Pieskaršanās ostai: vislabākā drošība, kāda var būt jūsu datorā vai serverī (izvietošana + konfigurācija)

Pārsteidzošas ostas (angļu valodā ostas klauvēšana) Neapšaubāmi tā ir prakse, kas mums visiem, kas pārvalda serverus, būtu labi jāzina, šeit es detalizēti paskaidroju, kas tas ir un kā to ieviest un konfigurēt 😉

Patlaban tiem no mums, kas pārvalda serveri, ir SSH piekļuve šim serverim, dažiem mēs mainām SSH noklusējuma portu un tas vairs neizmanto 22. portu, un citi to vienkārši atstāj (kaut kas nav ieteicams), tomēr serverim ir iespējota SSH piekļuve, izmantojot kādu portu, un tā jau ir “ievainojamība”.

ar Ostas klauvēšana mēs varam sasniegt sekojošo:

1. SSH piekļuvi nav iespējojis neviens ports. Ja mums ir konfigurēts SSH portam 9191 (piemēram), šis ports (9191) būs slēgts visiem.
2. Ja kāds vēlas piekļūt serverim, izmantojot SSH, tas acīmredzot nevarēs, jo ports 9191 ir slēgts ... bet, ja mēs izmantojam “burvju” vai slepenu kombināciju, šī osta tiks atvērta, piemēram:

1. Es telnet uz servera 7000 portu
2. Es veicu vēl vienu telnet uz servera 8000 portu
3. Es veicu vēl vienu telnet uz servera 9000 portu
4. Serveris konstatē, ka kāds ir izveidojis slepeno kombināciju (šajā secībā pieskarieties pieslēgvietām 7000, 8000 un 9000) un atvērs 9191. portu, lai pieprasītu pieteikšanos, izmantojot SSH (tas tiks atvērts tikai tam IP, no kura kombinācija tika apmierināta) .
5. Tagad, lai aizvērtu SSH, es tikai telnet uz 3500 portu
6. Es izdarīšu vēl vienu telnet 4500. portam
7. Un visbeidzot vēl viens telnets uz 5500 portu
8. Veicot šo citu slepeno kombināciju, ko serveris atklāj, atkal tiks aizvērts ports 9191.

Citiem vārdiem sakot, izskaidrojot to vēl vienkāršāk ...

ar Ostas klauvēšana mūsu serverim var būt slēgtas noteiktas ostas, bet, kad serveris to konstatē no X IP tika izveidota pareizā porta kombinācija (konfigurācija, kas iepriekš definēta konfigurācijas failā) izpildīs noteiktu komandu sev acīmredzami (desantnieks definēts arī konfigurācijas failā).

Vai tas nav saprotams? 🙂

Kā instalēt dēmonu ostas klauvēšanai?

Es to daru kopā ar iepakojumu riskēt, kas ļaus mums ļoti, ļoti vienkārši un ātri ieviest un konfigurēt Ostas klauvēšana.

Instalējiet pakotni: knockd

Kā konfigurēt ostas klauvēšanu ar knockd?

Pēc instalēšanas mēs turpinām to konfigurēt, tāpēc mēs rediģējam (kā root) failu /etc/knockd.conf:

nano /etc/knockd.conf

Kā redzat šajā failā, jau ir noklusējuma konfigurācija:

 Noklusējuma iestatījumu izskaidrošana ir patiešām vienkārša.

- Pirmkārt, UseSyslog nozīmē, ka aktivitātes (žurnāla) reģistrēšanai mēs to izmantosim / var / log / syslog.
- Otrkārt, sadaļā [openSSH] Acīmredzot iet instrukcijas SSH atvēršanai, vispirms mums ir pēc noklusējuma konfigurēta ostu secība (slepenā kombinācija) (ports 7000, ports 8000 un visbeidzot ports 9000). Acīmredzot ostas var mainīt (faktiski es to iesaku), kā arī tām nav obligāti jābūt 3, tās var būt vairāk vai mazāk, tas ir atkarīgs no jums.
- Treškārt, seq_timeout = 5 nozīmē laiku, kad jāgaida, kamēr notiks slepenā ostas kombinācija. Pēc noklusējuma tā ir iestatīta 5 sekundes, tas nozīmē, ka, tiklīdz mēs sākam klauvēt pie porta (tas ir, kad mēs telnetam uz portu 7000), mums ir maksimums 5 sekundes, lai pabeigtu pareizo secību, ja paiet 5 sekundes neesat pabeidzis ostas klauvēšanu, tad vienkārši būs tā, it kā secība būtu nederīga.
- Ceturtkārt, komanda tam nav vajadzīgs daudz paskaidrojumu. Tā vienkārši būs komanda, kuru serveris izpildīs, atklājot iepriekš definēto kombināciju. Komanda, kas ir iestatīta pēc noklusējuma, ir tā, ka tā ir atvērta 22. ports (mainiet šo portu savam SSH portam) tikai uz IP, kas izveidoja pareizo ostu kombināciju.
- piektais, tcpflags = syn Ar šo rindiņu mēs norādām pakešu veidu, ko serveris atpazīs kā derīgu klauvēšanas portam.

Tad ir sadaļa SSH aizvēršanai, ka noklusējuma konfigurācija ir nekas cits kā tā pati ostu secība iepriekš, bet pretējā secībā.

Šeit ir konfigurācija ar dažām modifikācijām:

 Kā sākt knockd dēmonu?

Lai to sāktu, vispirms ir jāpārveido (kā root) fails / etc / default / knockd:

nano /etc/default/knockd

Tur mēs mainām 12. rindiņu, kurā teikts: «START_KNOCKD = 0»Un mainiet 0 uz 1, mums būtu:START_KNOCKD = 1«

Kad tas ir izdarīts tagad, mēs to vienkārši sākam:

service knockd start

Un voila, tas ir konfigurēts un darbojas.

Ostas pieklauvēšana ar sasistu un skriešanu!

Kā redzat iepriekšējā konfigurācijā, ja tiek veikts porta pieskāriens portam 1000, tad līdz 2000 un visbeidzot līdz 3000, tad tiks atvērts ports 2222 (mans SSH), labi, šeit ir vēl viens dators, kas izpilda porta klauvēšanu:

Kad es nospiedīšu [Enter] uz Knock Nr.1, uz Nr.2 un visbeidzot uz Nr.3, tiks atvērta osta, šeit ir žurnāls:

Kā redzat, kad pieklauvējot 1000 portu, tika reģistrēts 1. posms, tad 2000. gads būs 2. un visbeidzot 3. posms ar 3000, to darot, tiek izpildīta komanda, kuru es paziņoju .conf, un viss.

Tad, lai aizvērtu ostu, būtu tikai pieklauvēt 9000, 8000 un visbeidzot 7000, šeit ir žurnāls:

Un nu šeit beidzas lietošanas skaidrojums 😀

Kā redzat, pieskaršanās ostai ir patiesi interesanta un noderīga, jo, lai arī mēs nevēlamies vienkārši atvērt portu pēc noteiktas ostu kombinācijas, komanda vai rīkojums, ko serveris izpildīs, var atšķirties, tas ir, nevis ... atverot portu, mēs varam paziņot, ka nogalinām procesu, apturam pakalpojumu, piemēram, apache vai mysql, utt. ... ierobežojums ir jūsu iztēle.

Nu un līdz šim raksts ... Es vēl neesmu eksperts šajā jautājumā, bet es gribēju dalīties ar jums šajā ļoti interesantajā procesā.

Sveiciens 😀