SSH/RDP/अन्य, एउटा सानो RTFM/spur मार्फत संसारको कुनै पनि ठाउँबाट आफ्नो सर्भरमा पहुँचको साथ आफूलाई, आफ्ना प्रियजनहरूलाई प्रदान गर्न आवश्यक पर्नेहरूका लागि।

हामीले हातमा रहेको कुनै पनि उपकरणबाट VPN र अन्य घण्टी र सिट्टी बिना गर्न आवश्यक छ।

र त्यसोभए तपाईले सर्भरसँग धेरै व्यायाम गर्नुपर्दैन।

तपाईलाई यसको लागि आवश्यक छ ठोक्कियो, सीधा हात र काम को 5 मिनेट।

"सबै कुरा इन्टरनेटमा छ," अवश्य पनि (मा पनि हाब्रे), तर जब यो एक विशिष्ट कार्यान्वयन को लागी आउँदछ, यो जहाँ सुरु हुन्छ ...

हामी उदाहरणको रूपमा Fedora/CentOS प्रयोग गर्ने अभ्यास गर्नेछौं, तर यसले फरक पार्दैन।

स्पर यस मामिलामा शुरुवातकर्ताहरू र विशेषज्ञहरू दुवैको लागि उपयुक्त छ, त्यसैले त्यहाँ टिप्पणीहरू हुनेछन्, तर तिनीहरू छोटो हुनेछन्।

1. सर्भर

• नक-सर्भर स्थापना गर्नुहोस्:
  yum/dnf install knock-server

• यसलाई कन्फिगर गर्नुहोस् (उदाहरणका लागि ssh मा) - /etc/knockd.conf:

  [options]
      UseSyslog
      interface = enp1s0f0
  [SSHopen]
      sequence        = 33333,22222,11111
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
      cmd_timeout     = 3600
      stop_command    = iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
  [SSHclose]
      sequence        = 11111,22222,33333
      seq_timeout     = 5
      tcpflags        = syn
      command         = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

  "खुल्ने" भाग 1 घण्टा पछि स्वत: बन्द गर्न सेट गरिएको छ। तपाईलाई कहिल्यै थाहा छैन ...

• /etc/sysconfig/iptables:

  ...
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 11111 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 22222 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 33333 -j ACCEPT
  ...

• अगाडि:

  service iptables restart
  service knockd start

• तपाईले RDP लाई भर्चुअल विन्डोज सर्भर भित्र स्पिनिङमा थप्न सक्नुहुन्छ (/etc/knockd.conf; आफ्नो स्वाद अनुरूप इन्टरफेस नाम प्रतिस्थापन गर्नुहोस्):

  [RDPopen]
      sequence        = 44444,33333,22222
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -t nat -A PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
      cmd_timeout     = 3600
      stop_command    = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
  [RDPclose]
      sequence        = 22222,33333,44444
      seq_timeout     = 5
      tcpflags        = syn
      command         = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2

  हामी आदेशको साथ सर्भरमा ग्राहकबाट हाम्रा सबै किकहरू ट्र्याक गर्छौं iptables -S.

2. रेकहरूको लागि गाइड

knockd.conf:

मानामा पनि सबै कुरा समावेश छ (तर यो गलत छ), तर knockd एक साथी हो जो सन्देशहरूको साथ धेरै कंजूस छ, त्यसैले तपाइँ धेरै सावधान रहनु आवश्यक छ।

• संस्करण
  Fedora/CentOS भण्डारहरूमा, आजको लागि पछिल्लो knockd 0.63 हो। कसले UDP चाहन्छ - 0.70 प्याकेटहरू खोज्नुहोस्।
• इंटरफेस
  पूर्वनिर्धारित Fedora/CentOS कन्फिगरेसनमा यो रेखा कुनै। आफ्नो हातले जोड्नुहोस्, अन्यथा यसले काम गर्दैन।
• समय सकियो
  यहाँ तपाईं आफ्नो स्वाद अनुसार चयन गर्न सक्नुहुन्छ। यो आवश्यक छ कि ग्राहकसँग सबै किकहरूको लागि पर्याप्त समय छ - र पोर्ट स्क्यानर बट बिग्रन्छ (र 146% स्क्यान हुनेछ)।
• सुरु/रोक/कमाण्ड।
  यदि त्यहाँ एक आदेश छ, त्यसपछि आदेश, यदि त्यहाँ दुई छन् भने, त्यसपछि start_command+stop_command।
  यदि तपाईंले गल्ती गर्नुभयो भने, दस्तक चुपचाप रहनेछ, तर काम गर्दैन।
• प्रोटो
  सैद्धान्तिक रूपमा, UDP प्रयोग गर्न सकिन्छ। अभ्यासमा, मैले tcp र udp मिश्रित गरें, र बालीको समुद्र तटबाट ग्राहकले पाँचौं पटक मात्र गेट खोल्न सक्षम थिए। किनभने TCP आवश्यक हुँदा आइपुग्यो, तर UDP तथ्य होइन। तर यो स्वादको कुरा हो, फेरि।
• अनुक्रम
  निहित रेक यो हो कि अनुक्रमहरू काट्नु हुँदैन ... यसलाई कसरी राख्ने ...

उदाहरण को लागी, यो:

open: 11111,22222,33333
close: 22222,11111,33333

किक 11111 द्वारा खुला 22222 मा अर्को किकको लागि पर्खनेछ। यद्यपि, यो (22222) किक पछि यसले काम गर्न थाल्छ। नजिक र सबै टुट्नेछ। यो ग्राहकको ढिलाइमा पनि निर्भर गर्दछ। यस्ता कुराहरु ©।

iptables

यदि /etc/sysconfig/iptables मा यो हो:

*nat
:PREROUTING ACCEPT [0:0]

यसले हामीलाई वास्तवमै परेशान गर्दैन, त्यसैले यो यहाँ छ:

*filter
:INPUT ACCEPT [0:0]
...
-A INPUT -j REJECT --reject-with icmp-host-prohibited

यसले हस्तक्षेप गर्छ।

knockd ले INPUT श्रृंखलाको अन्त्यमा नियमहरू थपेको हुनाले, हामी अस्वीकार गर्नेछौं।

र यो अस्वीकार बन्द गर्नु भनेको सबै हावाहरूमा कार खोल्नु हो।

iptables मा हराउन को लागी पहिले के सम्मिलित गर्न को लागी (यस जस्तै मान्छे सुझाव दिनुहोस्) यसलाई सरल बनाउनुहोस्:

• पूर्वनिर्धारित CentOS/Fedora मा पहिलो नियम ("के निषेध गरिएको छैन अनुमति छ") विपरित द्वारा प्रतिस्थापित गरिनेछ,
• र हामी अन्तिम नियम हटाउँछौं।

परिणाम हुनुपर्छ:

*filter
:INPUT DROP [0:0]
...
#-A INPUT -j REJECT --reject-with icmp-host-prohibited

तपाईले निस्सन्देह, DROP को सट्टा REJECT गर्न सक्नुहुन्छ, तर DROP को साथ जीवन बटहरूको लागि अझ रमाइलो हुनेछ।

3. ग्राहक

यो ठाउँ सबैभन्दा चाखलाग्दो छ (मेरो दृष्टिकोणबाट), किनकि तपाईंले कुनै पनि समुद्र तटबाट मात्र होइन, तर कुनै पनि उपकरणबाट पनि काम गर्न आवश्यक छ।

सिद्धान्तमा, धेरै ग्राहकहरू सूचीबद्ध छन् साइट परियोजना, तर यो एउटै श्रृंखलाबाट हो "सबै कुरा इन्टरनेटमा छ।" त्यसकारण, म यहाँ र अहिले मेरो औंलाको छेउमा के काम गरिरहेको छ भनेर सूचीबद्ध गर्नेछु।

ग्राहक छनौट गर्दा, तपाईंले प्याकेटहरू बीचको ढिलाइ विकल्पलाई समर्थन गर्दछ भनेर सुनिश्चित गर्न आवश्यक छ। हो, त्यहाँ समुद्र तटहरू र 100 मेगाबिटहरू बीचको भिन्नताहरू छन् कि प्याकेटहरू दिइएको स्थानबाट सही समयमा सही क्रममा आइपुग्छन् भनेर ग्यारेन्टी गर्दैन।

र हो, ग्राहक सेटअप गर्दा, तपाईंले ढिलाइ आफै चयन गर्न आवश्यक छ। धेरै टाइमआउट - बट्सले आक्रमण गर्नेछ, धेरै थोरै - ग्राहकसँग समय हुनेछैन। धेरै ढिलाइ - ग्राहकले यसलाई समयमा बनाउँदैन वा त्यहाँ मूर्खहरूको द्वन्द्व हुनेछ ("रेकहरू" हेर्नुहोस्), धेरै थोरै - प्याकेटहरू इन्टरनेटमा हराउनेछन्।

टाइमआउट = 5 सेकेन्डको साथ, ढिलाइ = 100..500ms एक पूर्ण रूपमा काम गर्ने विकल्प हो

Windows

यो जतिसुकै हास्यास्पद लागे पनि, यो गुगलको लागि यो प्लेटफर्मको लागि स्पष्ट नक क्लाइन्टको लागि एकदमै तुच्छ छैन। यस्तो कि CLI ले ढिलाइ समर्थन गर्दछ, TCP - र धनु बिना।

वैकल्पिक रूपमा, तपाईं प्रयास गर्न सक्नुहुन्छ यो नै हो। स्पष्ट रूपमा मेरो Google केक होइन।

लिनक्स

यहाँ सबै कुरा सरल छ:

dnf install knock -y
knock -d <delay> <dst_ip> 11111 22222 33333

MacOS

सब भन्दा सजिलो तरीका होमब्रुबाट पोर्ट स्थापना गर्नु हो:
brew install knock
र आदेशहरूको लागि आवश्यक ब्याच फाइलहरू कोर्नुहोस् जस्तै:

#!bin/sh
knock -d <delay> <dst_ip> 11111 22222 33333

आईओएस

काम गर्ने विकल्प KnockOnD (नि:शुल्क, स्टोरबाट) हो।

Android

"पोर्टहरूमा दस्तक" विज्ञापन होइन, तर यसले काम गर्छ। र विकासकर्ताहरू धेरै उत्तरदायी छन्।

हाब्रेमा PS मार्कडाउन, अवश्य पनि, भगवानले उनलाई कुनै दिन आशिष् दिनुहुन्छ ...

UPD1: धन्यवाद राम्रो मान्छे को लागी भेटियो काम गर्ने ग्राहक विन्डोज अन्तर्गत।
UPD2: अर्को राम्रो मान्छे मलाई याद दिलायो कि iptables को अन्त्यमा नयाँ नियमहरू राख्नु सधैं उपयोगी हुँदैन। तर - यो निर्भर गर्दछ।

स्रोत: www.habr.com