Sakrijte SSH iza kucanja na portove

Uz knockd i nftables

Prema zadanim postavkama odbacite SSH i prihvatite ga samo s adresa u skupu s vremenskim ograničenjem. knockd dodaje adresu s koje se kuca u taj skup; nftables je uklanja po isteku vremenskog ograničenja, a uspostavljena SSH sesija nastavlja raditi.

table inet filter {
    set knocked4 {
        type ipv4_addr
        flags timeout
    }
    chain input {
        type filter hook input priority 0; policy drop;
        ct state established,related accept
        iif "lo" accept
        tcp dport 22 ip saddr @knocked4 accept
    }
}

Odjeljak za knockd koji popunjava skup:

[openSSH]
    sequence      = 7311:tcp,8822:tcp,9133:udp
    seq_timeout   = 10
    tcpflags      = syn
    start_command = /usr/sbin/nft add element inet filter knocked4 { %IP% timeout 30s }

Trajni pristup držite odvojeno

Ako nekim adresama dopuštate i trajni pristup, držite ih u zasebnom skupu bez vremenskog ograničenja. Dodavanje adrese koja je već u skupu s vremenskim ograničenjem ne poništava njezino vremensko ograničenje, stoga miješanje obje vrste unosa u jednom skupu može vam onemogućiti pristup kada vrijeme istekne.

Ili upotrijebite fwknop

fwknop SPA sigurniji je od slijeda: jedan šifrirani, autentificirani paket koji se ne može ponovno upotrijebiti. Pogledajte vodič za fwknop.

S iPhonea na SSH

1. 1Držite pritisnutim mjedeno kucalo. Secret Knock provjerava odgovara li port 22 i prikazuje koliko dugo ostaje otvoren.
2. 2Otvori SSH otvara vašu SSH aplikaciju s poveznicom ssh:// za poslužitelj.
3. 3Opcija „Drži vrata otvorenima dok je njihov zaslon uključen” ponavlja kucanje neposredno prije isteka vremenskog prozora, dok su vrata prikazana na zaslonu.

Pitanja