So sichern Sie SSH mit einer Port-Knocking-Sequenz unter Ubuntu 18.04 weiter

• Einführung
• Voraussetzungen
• Schritt 1: Knockd-Installation
• Schritt 2: iptables-Regeln
• Schritt 3: Knockd-Konfiguration
• Schritt 4: Testen
• Fazit

Einführung

Neben dem Ändern des Standardports für SSH und der Verwendung eines Schlüsselpaars zur Authentifizierung kann das Klopfen von Ports verwendet werden, um Ihren SSH-Server weiter zu sichern (oder genauer zu verdecken). Es funktioniert, indem Verbindungen zu Ihrem SSH-Netzwerkport abgelehnt werden. Dies verbirgt im Wesentlichen die Tatsache, dass Sie einen SSH-Server ausführen, bis eine Folge von Verbindungsversuchen zu vordefinierten Ports durchgeführt wird. Port Knocking ist sehr sicher und einfach zu implementieren. Es ist eine der besten Möglichkeiten, Ihren Server vor böswilligen SSH-Verbindungsversuchen zu schützen.

Voraussetzungen

• Ein Vultr-Server mit Ubuntu 18.04.
• Sudo Zugang.

Bevor Sie die folgenden Schritte ausführen, erhalten Sie eine temporäre Root-Shell, indem Sie sudo -iIhr Kennwort ausführen und eingeben , wenn Sie nicht als Root-Benutzer angemeldet sind . Alternativ können Sie sudoden in diesem Artikel gezeigten Befehlen voranstellen .

Schritt 1: Knockd-Installation

Knockd ist das Paket, das in Kombination mit iptables verwendet wird, um das Port-Knocking auf Ihrem Server zu implementieren. Das ' iptables-persistent' Paket ist ebenfalls erforderlich.

apt update
apt install -y knockd iptables-persistent

Schritt 2: iptables-Regeln

Führen Sie die folgenden Befehle der Reihe nach aus:

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --destination-port 22 -j DROP
iptables-save > /etc/iptables/rules.v4

Diese Befehle führen jeweils Folgendes aus:

• Weisen Sie iptables an, vorhandene Verbindungen aufrechtzuerhalten.
• Weisen Sie iptables an, die Verbindung zu Port tcp / 22 zu trennen (wenn Ihr SSH-Dämon einen anderen Port als 22 überwacht, sollten Sie den obigen Befehl entsprechend ändern.)
• Speichern Sie diese beiden Regeln, damit sie nach einem Neustart bestehen bleiben.

Schritt 3: Knockd-Konfiguration

Öffnen Sie die Datei mit einem Texteditor Ihrer Wahl /etc/knockd.conf.

Sie sehen Folgendes:

[openSSH]
sequence    = 7000,8000,9000
seq_timeout = 5
command     = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
tcpflags    = syn

Sie sollten die Reihenfolge der Ports ändern (Portnummern oben auswählen 1024und von anderen Diensten nicht verwenden) und sicher aufbewahren. Diese Kombination sollte wie ein Passwort behandelt werden. Wenn Sie vergessen werden, verlieren Sie den Zugriff auf SSH. Wir werden uns auf diese neue Sequenz als beziehen x,y,z.

Die seq-timeoutZeile gibt die Anzahl der Sekunden an, die Knockd darauf wartet, dass der Client die Port-Knocking-Sequenz abschließt. Es wäre eine gute Idee, dies in etwas Größeres zu ändern, insbesondere wenn das Port-Klopfen manuell durchgeführt wird. Ein kleinerer Timeout-Wert ist jedoch sicherer. Es 15wird empfohlen, es in zu ändern, da wir in diesem Tutorial manuell klopfen werden.

Ändern Sie die Öffnungsreihenfolge in die von Ihnen ausgewählten Ports:

[openSSH]
sequence    = x,y,z

Ändern Sie den Befehlswert wie folgt:

command     = /sbin/iptables -I INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

Ändern Sie nun die Schließreihenfolge entsprechend:

[closeSSH]
sequence    = z,y,x

Speichern Sie Ihre Änderungen, beenden Sie die Datei und öffnen Sie sie /etc/default/knockd:

• Ersetzen START_KNOCKD=0durch START_KNOCKD=1.
• Fügen Sie am Ende der Datei die folgende Zeile hinzu: KNOCKD_OPTS="-i ens3"(Ersetzen Sie sie ens3durch den Namen Ihrer öffentlichen Netzwerkschnittstelle, falls diese unterschiedlich ist.)
• Speichern und schließen.

Starten Sie jetzt Knockd:

systemctl start knockd

Wenn Sie jetzt von Ihrem Server trennen, werden Sie auf Ports klopfen x, yund zwieder zu verbinden.

Schritt 4: Testen

Sie können jetzt keine Verbindung zu Ihrem SSH-Server herstellen.

Sie können das Klopfen von Ports mit einem Telnet-Client testen.

Windows-Benutzer können Telnet über die Eingabeaufforderung starten. Wenn Telnet nicht installiert ist, rufen Sie den Abschnitt "Programme" in der Systemsteuerung auf und suchen Sie "Windows-Funktionen aktivieren oder deaktivieren". Suchen Sie im Funktionsbereich "Telnet-Client" und aktivieren Sie ihn.

Geben Sie in Ihr Terminal / Ihre Eingabeaufforderung Folgendes ein:

telnet youripaddress x
telnet youripaddress y
telnet youripaddress z

Tun Sie dies alles in fünfzehn Sekunden, da dies die in der Konfiguration festgelegte Grenze ist. Versuchen Sie nun, über SSH eine Verbindung zu Ihrem Server herzustellen. Es wird zugänglich sein.

Führen Sie die Befehle in umgekehrter Reihenfolge aus, um den Zugriff auf den SSH-Server zu schließen.

telnet youripaddress z
telnet youripaddress y
telnet youripaddress z

Fazit

Das Beste an der Verwendung des Port-Knockings ist, dass, wenn es neben der Authentifizierung mit privatem Schlüssel konfiguriert wird, praktisch keine Chance besteht, dass jemand anderes hineinkommt, es sei denn, jemand kennt Ihre Port-Knocking-Sequenz und verfügt über Ihren privaten Schlüssel.