Batendo na porta no Debian

• Etapa 1: instalando os pacotes necessários
• Etapa 2: Configurando o iptables para usar esse recurso
• Etapa 3: vamos experimentar
• Conclusão

Até agora, você provavelmente alterou sua porta SSH padrão. Ainda assim, os hackers podem verificar facilmente os intervalos de portas para descobrir essa porta - mas com a batida de porta, você pode enganar os scanners de portas. Como funciona é que seu cliente SSH tenta se conectar a uma sequência de portas, todas recusando sua conexão, mas desbloqueando uma porta especificada que permite sua conexão. Muito seguro e simples de instalar. Bater à porta é uma das melhores maneiras de proteger seu servidor contra tentativas de conexão SSH não autorizadas.

Este artigo ensinará como configurar a batida na porta. Foi escrito para o Debian 7 (Wheezy), mas também pode funcionar em outras versões do Debian e Ubuntu.

Etapa 1: instalando os pacotes necessários

Estou assumindo que você já instalou um servidor SSH. Caso contrário, execute os seguintes comandos como root:

apt-get update
apt-get install openssh-server
apt-get install knockd

Em seguida, instale o iptables.

apt-get install iptables

Não há muitos pacotes para instalar - é o que o torna a solução perfeita para proteção contra tentativas de força bruta, além de ser fácil de configurar.

Etapa 2: Configurando o iptables para usar esse recurso

Como sua porta SSH será fechada após a conexão, precisamos garantir que o servidor permita que você permaneça conectado enquanto bloqueia outras tentativas de conexão. Execute estes comandos no seu servidor como root.

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --destination-port 22 -j DROP
apt-get install iptables-persistent
iptables-save

Isso permitirá que as conexões existentes permaneçam, mas bloqueie qualquer outra coisa na sua porta SSH.

Agora, vamos configurar o knockd.

É aqui que a mágica acontece - você poderá escolher quais portas precisarão ser batidas primeiro. Abra um editor de texto para o arquivo /etc/knockd.conf.

nano /etc/knockd.conf

Haverá uma seção que se parece com o bloco a seguir.

[openSSH]
    sequence    = 7000,8000,9000
    seq_timeout = 5
    command     = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
    tcpflags    = syn

Nesta seção, você poderá alterar a sequência de portas que precisam ser batidas. Por enquanto, permaneceremos com as portas 7000, 8000 e 9000. Altere seq_timeout = 5para seq_timeout = 10e, na closeSSHseção, faça o mesmo para a seq_timeoutlinha. Há também uma linha de sequência na closeSSHseção que você precisa modificar também.

Precisamos ativar o knockd, então abra seu editor como root novamente.

nano /etc/default/knockd

Altere o 0 na seção START_KNOCKDpara 1 e salve e saia.

Agora, comece a bater:

service knockd start

Ótimo! Tudo está instalado. Se você se desconectar do servidor, precisará bater nas portas 7000, 8000 e 9000 para se conectar novamente.

Etapa 3: vamos experimentar

Se tudo foi instalado corretamente, você não poderá se conectar ao seu servidor SSH.

Você pode testar a porta batendo com um cliente de telnet.

Os usuários do Windows podem iniciar o telnet no prompt de comando. Se o telnet não estiver instalado, acesse a seção "Programas" do Painel de controle e localize "Ativar ou desativar os recursos do Windows". No painel de recursos, localize "Telnet Client" e ative-o.

No seu terminal / prompt de comando, digite:

telnet youripaddress 7000
telnet youripaddress 8000
telnet youripaddress 9000

Faça tudo isso em dez segundos, pois esse é o limite imposto na configuração. Agora, tente se conectar ao seu servidor via SSH. Será acessível.

Para fechar o servidor SSH, execute os comandos na ordem inversa.

telnet youripaddress 9000
telnet youripaddress 8000
telnet youripaddress 7000

Conclusão

A melhor parte sobre o uso da batida de porta é que, se ela estiver configurada juntamente com a autenticação de chave privada, não haverá praticamente nenhuma chance de alguém entrar, a menos que alguém conheça as portas e a chave privada.