Prijeđi na sadržaj
Secret Knock
HR

Postavite poslužitelj fwknop

fwknop Autorizacija jednim paketom drži SSH zatvorenim dok ne stigne jedan šifrirani, autentificirani UDP paket. Ovi koraci postavljaju ga na Debian ili Ubuntu poslužitelju; najprije ga testirajte s računala, a zatim iste ključeve dodajte u Secret Knock.

1. Instalirajte i generirajte ključeve

Instalirajte poslužitelj i klijent, a zatim generirajte par ključeva. Sačuvajte izlaz: ista dva ključa unose se u access.conf i u Secret Knock.

sudo apt install fwknop-server fwknop-client
fwknop --key-gen          # prints KEY_BASE64 and HMAC_KEY_BASE64
Debian / Ubuntu

2. Dopustite SSH za SPA pakete

access.conf određuje što valjani paket smije otvoriti i koliko dugo.

SOURCE              ANY
OPEN_PORTS          tcp/22
KEY_BASE64          <output of fwknop --key-gen>
HMAC_KEY_BASE64     <output of fwknop --key-gen>
FW_ACCESS_TIMEOUT   30
/etc/fwknop/access.conf

3. Recite fwknopd gdje da osluškuje

fwknopd hvata pakete na sučelju; ne treba otvoren port. Postavite sučelje koje koristi vaš poslužitelj.

# /etc/fwknop/fwknopd.conf
PCAP_INTF               eth0;
PCAP_FILTER             udp port 62201;
MAX_SPA_PACKET_AGE      120;
/etc/fwknop/fwknopd.conf

4. Prema zadanim postavkama zatvorite SSH

Držite SSH sesiju otvorenom dok ovo radite i testirajte iz druge veze prije odjave. fwknopd umeće vlastiti lanac na vrh INPUT-a i ondje dodaje vremenski ograničen ACCEPT za svaki valjani paket.

sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -j DROP
iptables

5. Testirajte, a zatim dodajte vrata

Ponovno pokrenite fwknop-server, pošaljite paket s drugog računala i povežite se:

# from another machine: request SSH for the address the server sees (-R)
fwknop -A tcp/22 -R -D server.example.com \
    --key-base64-rijndael "<KEY_BASE64>" --key-base64-hmac "<HMAC_KEY_BASE64>"
ssh [email protected]
S računala s fwknop-client
  1. 1U aplikaciji Secret Knock: Nova vrata › Počni s predloškom › fwknop, unesite host i zalijepite izlaz naredbe fwknop --key-gen opcijom Zalijepi ključeve.
  2. 2Pokucajte; vrata prikazuju stanje „Vrata su odškrinuta” kada port 22 odgovara.
  3. 3Ako se to ne dogodi, na poslužitelju pokrenite fwknopd -f -v — vodič za rješavanje problema navodi uobičajene uzroke.

Svi primjeri na GitHubu → Svaka konfiguracija na ovoj stranici, spremna za kopiranje: github.com/mobilcomm/secretknock-examples (javno vlasništvo).

Pitanja

Treba li fwknopd otvoren port?

Ne. Čita pakete s mrežnog sučelja, pa SPA port može ostati zatvoren u vatrozidu; paket samo mora stići do poslužitelja.

Vodiči za vaše postavljanje