Skryte SSH pomocou port knockingu

S knockd a nftables

Predvolene SSH zahadzujte a prijímajte ho iba z adries v množine s časovým limitom. knockd pridá adresu, z ktorej zaklopávate, do tejto množiny; nftables ju po uplynutí časového limitu odstráni a nadviazané relácie SSH zostanú funkčné.

table inet filter {
    set knocked4 {
        type ipv4_addr
        flags timeout
    }
    chain input {
        type filter hook input priority 0; policy drop;
        ct state established,related accept
        iif "lo" accept
        tcp dport 22 ip saddr @knocked4 accept
    }
}

Sekcia knockd, ktorá napĺňa množinu:

[openSSH]
    sequence      = 7311:tcp,8822:tcp,9133:udp
    seq_timeout   = 10
    tcpflags      = syn
    start_command = /usr/sbin/nft add element inet filter knocked4 { %IP% timeout 30s }

Trvalý prístup uchovávajte oddelene

Ak niektoré adresy povoľujete aj trvalo, uchovávajte ich v samostatnej množine bez časového limitu. Pridanie adresy, ktorá už je v množine s časovým limitom, jej časový limit neobnoví, takže zmiešanie oboch typov záznamov v jednej množine vás môže po uplynutí časovača odstrihnúť od prístupu.

Alebo použite fwknop

fwknop SPA je silnejší než sekvencia: jeden šifrovaný a overený paket, ktorý nemožno opätovne použiť. Pozrite si príručku pre fwknop.

Z iPhonu do SSH

1. 1Podržte mosadzné klopadlo. Secret Knock skontroluje, či port 22 odpovedá, a zobrazí, ako dlho zostane otvorený.
2. 2Otvoriť SSH otvorí vašu aplikáciu SSH s odkazom ssh:// pre server.
3. 3Možnosť „Nechať dvere otvorené, kým je zobrazená ich obrazovka“ zaklope znova krátko pred koncom časového okna, keď sú dvere zobrazené na obrazovke.

Otázky