Klepanie na port: Najlepšie zabezpečenie, ktoré môžete mať na svojom počítači alebo serveri (nasadenie + konfigurácia)

Pozoruhodné prístavy (v angličtine klepanie portov) Je nepochybne prax, že všetci, ktorí spravujeme servery, by sme mali dobre vedieť, tu podrobne vysvetľujem, čo to je a ako to implementovať a nakonfigurovať 😉

Niektorí z nás, ktorí spravujeme server, majú práve teraz prístup SSH k tomuto serveru zmeníme predvolený port SSH a už nepoužíva port 22 a ostatní to jednoducho nechajú tak (niečo sa neodporúča), ale server povolil prístup SSH cez nejaký port a to už je „zraniteľnosť“.

s Klepanie na prístav môžeme dosiahnuť nasledovné:

1. Prístup SSH nie je povolený žiadnym portom. Ak máme napríklad SSH nakonfigurovaný pre port 9191, bude tento port (9191) zatvorený pre všetkých.
2. Ak niekto chce mať prístup na server pomocou SSH, zjavne to nebude môcť, pretože port 9191 je uzavretý ..., ale ak použijeme „magickú“ alebo tajnú kombináciu, otvorí sa tento port, napríklad:

1. Telnetujem na port 7000 servera
2. Urobím ďalší telnet na port 8000 servera
3. Urobím ďalší telnet na port 9000 servera
4. Server zistí, že niekto vytvoril tajnú kombináciu (dotykové porty 7000, 8000 a 9000 v tomto poradí) a otvorí port 9191, aby vyžiadal prihlásenie pomocou SSH (otvorí ho iba pre adresu IP, z ktorej bola táto kombinácia uspokojivá) .
5. Teraz, aby som zavrel SSH, som iba telnetoval na port 3500
6. Urobím ďalší telnet na port 4500
7. A nakoniec ďalší telnet na port 5500
8. Vykonaním tejto ďalšej tajnej kombinácie, ktorú server zistí, sa port 9191 opäť uzavrie.

Inými slovami, vysvetlenie tohto problému ešte jednoduchšie ...

s Klepanie na prístav náš server môže mať určité porty zatvorené, ale keď server zistí, že z X IP bola urobená správna kombinácia portov (konfigurácia predtým definovaná v konfiguračnom súbore) zjavne vykoná určitý príkaz (príkaz definované aj v konfiguračnom súbore).

Je to pochopené nie? 🙂

Ako nainštalovať démona pre klepanie portov?

Robím to s balíkom kopnutý, čo nám umožní veľmi, veľmi jednoduchým a rýchlym spôsobom implementovať a nakonfigurovať Klepanie na prístav.

Nainštalujte balík: knockd

Ako nakonfigurovať klepanie portov pomocou knockd?

Po nainštalovaní ho nakonfigurujeme, preto upravíme (ako root) súbor /etc/knockd.conf:

nano /etc/knockd.conf

Ako vidíte v tomto súbore, predvolená konfigurácia už existuje:

 Vysvetlenie predvolených nastavení je naozaj jednoduché.

- Najprv, UseSyslog znamená, že na zaznamenanie činnosti (denníka) použijeme / Var / log / syslog.
- Po druhé, v časti [OpenSSH] Práve tam budú samozrejme smerovať pokyny na otvorenie SSH. Najprv tu máme postupnosť portov (tajná kombinácia), ktorá je nakonfigurovaná predvolene (port 7000, port 8000 a nakoniec port 9000). Je zrejmé, že porty je možné meniť (v skutočnosti odporúčam), rovnako ako nemusia byť 3, môžu byť viac alebo menej, záleží to na vás.
- po tretie, seq_timeout = 5 znamená čas čakania na uskutočnenie kombinácie tajných portov. Predvolene je nastavená na 5 sekúnd, to znamená, že akonáhle začneme vykonávať klepanie na port (tj. Keď telnetujeme na port 7000), máme na dokončenie správnej sekvencie maximálne 5 sekúnd, ak uplynie 5 sekúnd a nedokončili sme klepanie na port, potom to bude jednoducho akoby bola sekvencia neplatná.
- štvrtý, povel netreba to moc vysvetlovat. Bude to jednoducho príkaz, ktorý server vykoná, keď zistí kombináciu definovanú vyššie. Príkaz, ktorý je nastavený v predvolenom nastavení, je otvoriť port 22 (zmeňte tento port pre svoj SSH) iba na adresu IP, ktorá vytvorila správnu kombináciu portov.
- piaty, tcpflags = syn V tomto riadku určíme typ paketov, ktoré server rozpozná ako platné pre klepajúci port.

Potom je tu sekcia na uzavretie SSH, že predvolená konfigurácia nie je nič iné ako rovnaká postupnosť portov vyššie, ale v opačnom poradí.

Tu je konfigurácia s niektorými úpravami:

 Ako spustiť knockd démona?

Na jeho spustenie musíme najskôr upraviť (ako root) súbor / etc / default / knockd:

nano /etc/default/knockd

Tam zmeníme riadok číslo 12, ktorý hovorí: «START_KNOCKD = 0»A keď zmeníme túto hodnotu na 0, budeme mať:«START_KNOCKD = 1«

Keď to urobíte teraz, jednoducho to spustíme:

service knockd start

A voila, je nakonfigurovaný a funkčný.

Prístav klepanie s funkciou knockd up and running!

Ako vidíte v predchádzajúcej konfigurácii, ak sa klepanie na port vykoná na port 1000, potom na 2000 a nakoniec na 3000, otvorí sa port 2222 (môj SSH), tu je iný počítač vykonávajúci klepanie na port:

Raz stlačím [Enter] na Knock No.1, na No.2 a nakoniec na No.3 sa otvorí port, tu je log:

Ako vidíte, pri klepaní na port 1000 bola zaregistrovaná fáza 1, potom v roku 2000 to bude fáza 2 a nakoniec v 3 s 3000, pričom sa vykoná príkaz, ktorý som deklaroval v súbore .conf, a je to.

Potom by sa port uzavrel iba klepaním na 9000, 8000 a nakoniec 7000, tu je protokol:

A tu končí vysvetlenie použitia 😀

Ako vidíte, klepanie portov je skutočne zaujímavé a užitočné, pretože aj keď nechceme otvoriť port iba po určitej kombinácii portov, príkaz alebo príkaz, ktorý server vykoná, sa môže líšiť, to znamená ... namiesto otvorenie portu môžeme vyhlásiť za zabitie procesu, zastavenie služby ako apache alebo mysql, atď ... limit je vaša fantázia.

No a zatiaľ článok ... Nie som zďaleka odborník v tejto veci, ale chcel som sa s vami podeliť o tento veľmi zaujímavý proces.

Zdravím 😀