Porti që troket në Debian

Deri tani, ju ndoshta keni ndryshuar portin tuaj të paracaktuar SSH. Megjithatë, hakerët mund të skanojnë lehtësisht vargjet e porteve për të zbuluar atë portë - por me goditjen e portit, ju mund të mashtroni skanerët e porteve. Mënyra se si funksionon është se klienti juaj SSH përpiqet të lidhet me një sekuencë portash, të cilat të gjitha do të refuzojnë lidhjen tuaj, por zhbllokojnë një port të specifikuar që lejon lidhjen tuaj. Shumë i sigurt dhe i thjeshtë për t'u instaluar. Trokitja e portit është një nga mënyrat më të mira për të mbrojtur serverin tuaj nga përpjekjet e paautorizuara të lidhjes SSH.

Ky artikull do t'ju mësojë se si të konfiguroni portin knocking. Është shkruar për Debian 7 (Wheezy), por mund të funksionojë edhe në versione të tjera të Debian dhe Ubuntu.

Hapi 1: Instalimi i paketave të kërkuara

Unë supozoj se ju keni instaluar tashmë një server SSH. Nëse nuk e keni, ekzekutoni komandat e mëposhtme si rrënjë:

apt-get update
apt-get install openssh-server
apt-get install knockd

Pastaj, instaloni iptables.

apt-get install iptables

Nuk ka shumë paketa për t'u instaluar - kjo është ajo që e bën atë zgjidhjen perfekte për t'u mbrojtur nga përpjekjet e forcës brutale, ndërkohë që është gjithashtu e lehtë për t'u konfiguruar.

Hapi 2: Konfigurimi i iptables për të përdorur këtë veçori

Për shkak se porta juaj SSH do të mbyllet pasi të lidheni, ne duhet të sigurohemi që serveri t'ju lejojë të qëndroni të lidhur ndërsa bllokoni përpjekjet e tjera të lidhjes. Ekzekutoni këto komanda në serverin tuaj si rrënjë.

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --destination-port 22 -j DROP
apt-get install iptables-persistent
iptables-save

Kjo do të lejojë që lidhjet ekzistuese të mbeten, por do të bllokojë çdo gjë tjetër në portin tuaj SSH.

Tani, le të konfigurojmë knockd.

Këtu ndodh magjia - ju do të jeni në gjendje të zgjidhni se cilat porte do të duhet të trokasin në fillim. Hapni një redaktues teksti në skedar /etc/knockd.conf.

nano /etc/knockd.conf

Do të ketë një seksion që duket si blloku i mëposhtëm.

[openSSH]
    sequence    = 7000,8000,9000
    seq_timeout = 5
    command     = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
    tcpflags    = syn

Në këtë seksion, ju do të jeni në gjendje të ndryshoni sekuencën e portave që duhet të trokasin. Tani për tani, do të qëndrojmë me portat 7000, 8000 dhe 9000. Ndryshoni seq_timeout = 5në seq_timeout = 10, dhe për closeSSHseksionin, bëni të njëjtën gjë për seq_timeoutlinjën. Ekziston gjithashtu një linjë sekuence në closeSSHseksion që duhet të modifikoni gjithashtu.

Duhet të aktivizojmë knockd, prandaj hapni përsëri redaktorin tuaj si rrënjë.

nano /etc/default/knockd

Ndryshoni 0 në seksion START_KNOCKDnë 1, më pas ruajeni dhe dilni.

Tani, filloni të trokitni:

service knockd start

E madhe! Gjithçka është e instaluar. Nëse shkëputeni nga serveri juaj, do t'ju duhet të trokasni portat 7000, 8000 dhe 9000 për t'u lidhur përsëri.

Hapi 3: Le ta provojmë

Nëse gjithçka është instaluar si duhet, nuk duhet të jeni në gjendje të lidheni me serverin tuaj SSH.

Mund të provoni trokitje të portit me një klient telnet.

Përdoruesit e Windows mund të nisin telnet nga komanda. Nëse telnet nuk është i instaluar, hyni në seksionin "Programet" të Panelit të Kontrollit dhe më pas gjeni "Aktivizo ose çaktivizo veçoritë e Windows". Në panelin e veçorive, gjeni "Telnet Client" dhe aktivizoni atë.

Në terminalin/promptin tuaj të komandës, shkruani:

telnet youripaddress 7000
telnet youripaddress 8000
telnet youripaddress 9000

Bëjeni të gjithë këtë në dhjetë sekonda, pasi ky është kufiri i vendosur në konfigurim. Tani, përpiquni të lidheni me serverin tuaj nëpërmjet SSH. Do të jetë e aksesueshme.

Për të mbyllur serverin SSH, ekzekutoni komandat në rend të kundërt.

telnet youripaddress 9000
telnet youripaddress 8000
telnet youripaddress 7000

konkluzioni

Pjesa më e mirë e përdorimit të "trokitjes së portit" është se nëse konfigurohet së bashku me vërtetimin e çelësit privat, praktikisht nuk ka asnjë shans që dikush tjetër të mund të hyjë nëse dikush nuk i dinte portat dhe çelësin privat.