Siirry sisältöön
Secret Knock
FI

Piilota SSH port knockingilla

Avoin SSH-portti kerää kirjautumisyrityksiä kaikkialta internetistä. Port knocking pitää portin suljettuna, kunnes osoitat tietäväsi salaisuuden — sitten se avaa portin vain osoitteellesi muutamaksi sekunniksi.

knockd ja nftables

Estä SSH oletusarvoisesti ja hyväksy se vain osoitteista, jotka ovat aikakatkaisulla varustetussa joukossa. knockd lisää koputtavan osoitteen tähän joukkoon; nftables poistaa sen, kun aikakatkaisu päättyy, ja muodostettu SSH-istunto toimii edelleen.

table inet filter {
    set knocked4 {
        type ipv4_addr
        flags timeout
    }
    chain input {
        type filter hook input priority 0; policy drop;
        ct state established,related accept
        iif "lo" accept
        tcp dport 22 ip saddr @knocked4 accept
    }
}
/etc/nftables.conf (ote)

Joukon täyttävä knockd-osio:

[openSSH]
    sequence      = 7311:tcp,8822:tcp,9133:udp
    seq_timeout   = 10
    tcpflags      = syn
    start_command = /usr/sbin/nft add element inet filter knocked4 { %IP% timeout 30s }
/etc/knockd.conf

Pidä pysyvä käyttöoikeus erillään

Jos sallit joitakin osoitteita myös pysyvästi, pidä ne erillisessä joukossa ilman aikakatkaisua. Jo aikakatkaisulla varustetussa joukossa olevan osoitteen lisääminen ei nollaa sen aikakatkaisua, joten molempien merkintätyyppien yhdistäminen samaan joukkoon voi lukita sinut ulos, kun ajastin päättyy.

Tai käytä fwknop

fwknop SPA on vahvempi kuin sarja: yksi salattu, todennettu paketti, jota ei voi toistaa. Katso fwknop-opas.

iPhonesta SSH:hon

  1. 1Pidä messinkistä kolkutinta painettuna. Secret Knock tarkistaa, että portti 22 vastaa, ja näyttää, kuinka kauan se pysyy avoinna.
  2. 2Avaa SSH avaa SSH-appisi palvelimen ssh://-linkillä.
  3. 3”Pidä ovi auki, kun sen näkymä on esillä” koputtaa automaattisesti uudelleen juuri ennen aikaikkunan päättymistä, kun oven näkymä on esillä.

Kaikki esimerkit GitHubissa → Jokainen tämän sivun määritys valmiina kopioitavaksi: github.com/mobilcomm/secretknock-examples (public domain).

Kysymyksiä

Korvaako tämä SSH-avaimet?

Ei. Port knocking piilottaa palvelun; säilytä vahvat SSH-avaimet ja poista myös salasanakirjautumiset käytöstä.

Oppaita määritystäsi varten