Pordi koputamine: parim turvalisus, mis teil arvutis või serveris võib olla (juurutamine + konfiguratsioon)

Rabavad sadamad (inglise keeles sadamas koputamine) See on kahtlemata praktika, mida me kõik, kes haldame servereid, peaksid hästi teadma, siin selgitan üksikasjalikult, mis see on ja kuidas seda rakendada ja konfigureerida 😉

Praegu on meil serverit haldavatel isikutel SSH-juurdepääs sellele serverile muudame SSH vaikeporti ja see ei kasuta enam porti 22 ja teised jätavad selle lihtsalt selliseks (midagi pole soovitatav), kuid serveril on SSH-juurdepääs mõne pordi kaudu lubatud ja see on juba "haavatavus".

koos Sadama koputamine saame saavutada järgmise:

1. Ükski port ei võimalda SSH-juurdepääsu. Kui meil on SSH konfigureeritud näiteks porti 9191 jaoks, on see port (9191) kõigi jaoks suletud.
2. Kui keegi soovib SSH-ga serverile juurde pääseda, ei saa ta seda ilmselgelt kasutada, kuna port 9191 on suletud ... aga kui kasutame „maagilist” või salajast kombinatsiooni, avatakse see port näiteks:

1. Telnetin serveri pordile 7000
2. Ma teen teise telneti serveri pordile 8000
3. Ma teen teise telneti serveri porti 9000
4. Server tuvastab, et keegi on teinud salajase kombinatsiooni (puutepordid 7000, 8000 ja 9000 selles järjekorras) ja avab pordi 9191, nii et SSH nõuab sisselogimist (see avab selle ainult selle IP jaoks, kust kombinatsioon tehti rahuldav).
5. Nüüd, et SSH sulgeda, telnetin porti 3500
6. Ma teen teise telneti porti 4500
7. Ja lõpuks veel üks telnet porti 5500
8. Selle teise salajase kombinatsiooni teostamine, mille server tuvastab, sulgeb pordi 9191 uuesti.

Teisisõnu, selgitades seda veelgi lihtsamalt ...

koos Sadama koputamine meie serveril võivad olla teatud pordid suletud, kuid kui server selle tuvastab X IP-s tehti õige pordikombinatsioon (konfiguratsioonifailis eelnevalt määratletud konfiguratsioon) täidab enda jaoks ilmselgelt teatud käsu (komando määratletud ka konfiguratsioonifailis).

Kas sellest saadakse aru, et pole? 🙂

Kuidas installida deemoni sadama koputamiseks?

Ma teen seda koos pakendiga riskima, mis võimaldab meil rakendamist ja seadistamist väga, väga lihtsal ja kiirel viisil Sadama koputamine.

Installige pakett: knockd

Kuidas seadistada pordi koputamist knockd-ga?

Pärast installimist jätkame selle konfigureerimist, selleks redigeerime faili (juurena) /etc/knockd.conf:

nano /etc/knockd.conf

Nagu näete selles failis, on juba vaikekonfiguratsioon:

 Vaikesätete selgitamine on tõesti lihtne.

- Esiteks KasutaSyslogi tähendab, et tegevuse (logi) salvestamiseks kasutame / var / log / syslog.
- Teiseks, jaotises [openSSH] Sealt lähevad ilmselgelt SSH avamise juhised, kõigepealt on meil vaikimisi konfigureeritud sadamate jada (salajane kombinatsioon) (port 7000, port 8000 ja lõpuks port 9000). Ilmselt saab porte muuta (tegelikult ma soovitan seda), samuti ei pea need tingimata olema 3, need võivad olla enam-vähem, see sõltub sinust.
- Kolmandaks seq_timeout = 5 tähendab aega, et oodata salajase sadama kombinatsiooni toimumist. Vaikimisi on see seatud 5 sekundit, see tähendab, et kui alustame pordi koputamist (see tähendab, kui me ühendume telneti porti 7000), on õige järjestuse lõpuleviimiseks aega maksimaalselt 5 sekundit, kui möödub 5 sekundit ja ei ole veel pordi koputamist lõpetanud, siis lihtsalt tundub, et jada oleks vale.
- neljandaks, käsk see ei vaja palju selgitusi. See on lihtsalt käsk, mille server täidab, kui ta tuvastab ülalkirjeldatud kombinatsiooni. Vaikimisi määratud käsk on avatud port 22 (muuda see port oma SSH-pordi jaoks) ainult sellele IP-le, mis tegi õige pordikombinatsiooni.
- viies tcpflags = sün Selle reaga määrame pakettide tüübi, mille server tunnistab koputusporti jaoks kehtivateks.

Siis on SSH sulgemiseks jaotis, et vaikekonfiguratsioon pole midagi muud kui sama pordijärjestus ülal, kuid vastupidises järjekorras.

Siin on konfiguratsioon koos mõningate muudatustega:

 Kuidas käivitada koputatav deemon?

Selle käivitamiseks peame kõigepealt faili (juurena) muutma / etc / default / knockd:

nano /etc/default/knockd

Seal muudame rida number 12, mis ütleb: «START_KNOCKD = 0»Ja muutke 0 väärtuseks 1, oleksime:«START_KNOCKD = 1«

Kui see on nüüd tehtud, alustame seda lihtsalt:

service knockd start

Ja voila, see on konfigureeritud ja töötab.

Sadama koputamine koputades üles ja töötab!

Nagu eelmises konfiguratsioonis näete, kui pordi koputus tehakse pordile 1000, seejärel 2000-le ja lõpuks 3000-le, siis avaneb port 2222 (minu SSH), siin on ka teine ​​arvuti, mis täidab pordi koputamist:

Kui vajutan klahvi [Enter] nuppu Knock nr 1, nr 2 ja lõpuks nr 3, avaneb port, siin on logi:

Nagu näete, siis kui pordi 1000 koputamisel registreeriti 1. etapp, siis 2000 on 2. etapp ja lõpuks 3 koos 3000-ga, kui seda tehakse, käivitatakse .conf-is deklareeritud käsk ja kõik.

Siis oleks sadama sulgemiseks koputada ainult 9000, 8000 ja lõpuks 7000, siin on logi:

Ja noh, siin lõpeb kasutamise selgitus 😀

Nagu näete, on pordi koputamine tõeliselt huvitav ja kasulik, sest kuigi me ei soovi lihtsalt pordi avada pärast teatud pordikombinatsiooni, võib käsk või käsk, mida server täidab, erineda, see tähendab ... pordi avamisel võime kuulutada protsessi tapmise, peatada sellise teenuse nagu apache või mysql jne ... piiriks on teie kujutlusvõime.

Noh ja siiani artikkel ... Ma pole selles küsimuses kaugeltki ekspert, kuid tahtsin teiega jagada seda väga huvitavat protsessi.

Tervitused 😀