Rivalry2

HTML Diff

1 added 1 removed

Original 2026-01-01

Modified 2026-03-10

1 Теги: linux, centos 7.5, ssh, port knocking, фаерволл, firewall, iptabels, iptables-services, iptables recent, iptables.rules, nmap

2 Иногда возникает необходимость СОВСЕМ-СОВСЕМ обезопасить доступ поsshна сервер. Например, когда у вас начальник страдает паранойей. Кто-то закрывает доступ для рута, другие ограничивают доступ для всех адресов, кроме конкретных. Мы же в данной заметке рассмотрим так называемыйPort Knockingспособ.

3 Суть его заключается в следующем: настройки доступа (читай фаервола) требуют определённой последовательности подключений к определённым же закрытым портам. После того, как эта последовательность соблюдена, фаерволл открывает определённый порт для подключения.

4 <h2>Введение</h2>

5 Для реализации нам потребуется: • Тестовый Linux сервер - можете взять свой любимый дистрибутив • Пакетыiptabelsиiptables-services• Модульiptables recent

6 Модульrecentнам понадобится для того, чтобы определять "стучался" ли в недавнем времени определенный IP-адрес в нужный нам порт. На основе этих данных можно строить последующую логику. Например, открывать определённый порт на короткий промежуток времени. Как раз то, что нам нужно!

7 Как всегда настраивая правилаiptablesбудьте осторожны с применением настроек. Вы можете потерять коннект до хоста навсегда. Тем более если у вас нет консоли. Продумайте пути отката.

8 Для своего стенда я буду использоватьCentOS 7.5.

9 <h2>Приступим</h2>

10 Итак, у нас есть сервер с IP-адресом192.168.11.101. Нам необходимо запретить до него доступ всем, кроме тех, кто знает "как правильно постучаться". Последовательность портов будет такая:8881 7777 9991

11 - Создаём длинное правило на се��вере. Записываем его в файлiptables.rules:

11 + Создаём длинное правило на сервере. Записываем его в файлiptables.rules:

12 *filter :INPUT DROP [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] :TRAFFIC - [0:0] :SSH-INPUT - [0:0] :SSH-INPUTTWO - [0:0] -A INPUT -j TRAFFIC -A TRAFFIC -p icmp --icmp-type any -j ACCEPT -A TRAFFIC -m state --state ESTABLISHED,RELATED -j ACCEPT -A TRAFFIC -m state --state NEW -m tcp -p tcp --dport 22 -m recent --rcheck --seconds 30 --name SSH2 -j ACCEPT -A TRAFFIC -m state --state NEW -m tcp -p tcp -m recent --name SSH2 --remove -j DROP -A TRAFFIC -m state --state NEW -m tcp -p tcp --dport 9991 -m recent --rcheck --name SSH1 -j SSH-INPUTTWO -A TRAFFIC -m state --state NEW -m tcp -p tcp -m recent --name SSH1 --remove -j DROP -A TRAFFIC -m state --state NEW -m tcp -p tcp --dport 7777 -m recent --rcheck --name SSH0 -j SSH-INPUT -A TRAFFIC -m state --state NEW -m tcp -p tcp -m recent --name SSH0 --remove -j DROP -A TRAFFIC -m state --state NEW -m tcp -p tcp --dport 8881 -m recent --name SSH0 --set -j DROP -A SSH-INPUT -m recent --name SSH1 --set -j DROP -A SSH-INPUTTWO -m recent --name SSH2 --set -j DROP -A TRAFFIC -j DROP COMMITНа сервере выполняем команды:

13 systemctl start iptables systemctl enable iptables iptables-restore < iptables.rules service iptables saveТеперь доступ есть только у тех, кто знает нашу последовательность. Я буду "стучаться" с помощьюnmap. Для этого напишем простенький скрипт:

14 #!/bin/bash HOST=$1 shift for ARG in "$@" do sudo nmap -Pn --max-retries 0 -p $ARG $HOST DoneЗапускаем его:

15 chmod + x knock.sh && ./knock.sh 192.168.11.101 8881 7777 9991Теперь у нас есть 30 секунд для подключения. Если не успели за этот интервал, то придётся запускать скрипт заново.

16 <h2>Заключение</h2>

17 В итоге мы закрыли доступ поsshдля всех, кроме "знающих". Остаётся, мизерная вероятность того, что кто-то в этот же 30 секундный промежуток попытается зайти на ваш сервер! Но это настолько маловероятно, да и вы сами знаете про стандартные средства защиты.

18 Есть вопрос? Напишите в комментариях!