Ugrás a tartalomra
Secret Knock
HU

fwknop-kiszolgáló beállítása

A fwknop Single Packet Authorization zárva tartja az SSH-t, amíg meg nem érkezik egy titkosított, hitelesített UDP-csomag. Ezekkel a lépésekkel Debian- vagy Ubuntu-kiszolgálón állíthatja be; először számítógépről tesztelje, majd adja hozzá ugyanazokat a kulcsokat a Secret Knockhoz.

1. Telepítés és kulcsok létrehozása

Telepítse a kiszolgálót és a klienst, majd hozzon létre egy kulcspárt. Őrizze meg a kimenetet: ugyanaz a két kulcs kerül az access.conf fájlba és a Secret Knockba.

sudo apt install fwknop-server fwknop-client
fwknop --key-gen          # prints KEY_BASE64 and HMAC_KEY_BASE64
Debian / Ubuntu

2. SSH engedélyezése SPA-csomagokhoz

Az access.conf meghatározza, hogy egy érvényes csomag mit és mennyi időre nyithat meg.

SOURCE              ANY
OPEN_PORTS          tcp/22
KEY_BASE64          <output of fwknop --key-gen>
HMAC_KEY_BASE64     <output of fwknop --key-gen>
FW_ACCESS_TIMEOUT   30
/etc/fwknop/access.conf

3. Adja meg, hol figyeljen a fwknopd

A fwknopd egy hálózati interfészen fogja el a csomagokat; nincs szüksége nyitott portra. Állítsa be a kiszolgáló által használt interfészt.

# /etc/fwknop/fwknopd.conf
PCAP_INTF               eth0;
PCAP_FILTER             udp port 62201;
MAX_SPA_PACKET_AGE      120;
/etc/fwknop/fwknopd.conf

4. Alapértelmezés szerint zárja le az SSH-t

Tartson nyitva egy SSH-munkamenetet, és a kijelentkezés előtt egy második kapcsolatról teszteljen. A fwknopd saját láncot szúr be az INPUT tetejére, és minden érvényes csomaghoz időkorlátos ACCEPT szabályt ad hozzá.

sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -j DROP
iptables

5. Tesztelés, majd az ajtó hozzáadása

Indítsa újra a fwknop-server szolgáltatást, küldjön csomagot egy másik gépről, majd csatlakozzon:

# from another machine: request SSH for the address the server sees (-R)
fwknop -A tcp/22 -R -D server.example.com \
    --key-base64-rijndael "<KEY_BASE64>" --key-base64-hmac "<HMAC_KEY_BASE64>"
ssh [email protected]
Olyan számítógépről, amelyen fwknop-client fut
  1. 1A Secret Knockban: Új ajtó › Kezdés sablonból › fwknop — Single Packet Authorization, adja meg a gépnevet, majd a „Kulcsok beillesztése a fwknop --key-gen parancsból” lehetőséggel illessze be a fwknop --key-gen kimenetét.
  2. 2Kopogjon; az ajtó Résnyire nyitott ajtó állapotot mutat, amikor a 22-es port válaszol.
  3. 3Ha nem, futtassa a fwknopd -f -v parancsot a kiszolgálón — a hibaelhárítási útmutató felsorolja a szokásos okokat.

Minden példa a GitHubon → Az oldal minden konfigurációja másolásra készen: github.com/mobilcomm/secretknock-examples (közkincs).

Kérdések

Szüksége van a fwknopd szolgáltatásnak nyitott portra?

Nem. A hálózati interfészről olvassa a csomagokat, ezért az SPA-port zárva maradhat a tűzfalban; a csomagnak csak el kell érnie a kiszolgálót.

Útmutatók a beállításához