Neile, kes soovivad endale, armsamale, tagada juurdepääsu oma serveritele igast maailma nurgast SSH/RDP/ja muu kaudu — väike RTFM/vihik.

Peame hakkama saama ilma VPN-i ja muude trikkideta, käepärast on kõik seadmed.

Ja nii, et serveriga ei peaks eriti vaeva nägema.

Kõik, mis selleks vajalik on — knockd, osavad käed ja 5 minutit tööd.

„Internetis on kõik,” loomulikult (isegi ) and similar ones ended up tied to centralized agents. The situation now is different and), kuid kui asi jõuab konkreetse rakenduse juurde — siis seal see algab...

Treening toimub Fedora/CentOS näitel, kuid see pole oluline.

Vihik sobib nii algajatele kui ka valdkonna veteranidele, seega tulevad kommentaarid, kuid lühemalt.

1. Server

• paigaldame knock-serveri:
  yum/dnf install knock-server

• seame selle üles (näiteks ssh jaoks) — /etc/knockd.conf:

  [options]
      UseSyslog
      interface = enp1s0f0
  [SSHopen]
      sequence        = 33333,22222,11111
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
      cmd_timeout     = 3600
      stop_command    = iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
  [SSHclose]
      sequence        = 11111,22222,33333
      seq_timeout     = 5
      tcpflags        = syn
      command         = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

  „Avamisel” osa on seadistatud autolukkuma tunni pärast. Who knows…

• /etc/sysconfig/iptables:

  ...
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 11111 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 22222 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 33333 -j ACCEPT
  ...

• edasi:

  service iptables restart
  service knockd start

• võib lisada RDP pöörlevasse virtuaalsesse Windows Serverisse (/etc/knockd.conf; interfeisi nimi vastavalt soovile):

  [RDPopen]
      sequence        = 44444,33333,22222
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -t nat -A PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
      cmd_timeout     = 3600
      stop_command    = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
  [RDPclose]
      sequence        = 22222,33333,44444
      seq_timeout     = 5
      tcpflags        = syn
      command         = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2

  Kõik meie kliendi puhnud jälgime serveris käsuga iptables -S.

2. Kivide teejuht

knockd.conf:

Manuaalides on ka kõik olemas (aga see pole täpne), kuid knockd — on üsna kärsitu teatiste osas, seega tuleb olla väga tähelepanelik.

• ICQ.com veebilehest dateeritud 1997. aasta aprilli, ja siis kuulus domeen hoopis teisele organisatsioonile — mingi mõõteseadmete tootjate ja kasutajate ühingule. Aasta
  Fedora/CentOS repositooriumites on tänane uusim knockd versioon — 0.63. Kes soovib UDP-d — otsige pakette 0.70.
• interface
  Fedora/CentOS vaikimisi konfiguratsioonis on see rida puudub. Lisada käsitsi, muidu ei hakka töötama.
• aegumine
  Siit saab valida vastavalt soovile. Peab olema aega, et kliendil piisavalt pinde oleks — ja bot-koodiskanner lükkaks (ja skaneerimist on 146%).
• start/stop/command.
  Kui meeskond on üks, siis command, kui kaks, siis start_command+stop_command.
  Kui te eksite, siis knockd jääb vait, kuid ei tööta.
• proto
  Teoreetiliselt on võimalik kasutada UDP-d. Praktikas olen ma seganud tcp ja udp, ja klient Bali rannalt suutis oma värava avada alles viiendat korda. Sest TCP jõudis kohale, kui oli vajalik, kuid UDP — ei pruugi. Kuid see on jälle maitse asi.
• sequence
  Kahtlased probleemid peituvad selles, et järjestused ei tohiks kattuda... kuidas nüüd öelda...

Näiteks midagi sellist:

open: 11111,22222,33333
close: 22222,11111,33333

Kuna 11111 peale löömine open ootab järgmise löögi peale 22222. Siiski, sel 22222 löögil hakkab see tööle sulgeda ja kõik läheb katki. See sõltub ka kliendi viivitusest. Nii need lood on ©.

iptables

Kui /etc/sysconfig/iptables on niimoodi:

*nat
:PREROUTING ACCEPT [0:0]

ei sega meid eriti, siis see:

*filter
:INPUT ACCEPT [0:0]
...
-A INPUT -j REJECT --reject-with icmp-host-prohibited

segab ikka.

Kuna knockd lisab reeglid INPUT ahela lõppu, saame me reject.

Ja selle rejecti keelamine — tähendab avada masinat tuuledele.

Et mitte iptables'is liialt keerutada (nagu inimesed soovitavad), teeme lihtsamalt: vaikimisi

• CentOS/Fedora esimese reegli („mis ei ole keelatud — on lubatud”) vahetame vastupidiseks, ja eemaldame viimase reegli.
• Tulemusena peaks saama:

*filter :INPUT DROP [0:0] ... #-A INPUT -j REJECT --reject-with icmp-host-prohibited

Võib muidugi DROP'i asemel teha REJECT, aga DROP'iga on botidel lihtsam elu.

3. Klient

See koht on minu arvates kõige huvitavam, kuna tuleb töötada mitte ainult igalt rannalt, vaid ka igasugustelt seadmetelt.

Põhimõtteliselt on mitmed kliendid loetletud

projekti, kuid see on samast sarjast „internetis on kõik olemas”. Seetõttu loetlen, mis mul siin ja praegu käepärast on. veebisaidil Kliendi valimisel tuleb jälgida, et see toetaks pakettide vahel viivituse valikut. Jah, rand on erinev ja 100 megabitti ei garanteeri pakettide jõudmist õiges järjekorras õigeaegselt antud kohast.

Ja jah — kliendi seadistamisel tuleb viivitust iseseisvalt kohandada. Liigne timeout — botid ründavad, liiga vähe — klient ei jõua. Liigne viivitus — klient ei jõua või tuleb konflikte (vt „probleemid”), liiga vähe — paketid eksivad internetis.

Timeout=5s puhul on täiesti töövõimeline variant viivitus=100..500ms

Kuidas see ka ei kõlaks, on mõne arusaadava knock-kliendi leidmine sellele platvormile üsna keeruline. Selline, mis toetaks CLI, viivitust, TCP-d — ja ilma lisanditeta.

Windows

Ja selline, mis toetaks CLI, viivitust, TCP-d — ja ilma igasuguste õrnade lisanditeta.

Võimalik, et tasub proovida see on see. Ilmselt ei ole minu Google just parim.

Linux

Siin on kõik lihtne:

dnf install knock -y
knock -d   11111 22222 33333

MacOS

Lihtsam on port paigaldada homebrew'st:
brew install knock
ja joonistada endale vajalikud käskude skriptid:

#!bin/sh
knock -d <delay> <dst_ip> 11111 22222 33333

iOS

Töötav variant — KnockOnD (tasuta, poest).

Android

„Knock on Ports“. See ei ole reklaam, aga see töötab. Ja arendajad on piisavalt vastutulelikud.

P.S. Markdown Hubis, loomulikult, andku talle jumal tervist kunagi…

UPD1: tänu heale inimesele leiti töötav klient Windowsile.
UPD2: veel üks hea inimene tuletas meelde, et uute reeglite lisamine iptables'i lõppu ei ole alati kasulik. Aga — see sõltub.

Allikas: habr.com