যাদের নিজেদেরকে, তাদের প্রিয়জনকে, SSH/RDP/অন্যান্য, একটি ছোট RTFM/spur-এর মাধ্যমে বিশ্বের যেকোন স্থান থেকে তাদের সার্ভারে অ্যাক্সেস দিতে হবে।

আমাদের হাতের যেকোনো ডিভাইস থেকে VPN এবং অন্যান্য ঘণ্টা এবং বাঁশি ছাড়াই করতে হবে।

এবং যাতে আপনাকে সার্ভারের সাথে খুব বেশি ব্যায়াম করতে হবে না।

আপনি এই জন্য প্রয়োজন knockd, সোজা অস্ত্র এবং কাজ 5 মিনিট.

"সবকিছুই ইন্টারনেটে," অবশ্যই (এমনকি চালুও হাব্রে), কিন্তু যখন এটি একটি নির্দিষ্ট বাস্তবায়নের কথা আসে, তখন এটি শুরু হয়...

আমরা একটি উদাহরণ হিসাবে ফেডোরা/সেন্টস ব্যবহার করে অনুশীলন করব, কিন্তু তাতে কিছু যায় আসে না।

স্পারটি এই বিষয়ে নতুন এবং বিশেষজ্ঞ উভয়ের জন্যই উপযুক্ত, তাই মন্তব্য থাকবে, তবে সেগুলি ছোট হবে।

1. সার্ভার

• নক সার্ভার ইনস্টল করুন:
  yum/dnf install knock-server

• এটি কনফিগার করুন (উদাহরণস্বরূপ ssh এ) - /etc/knockd.conf:

  [options]
      UseSyslog
      interface = enp1s0f0
  [SSHopen]
      sequence        = 33333,22222,11111
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
      cmd_timeout     = 3600
      stop_command    = iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
  [SSHclose]
      sequence        = 11111,22222,33333
      seq_timeout     = 5
      tcpflags        = syn
      command         = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

  "খোলা" অংশটি 1 ঘন্টা পরে স্বয়ংক্রিয়ভাবে বন্ধ করার জন্য সেট করা হয়েছে৷ আপনি কখনো জানেন না...

• /etc/sysconfig/iptables:

  ...
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 11111 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 22222 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 33333 -j ACCEPT
  ...

• এগিয়ে:

  service iptables restart
  service knockd start

• আপনি ভার্চুয়াল উইন্ডোজ সার্ভারের ভিতরে ঘুরতে থাকা RDP যোগ করতে পারেন (/etc/knockd.conf; আপনার স্বাদ অনুসারে ইন্টারফেসের নাম প্রতিস্থাপন করুন):

  [RDPopen]
      sequence        = 44444,33333,22222
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -t nat -A PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
      cmd_timeout     = 3600
      stop_command    = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
  [RDPclose]
      sequence        = 22222,33333,44444
      seq_timeout     = 5
      tcpflags        = syn
      command         = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2

  আমরা কমান্ড দিয়ে সার্ভারে ক্লায়েন্ট থেকে আমাদের সমস্ত কিক ট্র্যাক করি iptables -S.

2. রেক গাইড

knockd.conf:

মানাতেও সবকিছু রয়েছে (তবে এটি সঠিক নয়), তবে নকড এমন একজন বন্ধু যিনি বার্তাগুলির সাথে বেশ কৃপণ, তাই আপনাকে খুব সতর্ক থাকতে হবে।

• সংস্করণ
  Fedora/CentOS সংগ্রহস্থলে, আজকের জন্য সর্বশেষ নকড হল 0.63। কে UDP চায় - 0.70 প্যাকেট দেখুন।
• ইন্টারফেস
  ডিফল্ট Fedora/CentOS কনফিগারেশনে এই লাইনটি না. আপনার হাত দিয়ে যোগ করুন, অন্যথায় এটি কাজ করবে না।
• সময় শেষ
  এখানে আপনি আপনার স্বাদ অনুযায়ী চয়ন করতে পারেন। এটি প্রয়োজনীয় যে ক্লায়েন্টের সমস্ত কিকের জন্য পর্যাপ্ত সময় রয়েছে - এবং পোর্ট স্ক্যানার বটটি ভেঙে যাবে (এবং 146% স্ক্যান করবে)।
• স্টার্ট/স্টপ/কমান্ড।
  যদি একটি কমান্ড থাকে, তাহলে কমান্ড, যদি দুটি থাকে, তাহলে start_command+stop_command।
  ভুল করলে নকড চুপ থাকবে, কিন্তু কাজ করবে না।
• প্রোটো
  তাত্ত্বিকভাবে, UDP ব্যবহার করা যেতে পারে। অনুশীলনে, আমি tcp এবং udp মিশ্রিত করেছি, এবং বালির সৈকত থেকে আসা ক্লায়েন্ট মাত্র পঞ্চমবার গেট খুলতে সক্ষম হয়েছিল। কারণ প্রয়োজনের সময় টিসিপি এসেছে, কিন্তু ইউডিপি কোনো সত্য নয়। কিন্তু এটা আবার স্বাদের ব্যাপার।
• ক্রম
  অন্তর্নিহিত রেক হল যে ক্রমগুলিকে ছেদ করা উচিত নয়... আমি কীভাবে এটি বলব...

উদাহরণস্বরূপ, এই:

open: 11111,22222,33333
close: 22222,11111,33333

কিক দ্বারা 11111 খোলা 22222-এ পরবর্তী কিকের জন্য অপেক্ষা করবে। তবে এই (22222) কিকের পর এটি কাজ করা শুরু করবে ঘনিষ্ঠ এবং সবকিছু ভেঙ্গে যাবে। এটি ক্লায়েন্টের বিলম্বের উপরও নির্ভর করে। এই ধরনের জিনিস ©.

iptables- র

যদি /etc/sysconfig/iptables এটি হয়:

*nat
:PREROUTING ACCEPT [0:0]

এটি সত্যিই আমাদের বিরক্ত করে না, তাই এটি এখানে:

*filter
:INPUT ACCEPT [0:0]
...
-A INPUT -j REJECT --reject-with icmp-host-prohibited

এটা হস্তক্ষেপ করে.

যেহেতু knockd INPUT চেইনের শেষে নিয়ম যোগ করে, তাই আমরা প্রত্যাখ্যান করব।

এবং এই প্রত্যাখ্যানটি বন্ধ করার অর্থ সমস্ত বাতাসের জন্য গাড়ি খোলা।

iptables এ হারিয়ে না যাওয়ার জন্য কিসের আগে কী সন্নিবেশ করাতে হবে (এর মতো সম্প্রদায় সাজেস্ট করুন) আসুন এটাকে সহজ করি:

• ডিফল্ট CentOS/Fedora-এ প্রথম নিয়ম ("যা নিষিদ্ধ নয় তা অনুমোদিত") বিপরীত দ্বারা প্রতিস্থাপিত হবে,
• এবং আমরা শেষ নিয়ম মুছে ফেলি।

ফলাফল হওয়া উচিত:

*filter
:INPUT DROP [0:0]
...
#-A INPUT -j REJECT --reject-with icmp-host-prohibited

আপনি অবশ্যই, DROP এর পরিবর্তে REJECT করতে পারেন, কিন্তু DROP এর সাথে জীবন বটদের জন্য আরও মজাদার হবে।

3. ক্লায়েন্ট

এই জায়গাটি সবচেয়ে আকর্ষণীয় (আমার দৃষ্টিকোণ থেকে), যেহেতু আপনাকে কেবল যে কোনও সৈকত থেকে নয়, যে কোনও ডিভাইস থেকেও কাজ করতে হবে।

নীতিগতভাবে, ক্লায়েন্টদের একটি সংখ্যা তালিকাভুক্ত করা হয় ওয়েবসাইট প্রকল্প, কিন্তু এটি একই সিরিজ থেকে "সবকিছুই ইন্টারনেটে।" অতএব, আমি এখানে এবং এখন আমার নখদর্পণে কী কাজ করছে তা তালিকাভুক্ত করব।

একটি ক্লায়েন্ট নির্বাচন করার সময়, আপনাকে নিশ্চিত করতে হবে যে এটি প্যাকেটগুলির মধ্যে বিলম্ব বিকল্পটিকে সমর্থন করে। হ্যাঁ, সমুদ্র সৈকত এবং 100 মেগাবিটের মধ্যে পার্থক্য রয়েছে কখনই গ্যারান্টি দেয় না যে প্যাকেটগুলি নির্দিষ্ট অবস্থান থেকে সঠিক সময়ে সঠিক ক্রমে পৌঁছাবে৷

এবং হ্যাঁ, একটি ক্লায়েন্ট সেট আপ করার সময়, আপনাকে নিজেকে বিলম্ব নির্বাচন করতে হবে। খুব বেশি টাইমআউট - বট আক্রমণ করবে, খুব কম - ক্লায়েন্টের সময় থাকবে না। খুব বেশি বিলম্ব - ক্লায়েন্ট সময়মতো এটি তৈরি করবে না বা বোকাদের দ্বন্দ্ব হবে ("রেক" দেখুন), খুব কম - প্যাকেটগুলি ইন্টারনেটে হারিয়ে যাবে।

টাইমআউট=5s, বিলম্ব=100..500ms একটি সম্পূর্ণ কার্যকরী বিকল্প

উইন্ডোজ

এটি যতই মজার মনে হোক না কেন, Google এই প্ল্যাটফর্মের জন্য একটি পরিষ্কার নক ক্লায়েন্টের কাছে এটি বেশ তুচ্ছ। যেমন CLI বিলম্ব সমর্থন করে, TCP - এবং ধনুক ছাড়া।

বিকল্পভাবে, আপনি চেষ্টা করতে পারেন এই. দৃশ্যত আমার গুগল একটি পিষ্টক না.

লিনাক্স

এখানে সবকিছু সহজ:

dnf install knock -y
knock -d <delay> <dst_ip> 11111 22222 33333

ম্যাক অপারেটিং সিস্টেম

সবচেয়ে সহজ উপায় হল হোমব্রু থেকে পোর্ট ইনস্টল করা:
brew install knock
এবং কমান্ডের জন্য প্রয়োজনীয় ব্যাচ ফাইল আঁকুন যেমন:

#!bin/sh
knock -d <delay> <dst_ip> 11111 22222 33333

আইওএস

একটি কাজের বিকল্প হল KnockOnD (ফ্রি, স্টোর থেকে)।

অ্যান্ড্রয়েড

"বন্দরগুলিতে নক" বিজ্ঞাপন নয়, তবে এটি কেবল কাজ করে। এবং বিকাশকারীরা বেশ প্রতিক্রিয়াশীল।

হাবরে পিএস মার্কডাউন, অবশ্যই, ঈশ্বর তাকে একদিন আশীর্বাদ করুন...

ইউপিডি 1: ধন্যবাদ একজন ভালো মানুষের কাছে পাওয়া গেছে কর্মরত ক্লায়েন্ট উইন্ডোজের অধীনে।
ইউপিডি 2: আরেকটা ভাল মানুষ আমাকে মনে করিয়ে দিয়েছে যে iptables এর শেষে নতুন নিয়ম রাখা সবসময় দরকারী নয়। কিন্তু - এটা নির্ভর করে।

উত্স: www.habr.com