ज्यांना स्वतःला, त्यांच्या प्रियजनांना, SSH/RDP/इतर, एक लहान RTFM/spur द्वारे जगाच्या कोणत्याही ठिकाणाहून त्यांच्या सर्व्हरमध्ये प्रवेश प्रदान करणे आवश्यक आहे.

आम्हाला VPN आणि इतर घंटा आणि शिट्ट्यांशिवाय, हातात असलेल्या कोणत्याही डिव्हाइसवरून करणे आवश्यक आहे.

आणि जेणेकरून तुम्हाला सर्व्हरसोबत जास्त कसरत करावी लागणार नाही.

यासाठी तुम्हाला फक्त गरज आहे ठोकले, सरळ हात आणि 5 मिनिटे काम.

"सर्व काही इंटरनेटवर आहे," अर्थातच (अगदी वर हॅब्रे), परंतु जेव्हा एखाद्या विशिष्ट अंमलबजावणीचा विचार केला जातो तेव्हा ते येथूनच सुरू होते...

आम्ही उदाहरण म्हणून Fedora/CentOS वापरण्याचा सराव करू, पण काही फरक पडत नाही.

स्पर या प्रकरणातील नवशिक्या आणि तज्ञ दोघांसाठी योग्य आहे, म्हणून टिप्पण्या असतील, परंतु त्या लहान असतील.

1. सर्व्हर

• नॉक-सर्व्हर स्थापित करा:
  yum/dnf install knock-server

• ते कॉन्फिगर करा (उदाहरणार्थ ssh वर) - /etc/knockd.conf:

  [options]
      UseSyslog
      interface = enp1s0f0
  [SSHopen]
      sequence        = 33333,22222,11111
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
      cmd_timeout     = 3600
      stop_command    = iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
  [SSHclose]
      sequence        = 11111,22222,33333
      seq_timeout     = 5
      tcpflags        = syn
      command         = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

  "ओपनिंग" भाग 1 तासानंतर स्वयं-बंद करण्यासाठी सेट केला जातो. तुला कधीही माहिती होणार नाही...

• /etc/sysconfig/iptables:

  ...
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 11111 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 22222 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 33333 -j ACCEPT
  ...

• पुढे:

  service iptables restart
  service knockd start

• तुम्ही आत फिरत असलेल्या वर्च्युअल विंडोज सर्व्हरमध्ये RDP जोडू शकता (/etc/knockd.conf; तुमच्या आवडीनुसार इंटरफेस नाव बदला):

  [RDPopen]
      sequence        = 44444,33333,22222
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -t nat -A PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
      cmd_timeout     = 3600
      stop_command    = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
  [RDPclose]
      sequence        = 22222,33333,44444
      seq_timeout     = 5
      tcpflags        = syn
      command         = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2

  आम्ही कमांडसह सर्व्हरवरील क्लायंटकडून आमच्या सर्व किकचा मागोवा घेतो iptables -S.

2. रेकसाठी मार्गदर्शक

knockd.conf:

माना मध्ये देखील सर्वकाही समाविष्ट आहे (परंतु हे चुकीचे आहे), परंतु knockd हा एक मित्र आहे जो संदेशांसह खूपच कंजूष आहे, म्हणून आपण खूप सावधगिरी बाळगणे आवश्यक आहे.

• आवृत्ती
  Fedora/CentOS रेपॉजिटरीजमध्ये, आजचे नवीनतम knockd 0.63 आहे. कोणाला UDP हवा आहे - 0.70 पॅकेट पहा.
• संवाद
  डीफॉल्ट Fedora/CentOS कॉन्फिगरेशनमध्ये ही ओळ नाही. आपल्या हातांनी जोडा, अन्यथा ते कार्य करणार नाही.
• वेळ संपला
  येथे आपण आपल्या आवडीनुसार निवडू शकता. क्लायंटकडे सर्व किकसाठी पुरेसा वेळ असणे आवश्यक आहे - आणि पोर्ट स्कॅनर बॉट खराब होईल (आणि 146% स्कॅन करेल).
• प्रारंभ/थांबा/आदेश.
  जर एक कमांड असेल तर कमांड, जर दोन असतील तर start_command+stop_command.
  आपण चूक केल्यास, knockd शांत राहतील, परंतु कार्य करणार नाही.
• आद्य
  सैद्धांतिकदृष्ट्या, UDP वापरला जाऊ शकतो. सराव मध्ये, मी tcp आणि udp मिक्स केले आणि बालीमधील समुद्रकिनाऱ्यावरील क्लायंट फक्त पाचव्यांदा गेट उघडू शकला. कारण आवश्यकतेनुसार TCP आले, पण UDP ही वस्तुस्थिती नाही. पण ही पुन्हा चवीची बाब आहे.
• क्रम
  अंतर्निहित रेक असा आहे की अनुक्रम एकमेकांना छेदू नयेत... ते कसे ठेवावे...

उदाहरणार्थ, हे:

open: 11111,22222,33333
close: 22222,11111,33333

11111 ला किक करून खुल्या 22222 ला पुढील किकची वाट पाहत आहे. तथापि, या (22222) किक नंतर ते कार्य करण्यास सुरवात करेल बंद आणि सर्वकाही खंडित होईल. हे क्लायंटच्या विलंबावर देखील अवलंबून असते. अशा गोष्टी ©.

iptables

/etc/sysconfig/iptables मध्ये असल्यास हे आहे:

*nat
:PREROUTING ACCEPT [0:0]

हे आपल्याला खरोखर त्रास देत नाही, म्हणून ते येथे आहे:

*filter
:INPUT ACCEPT [0:0]
...
-A INPUT -j REJECT --reject-with icmp-host-prohibited

ते हस्तक्षेप करते.

knockd ने INPUT चेनच्या शेवटी नियम जोडल्यामुळे, आम्हाला नकार मिळेल.

आणि हा नकार बंद करणे म्हणजे कारला सर्व वारा उघडणे.

iptables मध्ये हरवू नये म्हणून आधी काय घालायचे (यासारखे लोक सुचवा) चला ते सोपे करूया:

• डीफॉल्ट CentOS/Fedora वर पहिला नियम ("जे प्रतिबंधित नाही त्याला परवानगी आहे") विरुद्ध बदलले जाईल,
• आणि आम्ही शेवटचा नियम काढून टाकतो.

परिणाम असा असावा:

*filter
:INPUT DROP [0:0]
...
#-A INPUT -j REJECT --reject-with icmp-host-prohibited

तुम्ही अर्थातच DROP ऐवजी REJECT करू शकता, पण DROP सह बॉट्ससाठी आयुष्य अधिक मजेदार होईल.

3. क्लायंट

हे ठिकाण सर्वात मनोरंजक आहे (माझ्या दृष्टिकोनातून), कारण आपल्याला केवळ कोणत्याही समुद्रकिनार्यावरच नव्हे तर कोणत्याही डिव्हाइसवरून देखील कार्य करण्याची आवश्यकता आहे.

तत्वतः, अनेक क्लायंट सूचीबद्ध आहेत साइट प्रकल्प, परंतु हे त्याच मालिकेतील आहे “सर्व काही इंटरनेटवर आहे.” म्हणून, मी येथे आणि आता माझ्या बोटांच्या टोकावर काय कार्य करत आहे याची यादी करेन.

क्लायंट निवडताना, आपण हे सुनिश्चित करणे आवश्यक आहे की ते पॅकेट्समधील विलंब पर्यायाचे समर्थन करते. होय, समुद्रकिनारे आणि 100 मेगाबिटमध्ये फरक आहे की दिलेल्या ठिकाणाहून योग्य वेळी पॅकेट योग्य क्रमाने येतील याची हमी देत ​​नाही.

आणि हो, क्लायंट सेट करताना, तुम्हाला स्वतःला विलंब निवडण्याची आवश्यकता आहे. खूप कालबाह्य - बॉट्स हल्ला करतील, खूप कमी - क्लायंटला वेळ मिळणार नाही. खूप विलंब - क्लायंट वेळेत ते तयार करणार नाही किंवा मूर्ख लोकांचा संघर्ष होईल ("रेक" पहा), खूप कमी - पॅकेट इंटरनेटवर हरवले जातील.

कालबाह्य=5s सह, विलंब=100..500ms हा पूर्णपणे कार्यरत पर्याय आहे

विंडोज

हे कितीही मजेदार वाटत असले तरी, या प्लॅटफॉर्मसाठी Google स्पष्ट नॉक क्लायंटसाठी हे अगदीच क्षुल्लक नाही. असे की CLI विलंब, TCP - आणि धनुष्य न करता समर्थन करते.

वैकल्पिकरित्या, तुम्ही प्रयत्न करू शकता हेच ते. वरवर पाहता माझे Google एक केक नाही.

linux

येथे सर्व काही सोपे आहे:

dnf install knock -y
knock -d <delay> <dst_ip> 11111 22222 33333

MacOS

होमब्रूमधून पोर्ट स्थापित करणे हा सर्वात सोपा मार्ग आहे:
brew install knock
आणि कमांडसाठी आवश्यक बॅच फाइल्स काढा जसे:

#!bin/sh
knock -d <delay> <dst_ip> 11111 22222 33333

iOS

एक कार्यरत पर्याय म्हणजे KnockOnD (विनामूल्य, स्टोअरमधून).

Android

"बंदरांवर ठोका" जाहिरात नाही, पण ते फक्त कार्य करते. आणि विकासक जोरदार प्रतिसाद आहेत.

हॅब्रेवर पीएस मार्कडाउन, नक्कीच, देव त्याला एक दिवस आशीर्वाद देईल...

यूपीडी 1: ना धन्यवाद चांगल्या व्यक्तीला आढळले कार्यरत क्लायंट विंडोज अंतर्गत.
यूपीडी 2: आणखी एक चांगला माणूस मला आठवण करून दिली की iptables च्या शेवटी नवीन नियम ठेवणे नेहमीच उपयुक्त नसते. पण - ते अवलंबून आहे.

स्त्रोत: www.habr.com