Amaga SSH darrere del port knocking

Amb knockd i nftables

Descarta SSH per defecte i accepta’l només des d’adreces d’un conjunt amb un temps d’expiració. knockd afegeix l’adreça que fa la trucada a aquest conjunt; nftables l’elimina quan s’esgota el temps d’expiració, i la sessió SSH establerta continua funcionant.

table inet filter {
    set knocked4 {
        type ipv4_addr
        flags timeout
    }
    chain input {
        type filter hook input priority 0; policy drop;
        ct state established,related accept
        iif "lo" accept
        tcp dport 22 ip saddr @knocked4 accept
    }
}

La secció de knockd que omple el conjunt:

[openSSH]
    sequence      = 7311:tcp,8822:tcp,9133:udp
    seq_timeout   = 10
    tcpflags      = syn
    start_command = /usr/sbin/nft add element inet filter knocked4 { %IP% timeout 30s }

Mantén separat l’accés permanent

Si també permets algunes adreces de manera permanent, mantén-les en un conjunt separat sense temps d’expiració. Afegir una adreça que ja és en un conjunt amb temps d’expiració no en reinicia el temporitzador, de manera que barrejar tots dos tipus d’entrada en un sol conjunt pot deixar-te sense accés quan s’esgoti el temps.

O fes servir fwknop

L’SPA de fwknop és més segura que una seqüència: un únic paquet xifrat i autenticat que no es pot reproduir. Consulta la guia de fwknop.

Del teu iPhone a SSH

1. 1Mantén premut el picaporta de llautó. Secret Knock comprova que el port 22 respon i mostra quant de temps es manté obert.
2. 2Obre SSH obre l’app SSH amb un enllaç ssh:// per al servidor.
3. 3L’opció «Mantén la porta oberta mentre es mostri la seva pantalla» torna a fer una trucada poc abans que acabi el període d’obertura, mentre la porta és a la pantalla.

Preguntes