જેઓ પોતાને, તેમના પ્રિયજનોને, SSH/RDP/અન્ય, એક નાનું RTFM/spur દ્વારા વિશ્વમાં ગમે ત્યાંથી તેમના સર્વરની ઍક્સેસ સાથે પ્રદાન કરવાની જરૂર છે.

અમારે VPN અને અન્ય ઘંટ અને સિસોટી વગર, હાથ પરના કોઈપણ ઉપકરણથી કરવાની જરૂર છે.

અને તેથી તમારે સર્વર સાથે વધારે કસરત કરવાની જરૂર નથી.

તમારે આ માટે જરૂર છે કઠણ, સીધા હાથ અને 5 મિનિટ કામ.

"બધું ઇન્ટરનેટ પર છે," અલબત્ત (પર પણ હેબ્રે), પરંતુ જ્યારે તે ચોક્કસ અમલીકરણની વાત આવે છે, ત્યારે તે અહીંથી શરૂ થાય છે...

અમે ઉદાહરણ તરીકે Fedora/CentOS નો ઉપયોગ કરીને પ્રેક્ટિસ કરીશું, પરંતુ તેનાથી કોઈ ફરક પડતો નથી.

સ્પુર આ બાબતમાં નવા નિશાળીયા અને નિષ્ણાતો બંને માટે યોગ્ય છે, તેથી ત્યાં ટિપ્પણીઓ હશે, પરંતુ તે ટૂંકી હશે.

1. સર્વર

• નોક-સર્વર ઇન્સ્ટોલ કરો:
  yum/dnf install knock-server

• તેને રૂપરેખાંકિત કરો (ઉદાહરણ તરીકે ssh પર) - /etc/knockd.conf:

  [options]
      UseSyslog
      interface = enp1s0f0
  [SSHopen]
      sequence        = 33333,22222,11111
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
      cmd_timeout     = 3600
      stop_command    = iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
  [SSHclose]
      sequence        = 11111,22222,33333
      seq_timeout     = 5
      tcpflags        = syn
      command         = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

  "ઉદઘાટન" ભાગ 1 કલાક પછી સ્વતઃ બંધ થવા માટે સેટ છે. તમે ક્યારેય જાણતા નથી ...

• /etc/sysconfig/iptables:

  ...
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 11111 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 22222 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 33333 -j ACCEPT
  ...

• આગળ:

  service iptables restart
  service knockd start

• તમે અંદર ફરતા વર્ચ્યુઅલ વિન્ડોઝ સર્વરમાં RDP ઉમેરી શકો છો (/etc/knockd.conf; તમારી રુચિને અનુરૂપ ઇન્ટરફેસ નામને અવેજી કરો):

  [RDPopen]
      sequence        = 44444,33333,22222
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -t nat -A PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
      cmd_timeout     = 3600
      stop_command    = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
  [RDPclose]
      sequence        = 22222,33333,44444
      seq_timeout     = 5
      tcpflags        = syn
      command         = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2

  અમે આદેશ વડે સર્વર પર ક્લાયન્ટ તરફથી અમારી બધી કિક્સને ટ્રૅક કરીએ છીએ iptables -S.

2. રેક્સ માટે માર્ગદર્શિકા

knockd.conf:

માનામાં પણ બધું જ છે (પરંતુ આ અચોક્કસ છે), પરંતુ knockd એક મિત્ર છે જે સંદેશાઓ સાથે ખૂબ કંજૂસ છે, તેથી તમારે ખૂબ કાળજી લેવાની જરૂર છે.

• આવૃત્તિ
  Fedora/CentOS રિપોઝીટરીઝમાં, આજ માટે નવીનતમ knockd 0.63 છે. યુડીપી કોને જોઈએ છે - 0.70 પેકેટો માટે જુઓ.
• ઈન્ટરફેસ
  મૂળભૂત Fedora/CentOS રૂપરેખાંકનમાં આ લીટી કોઈ. તમારા હાથથી ઉમેરો, અન્યથા તે કામ કરશે નહીં.
• સમયસમાપ્તિ
  અહીં તમે તમારા સ્વાદ અનુસાર પસંદ કરી શકો છો. તે જરૂરી છે કે ક્લાયંટ પાસે તમામ કિક્સ માટે પૂરતો સમય હોય - અને પોર્ટ સ્કેનર બોટ તૂટી જશે (અને 146% સ્કેન કરશે).
• સ્ટાર્ટ/સ્ટોપ/કમાન્ડ.
  જો એક આદેશ હોય, તો આદેશ, જો ત્યાં બે હોય, તો start_command+stop_command.
  જો તમે ભૂલ કરો છો, તો knockd ચૂપ રહેશે, પરંતુ કામ કરશે નહીં.
• પ્રોટો
  સૈદ્ધાંતિક રીતે, UDP નો ઉપયોગ કરી શકાય છે. પ્રેક્ટિસમાં, મેં tcp અને udp નું મિશ્રણ કર્યું, અને બાલીના બીચ પરથી ક્લાયંટ ફક્ત પાંચમી વખત જ ગેટ ખોલી શક્યો. કારણ કે જ્યારે જરૂર પડે ત્યારે TCP આવી, પરંતુ UDP એ હકીકત નથી. પરંતુ આ ફરીથી સ્વાદની બાબત છે.
• ક્રમ
  ગર્ભિત રેક એ છે કે સિક્વન્સ એકબીજાને છેદે ન જોઈએ... મારે આ કેવી રીતે કહેવું જોઈએ...

ઉદાહરણ તરીકે, આ:

open: 11111,22222,33333
close: 22222,11111,33333

કિક 11111 દ્વારા ઓપન 22222 પર આગામી કિકની રાહ જોશે. જો કે, આ (22222) કિક પછી તે કામ કરવાનું શરૂ કરશે બંધ અને બધું તૂટી જશે. આ ગ્રાહકના વિલંબ પર પણ આધાર રાખે છે. આવી વસ્તુઓ ©.

iptables

જો /etc/sysconfig/iptables માં આ છે:

*nat
:PREROUTING ACCEPT [0:0]

તે ખરેખર આપણને પરેશાન કરતું નથી, તેથી તે અહીં છે:

*filter
:INPUT ACCEPT [0:0]
...
-A INPUT -j REJECT --reject-with icmp-host-prohibited

તે દખલ કરે છે.

knockd એ INPUT ચેઇનના અંતમાં નિયમો ઉમેર્યા હોવાથી, અમને અસ્વીકાર મળશે.

અને આ અસ્વીકારને બંધ કરવાનો અર્થ એ છે કે કારને તમામ પવનો માટે ખોલવી.

iptables માં ખોવાઈ ન જવા માટે શું પહેલાં શું દાખલ કરવું (આની જેમ લોકો સૂચવે છે) ચાલો તેને સરળ બનાવીએ:

• મૂળભૂત CentOS/Fedora પર પ્રથમ નિયમ ("જે પ્રતિબંધિત નથી તેને પરવાનગી છે") વિરુદ્ધ દ્વારા બદલવામાં આવશે,
• અને અમે છેલ્લો નિયમ દૂર કરીએ છીએ.

પરિણામ હોવું જોઈએ:

*filter
:INPUT DROP [0:0]
...
#-A INPUT -j REJECT --reject-with icmp-host-prohibited

તમે, અલબત્ત, DROP ને બદલે REJECT કરી શકો છો, પરંતુ DROP સાથે જીવન બૉટો માટે વધુ મનોરંજક બનશે.

3. ક્લાયન્ટ

આ સ્થાન સૌથી રસપ્રદ છે (મારા દૃષ્ટિકોણથી), કારણ કે તમારે ફક્ત કોઈપણ બીચથી જ નહીં, પણ કોઈપણ ઉપકરણથી પણ કામ કરવાની જરૂર છે.

સૈદ્ધાંતિક રીતે, સંખ્યાબંધ ગ્રાહકો સૂચિબદ્ધ છે સાઇટ પ્રોજેક્ટ, પરંતુ આ એ જ શ્રેણીમાંથી છે "બધું ઇન્ટરનેટ પર છે." તેથી, હું અહીં અને અત્યારે મારી આંગળીના વેઢે શું કામ કરી રહ્યું છે તેની સૂચિ બનાવીશ.

ક્લાયંટ પસંદ કરતી વખતે, તમારે ખાતરી કરવાની જરૂર છે કે તે પેકેટો વચ્ચેના વિલંબના વિકલ્પને સપોર્ટ કરે છે. હા, દરિયાકિનારા અને 100 મેગાબિટ વચ્ચેના તફાવતો છે કે આપેલ સ્થાનેથી યોગ્ય સમયે યોગ્ય ક્રમમાં પેકેટ્સ આવશે તેની ખાતરી આપતી નથી.

અને હા, ક્લાયંટ સેટ કરતી વખતે, તમારે વિલંબ જાતે પસંદ કરવાની જરૂર છે. ખૂબ જ સમયસમાપ્તિ - બૉટો હુમલો કરશે, ખૂબ ઓછો - ક્લાયંટ પાસે સમય નહીં હોય. ખૂબ જ વિલંબ - ક્લાયંટ તેને સમયસર બનાવશે નહીં અથવા મૂર્ખ લોકોનો સંઘર્ષ થશે (જુઓ "રેક"), ખૂબ ઓછા - પેકેટો ઇન્ટરનેટ પર ખોવાઈ જશે.

સમયસમાપ્તિ=5s સાથે, વિલંબ=100..500ms એ સંપૂર્ણપણે કામ કરવાનો વિકલ્પ છે

વિન્ડોઝ

ભલે તે ગમે તેટલું રમુજી લાગે, તે Google માટે આ પ્લેટફોર્મ માટે સ્પષ્ટ નોક ક્લાયંટ માટે તદ્દન બિન-તુચ્છ છે. જેમ કે CLI વિલંબ, TCP - અને શરણાગતિ વિના સપોર્ટ કરે છે.

વૈકલ્પિક રીતે, તમે પ્રયાસ કરી શકો છો આ તે છે. દેખીતી રીતે મારું Google એ કેક નથી.

Linux

તે અહીં સરળ છે:

dnf install knock -y
knock -d <delay> <dst_ip> 11111 22222 33333

મેકઓએસ

હોમબ્રુમાંથી પોર્ટ ઇન્સ્ટોલ કરવાનો સૌથી સહેલો રસ્તો છે:
brew install knock
અને આદેશો માટે જરૂરી બેચ ફાઇલો દોરો જેમ કે:

#!bin/sh
knock -d <delay> <dst_ip> 11111 22222 33333

iOS

કામ કરવાનો વિકલ્પ નોકઓન્ડ (સ્ટોરમાંથી મફત) છે.

, Android

"બંદરો પર નોક" જાહેરાત નથી, પરંતુ તે માત્ર કામ કરે છે. અને વિકાસકર્તાઓ તદ્દન પ્રતિભાવશીલ છે.

હાબ્રે પર પીએસ માર્કડાઉન, અલબત્ત, ભગવાન તેને કોઈ દિવસ આશીર્વાદ આપે...

યુપીડી 1: માટે આભાર સારી વ્યક્તિ માટે મળી કાર્યકારી ગ્રાહક વિન્ડોઝ હેઠળ.
યુપીડી 2: બીજો કોઈ સારો માણસ મને યાદ કરાવ્યું કે iptables ના અંતે નવા નિયમો મૂકવા હંમેશા ઉપયોગી નથી. પરંતુ - તે આધાર રાખે છે.

સોર્સ: www.habr.com