För dem som vill ge sig själva, det älskade, tillgång till sina servrar från vilken plats som helst i världen via SSH/RDP/annat — en liten RTFM/guide.

Vi behöver klara oss utan VPN och andra avancerade lösningar, med vilken apparat som helst i handen.

Och så att man inte behöver krångla för mycket med servern.

Allt som behövs för detta är — knockd, skickliga händer och 5 minuters arbete.

"Det finns allt på internet", visst (även på Habré), men när det kommer till den konkreta implementeringen — då börjar problemen...

Vi kommer att öva med exempel från Fedora/CentOS, men det spelar ingen roll.

Guiden passar både nybörjare och experter, så det kommer att finnas kommentarer, men kortare.

1. Server

• installera knock-server:
  yum/dnf install knock-server

• konfigurera den (till exempel för ssh) — /etc/knockd.conf:

  [options]
      UseSyslog
      interface = enp1s0f0
  [SSHopen]
      sequence        = 33333,22222,11111
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
      cmd_timeout     = 3600
      stop_command    = iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
  [SSHclose]
      sequence        = 11111,22222,33333
      seq_timeout     = 5
      tcpflags        = syn
      command         = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

  "Öppning"-delen är inställd på automatisk stängning efter 1 timme. Man vet aldrig...

• /etc/sysconfig/iptables:

  ...
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 11111 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 22222 -j ACCEPT
  -A INPUT -p tcp -m state --state NEW -m tcp --dport 33333 -j ACCEPT
  ...

• framåt:

  service iptables restart
  service knockd start

• man kan lägga till RDP på en roterande virtuell Windows Server (/etc/knockd.conf; sätt in gränssnittets namn efter eget val):

  [RDPopen]
      sequence        = 44444,33333,22222
      seq_timeout     = 5
      tcpflags        = syn
      start_command   = iptables -t nat -A PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
      cmd_timeout     = 3600
      stop_command    = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2
  [RDPclose]
      sequence        = 22222,33333,44444
      seq_timeout     = 5
      tcpflags        = syn
      command         = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2

  Alla våra klagomål från kunden övervakas på servern med kommandot iptables -S.

2. Resa genom fällorna

knockd.conf:

Det finns också allt i manualerna (men det är inte säkert), men knockd är en person som är ganska snål med meddelanden, så man måste vara väldigt försiktig.

• version
  I Fedora/CentOS-repositorierna är den senaste knockd versionen idag — 0.63. Den som vill ha UDP — leta efter paket 0.70.
• interface
  I den standardkonfigurationen Fedora/CentOS finns den här raden inte. Lägga till för hand, annars kommer det inte att fungera.
• timeout
  Här kan man välja efter smak. Det måste finnas tid för klienten att göra alla pings — och botportscannern ska förhindras (och de kommer att scanna 146%).
• start/stop/command.
  Om det är ett kommando så är det command, om det är två så är det start_command+stop_command.
  Om du gör ett misstag kommer knockd att vara tyst, men det kommer inte att fungera.
• proto
  Teoretiskt sett kan man använda UDP. I praktiken blandade jag tcp och udp, och klienten på stranden i Bali kunde öppna sin grind först efter femte försöket. Eftersom TCP kom fram när det behövdes, men UDP är osäkert. Men det är en smaksak också.
• sekvens
  Det finns dolda hinder, i och med att sekvenserna inte får överlappa... hur ska man säga...

Till exempel så här:

öppen: 11111,22222,33333
stäng: 22222,11111,33333

För spark 11111 open kommer det att vänta på nästa spark på 22222. Men med denna (22222) spark börjar det att fungera stäng och allt kommer att gå sönder. Det beror även på klientens fördröjning. Så här är det ©.

iptables

Om i /etc/sysconfig/iptables detta är:

*nat
:PREROUTING ACCEPT [0:0]

stör oss inte speciellt, så är detta:

*filter
:INPUT ACCEPT [0:0]
...
-A INPUT -j REJECT --reject-with icmp-host-prohibited

Stör det verkligen.

Eftersom knockd lägger till regler i slutet av INPUT-kedjan, kommer vi att få reject.

Att stänga av detta reject är som att öppna maskinen för alla vindar.

För att inte komplicera iptables med vad som ska sättas före vad (som folk föreslår) gör vi det enklare:

• standard i CentOS/Fedora den första regeln ("vad som inte är förbjudet är tillåtet") byter vi mot det motsatta,
• och den sista regeln tar vi bort.

I slutändan bör det se ut så här:

*filter
:INPUT DROP [0:0]
...
#-A INPUT -j REJECT --reject-with icmp-host-prohibited

Man kan förstås göra REJECT istället för DROP, men med DROP får botarna det enklare.

3. Klient

Här blir det riktigt intressant (enligt min åsikt), eftersom man måste kunna arbeta från vilken strand som helst, och från vilken enhet som helst.

I allmänhet finns en rad kunder nämnda på webbplats projektet, men det är samma gamla historia "det finns allt på internet". Därför nämner jag det som fungerar här och nu.

När man väljer klient måste man se till att den stöder fördröjningsalternativet mellan paketen. Ja, strand är inte alltid strand och 100 megabit garanterar inget när det kommer till att paketen anländer i rätt ordning vid rätt tidpunkt från den här platsen.

Och ja – när man konfigurerar klienten måste man justera fördröjningen själv. För mycket timeout – botarna kommer att attackera, för lite – klienten hinner inte. För mycket fördröjning – klienten hinner inte eller det blir konflikt vid knackanden (se "hinder"), för lite – paketen går vilse på nätet.

Med timeout=5s är delay=100..500ms en helt fungerande lösning.

Windows

Hur konstigt det än låter så är det ganska komplicerat att hitta en begriplig knock-klient för denna plattform. En som har CLI, stöder fördröjning, TCP – och utan krusiduller.

Ett alternativ kan vara att prova det här. Tydligen är min Google inte bra.

Linux

Här är det enkelt:

dnf install knock -y
knock -d   11111 22222 33333

MacOS

Det enklaste sättet är att installera porten från homebrew:
brew install knock
och rita upp de nödvändiga batchfilkommandona:

#!bin/sh
knock -d <delay> <dst_ip> 11111 22222 33333

iOS

En fungerande variant — KnockOnD (gratis, från butiken).

Android

«Knock on Ports». Ingen reklam, det fungerar bara. Och utvecklarna är tillräckligt responsiva.

P.S. Markdown på Habré, naturligtvis, må Gud bevara det någon gång...

UPD1: tack vare en bra människa finns det en fungerande klient för Windows.
UPD2: ytterligare en bra människa påminde om att det inte alltid är bra att sätta nya regler längst ner i iptables. Men — det beror på.

Källa: habr.com