Μετάβαση στο περιεχόμενο
Secret Knock
EL

Ρυθμίστε έναν διακομιστή fwknop

Η Εξουσιοδότηση μεμονωμένου πακέτου του fwknop διατηρεί το SSH κλειστό μέχρι να φτάσει ένα κρυπτογραφημένο, επαληθευμένο πακέτο UDP. Αυτά τα βήματα το ρυθμίζουν σε διακομιστή Debian ή Ubuntu· ελέγξτε το πρώτα από έναν υπολογιστή και, στη συνέχεια, προσθέστε τα ίδια κλειδιά στο Secret Knock.

1. Εγκαταστήστε και δημιουργήστε κλειδιά

Εγκαταστήστε τον διακομιστή και τον πελάτη και, στη συνέχεια, δημιουργήστε ένα ζεύγος κλειδιών. Διατηρήστε την έξοδο: τα ίδια δύο κλειδιά εισάγονται στο access.conf και στο Secret Knock.

sudo apt install fwknop-server fwknop-client
fwknop --key-gen          # prints KEY_BASE64 and HMAC_KEY_BASE64
Debian / Ubuntu

2. Επιτρέψτε SSH για πακέτα SPA

Το access.conf ορίζει τι μπορεί να ανοίξει ένα έγκυρο πακέτο και για πόσο χρόνο.

SOURCE              ANY
OPEN_PORTS          tcp/22
KEY_BASE64          <output of fwknop --key-gen>
HMAC_KEY_BASE64     <output of fwknop --key-gen>
FW_ACCESS_TIMEOUT   30
/etc/fwknop/access.conf

3. Υποδείξτε στο fwknopd πού να παρακολουθεί

Το fwknopd καταγράφει πακέτα σε μια διεπαφή· δεν χρειάζεται ανοιχτή θύρα. Ορίστε τη διεπαφή που χρησιμοποιεί ο διακομιστής σας.

# /etc/fwknop/fwknopd.conf
PCAP_INTF               eth0;
PCAP_FILTER             udp port 62201;
MAX_SPA_PACKET_AGE      120;
/etc/fwknop/fwknopd.conf

4. Κλείστε το SSH από προεπιλογή

Διατηρήστε ανοιχτή μια συνεδρία SSH ενώ το κάνετε αυτό και ελέγξτε από δεύτερη σύνδεση προτού αποσυνδεθείτε. Το fwknopd εισάγει τη δική του αλυσίδα στην κορυφή του INPUT και προσθέτει εκεί ένα χρονικά περιορισμένο ACCEPT για κάθε έγκυρο πακέτο.

sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -j DROP
iptables

5. Ελέγξτε και, στη συνέχεια, προσθέστε την πόρτα

Επανεκκινήστε το fwknop-server, στείλτε ένα πακέτο από άλλο μηχάνημα και συνδεθείτε:

# from another machine: request SSH for the address the server sees (-R)
fwknop -A tcp/22 -R -D server.example.com \
    --key-base64-rijndael "<KEY_BASE64>" --key-base64-hmac "<HMAC_KEY_BASE64>"
ssh [email protected]
Από υπολογιστή με fwknop-client
  1. 1Στο Secret Knock: Νέα πόρτα › Έναρξη από πρότυπο › fwknop, εισαγάγετε τον κεντρικό υπολογιστή και επικολλήστε την έξοδο του fwknop --key-gen με την Επικόλληση κλειδιών.
  2. 2Χτυπήστε· η πόρτα εμφανίζει Πόρτα μισάνοιχτη όταν η θύρα 22 απαντά.
  3. 3Εκτελέστε fwknopd -f -v στον διακομιστή αν δεν γίνει αυτό — ο οδηγός αντιμετώπισης προβλημάτων παραθέτει τις συνήθεις αιτίες.

Όλα τα παραδείγματα στο GitHub → Κάθε διαμόρφωση αυτής της σελίδας, έτοιμη για αντιγραφή: github.com/mobilcomm/secretknock-examples (κοινό κτήμα).

Ερωτήσεις

Χρειάζεται το fwknopd ανοιχτή θύρα;

Όχι. Διαβάζει πακέτα από τη διεπαφή δικτύου, επομένως η θύρα SPA μπορεί να παραμείνει κλειστή στο τείχος προστασίας· το πακέτο χρειάζεται μόνο να φτάσει στον διακομιστή.

Οδηγοί για τη διαμόρφωσή σας