ਉਹਨਾਂ ਲਈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਆਪਣੇ ਆਪ ਨੂੰ, ਆਪਣੇ ਅਜ਼ੀਜ਼ਾਂ ਨੂੰ, SSH/RDP/ਹੋਰ, ਇੱਕ ਛੋਟੀ ਜਿਹੀ RTFM/spur ਰਾਹੀਂ ਸੰਸਾਰ ਵਿੱਚ ਕਿਤੇ ਵੀ ਆਪਣੇ ਸਰਵਰਾਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਦਾਨ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।

ਸਾਨੂੰ ਹੱਥ ਵਿੱਚ ਮੌਜੂਦ ਕਿਸੇ ਵੀ ਡਿਵਾਈਸ ਤੋਂ, VPN ਅਤੇ ਹੋਰ ਘੰਟੀਆਂ ਅਤੇ ਸੀਟੀਆਂ ਦੇ ਬਿਨਾਂ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।

ਅਤੇ ਇਸ ਲਈ ਤੁਹਾਨੂੰ ਸਰਵਰ ਨਾਲ ਬਹੁਤ ਜ਼ਿਆਦਾ ਕਸਰਤ ਕਰਨ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ.

ਤੁਹਾਨੂੰ ਇਸ ਲਈ ਲੋੜ ਹੈ ਖੜਕਾਇਆ, ਸਿੱਧੀਆਂ ਬਾਹਾਂ ਅਤੇ ਕੰਮ ਦੇ 5 ਮਿੰਟ।

"ਸਭ ਕੁਝ ਇੰਟਰਨੈਟ ਤੇ ਹੈ," ਬੇਸ਼ਕ (ਇੱਥੋਂ ਤੱਕ ਕਿ ਹਾਬਰੇ), ਪਰ ਜਦੋਂ ਇਹ ਇੱਕ ਖਾਸ ਲਾਗੂ ਕਰਨ ਦੀ ਗੱਲ ਆਉਂਦੀ ਹੈ, ਤਾਂ ਇਹ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਇਹ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ...

ਅਸੀਂ ਇੱਕ ਉਦਾਹਰਣ ਵਜੋਂ ਫੇਡੋਰਾ/ਸੈਂਟੋਸ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦਾ ਅਭਿਆਸ ਕਰਾਂਗੇ, ਪਰ ਇਸ ਨਾਲ ਕੋਈ ਫ਼ਰਕ ਨਹੀਂ ਪੈਂਦਾ।

ਸਪੁਰ ਇਸ ਮਾਮਲੇ ਵਿੱਚ ਸ਼ੁਰੂਆਤ ਕਰਨ ਵਾਲਿਆਂ ਅਤੇ ਮਾਹਰਾਂ ਦੋਵਾਂ ਲਈ ਢੁਕਵਾਂ ਹੈ, ਇਸ ਲਈ ਟਿੱਪਣੀਆਂ ਹੋਣਗੀਆਂ, ਪਰ ਉਹ ਛੋਟੀਆਂ ਹੋਣਗੀਆਂ.

1. ਸਰਵਰ

• ਨਾਕ-ਸਰਵਰ ਇੰਸਟਾਲ ਕਰੋ:
  yum/dnf install knock-server

• ਇਸਨੂੰ ਸੰਰਚਿਤ ਕਰੋ (ਉਦਾਹਰਨ ਲਈ ssh ਉੱਤੇ) - /etc/knockd.conf:

  [options]
      UseSyslog
      interface = enp1s0f0
  [SSHopen]
      sequence        = 33333,22222,11111
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
      cmd_timeout     = 3600
      stop_command    = iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
  [SSHclose]
      sequence        = 11111,22222,33333
      seq_timeout     = 5
      tcpflags        = syn
      command         = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

  "ਓਪਨਿੰਗ" ਭਾਗ 1 ਘੰਟੇ ਬਾਅਦ ਆਟੋ-ਬੰਦ ਕਰਨ ਲਈ ਸੈੱਟ ਕੀਤਾ ਗਿਆ ਹੈ। ਤੁਸੀਂ ਕਦੇ ਵੀ ਨਹੀਂ ਜਾਣਦੇ...

• /etc/sysconfig/iptables:

  ...
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 11111 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 22222 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 33333 -j ACCEPT
  ...

• ਅੱਗੇ:

  service iptables restart
  service knockd start

• ਤੁਸੀਂ ਅੰਦਰ ਘੁੰਮਦੇ ਵਰਚੁਅਲ ਵਿੰਡੋਜ਼ ਸਰਵਰ ਵਿੱਚ RDP ਜੋੜ ਸਕਦੇ ਹੋ (/etc/knockd.conf; ਤੁਹਾਡੇ ਸਵਾਦ ਦੇ ਅਨੁਕੂਲ ਇੰਟਰਫੇਸ ਨਾਮ ਬਦਲੋ):

  [RDPopen]
      sequence        = 44444,33333,22222
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -t nat -A PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
      cmd_timeout     = 3600
      stop_command    = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
  [RDPclose]
      sequence        = 22222,33333,44444
      seq_timeout     = 5
      tcpflags        = syn
      command         = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2

  ਅਸੀਂ ਕਮਾਂਡ ਨਾਲ ਸਰਵਰ 'ਤੇ ਕਲਾਇੰਟ ਤੋਂ ਸਾਡੀਆਂ ਸਾਰੀਆਂ ਕਿੱਕਾਂ ਨੂੰ ਟਰੈਕ ਕਰਦੇ ਹਾਂ iptables -S.

2. ਰੇਕ ਲਈ ਗਾਈਡ

knockd.conf:

ਮਾਨ ਵਿੱਚ ਸਭ ਕੁਝ ਸ਼ਾਮਲ ਹੁੰਦਾ ਹੈ (ਪਰ ਇਹ ਗਲਤ ਹੈ), ਪਰ knockd ਸੰਦੇਸ਼ਾਂ ਵਾਲਾ ਇੱਕ ਬੇਤੁਕਾ ਦੋਸਤ ਹੈ, ਇਸ ਲਈ ਤੁਹਾਨੂੰ ਬਹੁਤ ਸਾਵਧਾਨ ਰਹਿਣ ਦੀ ਲੋੜ ਹੈ।

• ਵਰਜਨ
  ਫੇਡੋਰਾ/ਸੈਂਟੋਸ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ, ਅੱਜ ਲਈ ਨਵੀਨਤਮ ਦਸਤਕ 0.63 ਹੈ। ਕੌਣ UDP ਚਾਹੁੰਦਾ ਹੈ - 0.70 ਪੈਕੇਟ ਲੱਭੋ।
• ਇੰਟਰਫੇਸ
  ਡਿਫਾਲਟ ਫੇਡੋਰਾ/ਸੈਂਟੋਸ ਸੰਰਚਨਾ ਵਿੱਚ ਇਹ ਲਾਈਨ ਕੋਈ ਵੀ. ਆਪਣੇ ਹੱਥਾਂ ਨਾਲ ਜੋੜੋ, ਨਹੀਂ ਤਾਂ ਇਹ ਕੰਮ ਨਹੀਂ ਕਰੇਗਾ.
• ਸਮਾਂ ਖ਼ਤਮ
  ਇੱਥੇ ਤੁਸੀਂ ਆਪਣੇ ਸੁਆਦ ਦੇ ਅਨੁਸਾਰ ਚੋਣ ਕਰ ਸਕਦੇ ਹੋ. ਇਹ ਜ਼ਰੂਰੀ ਹੈ ਕਿ ਕਲਾਇੰਟ ਕੋਲ ਸਾਰੀਆਂ ਕਿੱਕਾਂ ਲਈ ਕਾਫ਼ੀ ਸਮਾਂ ਹੋਵੇ - ਅਤੇ ਪੋਰਟ ਸਕੈਨਰ ਬੋਟ ਟੁੱਟ ਜਾਵੇਗਾ (ਅਤੇ 146% ਸਕੈਨ ਕਰੇਗਾ).
• ਸਟਾਰਟ/ਸਟਾਪ/ਕਮਾਂਡ।
  ਜੇਕਰ ਇੱਕ ਕਮਾਂਡ ਹੈ, ਤਾਂ ਕਮਾਂਡ, ਜੇਕਰ ਦੋ ਹਨ, ਤਾਂ start_command+stop_command।
  ਜੇ ਤੁਸੀਂ ਗਲਤੀ ਕਰਦੇ ਹੋ, ਤਾਂ ਦਸਤਕ ਚੁੱਪ ਰਹੇਗੀ, ਪਰ ਕੰਮ ਨਹੀਂ ਕਰੇਗੀ.
• ਪ੍ਰੋਟੋ
  ਸਿਧਾਂਤਕ ਤੌਰ 'ਤੇ, UDP ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਅਭਿਆਸ ਵਿੱਚ, ਮੈਂ tcp ਅਤੇ udp ਨੂੰ ਮਿਲਾਇਆ, ਅਤੇ ਬਾਲੀ ਵਿੱਚ ਬੀਚ ਤੋਂ ਗਾਹਕ ਸਿਰਫ ਪੰਜਵੀਂ ਵਾਰ ਗੇਟ ਖੋਲ੍ਹਣ ਦੇ ਯੋਗ ਸੀ। ਕਿਉਂਕਿ ਲੋੜ ਪੈਣ 'ਤੇ TCP ਪਹੁੰਚਿਆ, ਪਰ UDP ਇੱਕ ਤੱਥ ਨਹੀਂ ਹੈ। ਪਰ ਇਹ ਸਵਾਦ ਦਾ ਮਾਮਲਾ ਹੈ, ਦੁਬਾਰਾ.
• ਕ੍ਰਮ
  ਅੰਤਰੀਵ ਰੇਕ ਇਹ ਹੈ ਕਿ ਕ੍ਰਮ ਨੂੰ ਕੱਟਣਾ ਨਹੀਂ ਚਾਹੀਦਾ ... ਇਸਨੂੰ ਕਿਵੇਂ ਰੱਖਣਾ ਹੈ ...

ਉਦਾਹਰਨ ਲਈ, ਇਹ:

open: 11111,22222,33333
close: 22222,11111,33333

ਕਿੱਕ 11111 ਦੁਆਰਾ ਓਪਨ 22222 'ਤੇ ਅਗਲੀ ਕਿੱਕ ਦਾ ਇੰਤਜ਼ਾਰ ਕਰੇਗਾ। ਹਾਲਾਂਕਿ, ਇਸ (22222) ਕਿੱਕ ਤੋਂ ਬਾਅਦ ਇਹ ਕੰਮ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰ ਦੇਵੇਗਾ। ਬੰਦ ਕਰੋ ਅਤੇ ਸਭ ਕੁਝ ਟੁੱਟ ਜਾਵੇਗਾ। ਇਹ ਗਾਹਕ ਦੀ ਦੇਰੀ 'ਤੇ ਵੀ ਨਿਰਭਰ ਕਰਦਾ ਹੈ। ਅਜਿਹੀਆਂ ਚੀਜ਼ਾਂ ©.

iptables

ਜੇਕਰ /etc/sysconfig/iptables ਵਿੱਚ ਇਹ ਹੈ:

*nat
:PREROUTING ACCEPT [0:0]

ਇਹ ਅਸਲ ਵਿੱਚ ਸਾਨੂੰ ਪਰੇਸ਼ਾਨ ਨਹੀਂ ਕਰਦਾ, ਇਸ ਲਈ ਇਹ ਇੱਥੇ ਹੈ:

*filter
:INPUT ACCEPT [0:0]
...
-A INPUT -j REJECT --reject-with icmp-host-prohibited

ਇਹ ਦਖਲਅੰਦਾਜ਼ੀ ਕਰਦਾ ਹੈ।

ਕਿਉਂਕਿ knockd INPUT ਚੇਨ ਦੇ ਅੰਤ ਵਿੱਚ ਨਿਯਮ ਜੋੜਦਾ ਹੈ, ਸਾਨੂੰ ਅਸਵੀਕਾਰ ਹੋ ਜਾਵੇਗਾ।

ਅਤੇ ਇਸ ਅਸਵੀਕਾਰ ਨੂੰ ਬੰਦ ਕਰਨ ਦਾ ਮਤਲਬ ਹੈ ਕਾਰ ਨੂੰ ਸਾਰੀਆਂ ਹਵਾਵਾਂ ਲਈ ਖੋਲ੍ਹਣਾ.

iptables ਵਿੱਚ ਗੁੰਮ ਨਾ ਹੋਣ ਲਈ ਕੀ ਪਹਿਲਾਂ ਕੀ ਪਾਉਣਾ ਹੈ (ਇਸ ਤਰ੍ਹਾਂ ਲੋਕ ਸੁਝਾਅ) ਆਓ ਇਸਨੂੰ ਸਰਲ ਕਰੀਏ:

• ਡਿਫਾਲਟ CentOS/Fedora 'ਤੇ ਪਹਿਲਾ ਨਿਯਮ ("ਜਿਸ ਚੀਜ਼ ਦੀ ਮਨਾਹੀ ਨਹੀਂ ਹੈ ਉਸ ਦੀ ਇਜਾਜ਼ਤ ਹੈ") ਨੂੰ ਉਲਟ ਨਾਲ ਬਦਲਿਆ ਜਾਵੇਗਾ,
• ਅਤੇ ਅਸੀਂ ਆਖਰੀ ਨਿਯਮ ਨੂੰ ਹਟਾ ਦਿੰਦੇ ਹਾਂ।

ਨਤੀਜਾ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ:

*filter
:INPUT DROP [0:0]
...
#-A INPUT -j REJECT --reject-with icmp-host-prohibited

ਤੁਸੀਂ, ਬੇਸ਼ਕ, DROP ਦੀ ਬਜਾਏ ਅਸਵੀਕਾਰ ਕਰ ਸਕਦੇ ਹੋ, ਪਰ DROP ਨਾਲ ਜੀਵਨ ਬੋਟਾਂ ਲਈ ਵਧੇਰੇ ਮਜ਼ੇਦਾਰ ਹੋਵੇਗਾ।

3. ਕਲਾਇੰਟ

ਇਹ ਸਥਾਨ ਸਭ ਤੋਂ ਦਿਲਚਸਪ ਹੈ (ਮੇਰੇ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ), ਕਿਉਂਕਿ ਤੁਹਾਨੂੰ ਕਿਸੇ ਵੀ ਬੀਚ ਤੋਂ ਹੀ ਨਹੀਂ, ਸਗੋਂ ਕਿਸੇ ਵੀ ਡਿਵਾਈਸ ਤੋਂ ਵੀ ਕੰਮ ਕਰਨ ਦੀ ਜ਼ਰੂਰਤ ਹੈ.

ਸਿਧਾਂਤ ਵਿੱਚ, ਬਹੁਤ ਸਾਰੇ ਗਾਹਕਾਂ ਨੂੰ ਸੂਚੀਬੱਧ ਕੀਤਾ ਗਿਆ ਹੈ ਸਾਈਟ ਪ੍ਰੋਜੈਕਟ, ਪਰ ਇਹ ਉਸੇ ਲੜੀ ਤੋਂ ਹੈ "ਸਭ ਕੁਝ ਇੰਟਰਨੈਟ ਤੇ ਹੈ." ਇਸ ਲਈ, ਮੈਂ ਸੂਚੀ ਬਣਾਵਾਂਗਾ ਕਿ ਇੱਥੇ ਅਤੇ ਹੁਣ ਮੇਰੀਆਂ ਉਂਗਲਾਂ 'ਤੇ ਕੀ ਕੰਮ ਕਰ ਰਿਹਾ ਹੈ.

ਇੱਕ ਕਲਾਇੰਟ ਦੀ ਚੋਣ ਕਰਦੇ ਸਮੇਂ, ਤੁਹਾਨੂੰ ਇਹ ਯਕੀਨੀ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ ਕਿ ਇਹ ਪੈਕਟਾਂ ਦੇ ਵਿਚਕਾਰ ਦੇਰੀ ਵਿਕਲਪ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ। ਹਾਂ, ਬੀਚਾਂ ਅਤੇ 100 ਮੈਗਾਬਿਟ ਵਿਚਕਾਰ ਅੰਤਰ ਹਨ ਕਦੇ ਵੀ ਇਸ ਗੱਲ ਦੀ ਗਰੰਟੀ ਨਹੀਂ ਦਿੰਦੇ ਕਿ ਪੈਕੇਟ ਦਿੱਤੇ ਸਥਾਨ ਤੋਂ ਸਹੀ ਸਮੇਂ 'ਤੇ ਸਹੀ ਕ੍ਰਮ ਵਿੱਚ ਪਹੁੰਚਣਗੇ।

ਅਤੇ ਹਾਂ, ਇੱਕ ਕਲਾਇੰਟ ਸਥਾਪਤ ਕਰਨ ਵੇਲੇ, ਤੁਹਾਨੂੰ ਆਪਣੇ ਆਪ ਵਿੱਚ ਦੇਰੀ ਦੀ ਚੋਣ ਕਰਨ ਦੀ ਜ਼ਰੂਰਤ ਹੁੰਦੀ ਹੈ. ਬਹੁਤ ਜ਼ਿਆਦਾ ਸਮਾਂ ਸਮਾਪਤ - ਬੋਟ ਹਮਲਾ ਕਰਨਗੇ, ਬਹੁਤ ਘੱਟ - ਕਲਾਇੰਟ ਕੋਲ ਸਮਾਂ ਨਹੀਂ ਹੋਵੇਗਾ। ਬਹੁਤ ਜ਼ਿਆਦਾ ਦੇਰੀ - ਗਾਹਕ ਇਸ ਨੂੰ ਸਮੇਂ ਸਿਰ ਨਹੀਂ ਕਰੇਗਾ ਜਾਂ ਮੂਰਖਾਂ ਦਾ ਟਕਰਾਅ ਹੋਵੇਗਾ ("ਰੇਕ" ਦੇਖੋ), ਬਹੁਤ ਘੱਟ - ਪੈਕੇਟ ਇੰਟਰਨੈਟ 'ਤੇ ਗੁੰਮ ਹੋ ਜਾਣਗੇ।

ਸਮਾਂ ਸਮਾਪਤੀ=5s ਦੇ ਨਾਲ, ਦੇਰੀ=100..500ms ਇੱਕ ਪੂਰੀ ਤਰ੍ਹਾਂ ਕੰਮ ਕਰਨ ਵਾਲਾ ਵਿਕਲਪ ਹੈ

Windows ਨੂੰ

ਭਾਵੇਂ ਇਹ ਕਿੰਨਾ ਵੀ ਮਜ਼ਾਕੀਆ ਲੱਗ ਰਿਹਾ ਹੋਵੇ, ਇਹ ਇਸ ਪਲੇਟਫਾਰਮ ਲਈ ਗੂਗਲ ਲਈ ਇੱਕ ਸਪੱਸ਼ਟ ਦਸਤਕ ਕਲਾਇੰਟ ਲਈ ਕਾਫ਼ੀ ਗੈਰ-ਮਾਮੂਲੀ ਹੈ। ਜਿਵੇਂ ਕਿ CLI ਦੇਰੀ, TCP - ਅਤੇ ਬਿਨਾਂ ਕਮਾਨ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ।

ਵਿਕਲਪਕ ਤੌਰ 'ਤੇ, ਤੁਸੀਂ ਕੋਸ਼ਿਸ਼ ਕਰ ਸਕਦੇ ਹੋ ਬਸ ਇਹ ਹੀ ਸੀ. ਜ਼ਾਹਰ ਹੈ ਕਿ ਮੇਰਾ ਗੂਗਲ ਕੋਈ ਕੇਕ ਨਹੀਂ ਹੈ.

ਲੀਨਕਸ

ਇਹ ਇੱਥੇ ਸਧਾਰਨ ਹੈ:

dnf install knock -y
knock -d <delay> <dst_ip> 11111 22222 33333

ਮੈਕੋਸ

ਸਭ ਤੋਂ ਆਸਾਨ ਤਰੀਕਾ ਹੈ ਹੋਮਬਰੂ ਤੋਂ ਪੋਰਟ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨਾ:
brew install knock
ਅਤੇ ਕਮਾਂਡਾਂ ਲਈ ਲੋੜੀਂਦੀਆਂ ਬੈਚ ਫਾਈਲਾਂ ਖਿੱਚੋ ਜਿਵੇਂ ਕਿ:

#!bin/sh
knock -d <delay> <dst_ip> 11111 22222 33333

ਆਈਓਐਸ

ਇੱਕ ਕੰਮ ਕਰਨ ਦਾ ਵਿਕਲਪ ਹੈ KnockOnD (ਮੁਫ਼ਤ, ਸਟੋਰ ਤੋਂ)।

ਛੁਪਾਓ

"ਬੰਦਰਗਾਹਾਂ 'ਤੇ ਦਸਤਕ" ਵਿਗਿਆਪਨ ਨਹੀਂ, ਪਰ ਇਹ ਸਿਰਫ ਕੰਮ ਕਰਦਾ ਹੈ. ਅਤੇ ਡਿਵੈਲਪਰ ਕਾਫ਼ੀ ਜਵਾਬਦੇਹ ਹਨ.

ਹੈਬਰੇ 'ਤੇ PS ਮਾਰਕਡਾਉਨ, ਬੇਸ਼ਕ, ਰੱਬ ਉਸਨੂੰ ਕਿਸੇ ਦਿਨ ਅਸੀਸ ਦੇਵੇ ...

ਯੂ ਪੀ ਡੀ 1: ਦਾ ਧੰਨਵਾਦ ਇੱਕ ਚੰਗੇ ਵਿਅਕਤੀ ਨੂੰ ਪਾਇਆ ਕੰਮ ਕਰ ਰਹੇ ਗਾਹਕ ਵਿੰਡੋਜ਼ ਦੇ ਅਧੀਨ.
ਯੂ ਪੀ ਡੀ 2: ਇੱਕ ਹੋਰ ਚੰਗਾ ਆਦਮੀ ਨੇ ਮੈਨੂੰ ਯਾਦ ਦਿਵਾਇਆ ਕਿ iptables ਦੇ ਅੰਤ ਵਿੱਚ ਨਵੇਂ ਨਿਯਮ ਲਗਾਉਣਾ ਹਮੇਸ਼ਾ ਲਾਭਦਾਇਕ ਨਹੀਂ ਹੁੰਦਾ। ਪਰ - ਇਹ ਨਿਰਭਰ ਕਰਦਾ ਹੈ.

ਸਰੋਤ: www.habr.com