«

En aquest punt ara simplement el vam iniciar:

service knockd start

I ja està, ja està configurat i funcionant.

Port Knocking amb knockd en funcionament!

Com poden veure en la configuració anterior, si es fa un port knock a port 1000, després a l'any 2000 i finalment a l'3000 llavors s'obrirà el port 2222 (el meu SSH), doncs bé aquí un altre ordinador executant el port knock:

Un cop premeu [Enter] al Knock No.1, al No.2 i finalment en el No.3 s'obrirà el port, aquí els deixo el log:

Com poden veure a l'fer el knock a port 1000 es va registrar l'stage (pas) 1, després a l'any 2000 serà l'stage 2 i finalment a el 3 amb el 3000, a l'fer això s'executa la comanda que li vaig declarar al .conf i llest .

Després per tancar el port només seria fer un knock a al 9000, 8000 i finalment a el 7000, aquí els deixo el log:

I bé aquí acaba l'explicació d'ús 😀

Com poden veure, el Port Knocking és veritablement interessant i útil, ja que si bé no volem simplement obrir un port després de determinada combinació de ports, la comanda o ordre que el servidor executarà pot variar, és a dir ... en comptes d'obrir un port podem declarar que mati un procés, atureu un servei com apatxe o mysql, etc ... el límit és la seva imaginació.

Bé i fins aquí l'article ... no sóc ni de lluny un expert en aquesta matèria però volia compartir amb vostès aquest tan interessant procés.

Salutacions 😀