Portul bate pe Debian

• Pasul 1: Instalarea pachetelor necesare
• Pasul 2: Configurarea iptables pentru a utiliza această caracteristică
• Pasul 3: Să-l încercăm
• Concluzie

Până acum, probabil că v-ați schimbat portul SSH implicit. Totuși, hackerii pot scana cu ușurință intervalele de porturi pentru a descoperi acel port - dar cu ajutorul baterii portului, puteți păcăli scanerele portului. Cum funcționează este faptul că clientul dvs. SSH încearcă să se conecteze la o secvență de porturi, toate acestea refuzând conexiunea dvs., dar deblocați un port specificat care vă permite conexiunea. Foarte sigur și simplu de instalat. Portul este unul dintre cele mai bune moduri de a vă proteja serverul împotriva încercărilor de conectare SSH neautorizate.

Acest articol vă va învăța cum să configurați baterea portului. A fost scris pentru Debian 7 (Wheezy), dar poate funcționa și la alte versiuni ale Debian și Ubuntu.

Pasul 1: Instalarea pachetelor necesare

Presupun că ați instalat deja un server SSH. Dacă nu aveți acest lucru, rulați următoarele comenzi ca root:

apt-get update
apt-get install openssh-server
apt-get install knockd

Apoi, instalați iptables.

apt-get install iptables

Nu există multe pachete de instalat - asta îl face soluția perfectă pentru a vă proteja împotriva încercărilor de forță brută, fiind, de asemenea, ușor de configurat.

Pasul 2: Configurarea iptables pentru a utiliza această caracteristică

Deoarece portul SSH se va închide după conectare, trebuie să ne asigurăm că serverul vă permite să rămâneți conectat în timp ce blocați alte încercări de conectare. Executați aceste comenzi pe serverul dvs. ca root.

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --destination-port 22 -j DROP
apt-get install iptables-persistent
iptables-save

Aceasta va permite conexiunile existente să rămână, dar să blocheze orice alt lucru la portul SSH.

Acum, hai să configurăm knockd.

Aici se întâmplă magia - veți putea alege ce porturi vor trebui bătute la început. Deschideți un editor de text la fișier /etc/knockd.conf.

nano /etc/knockd.conf

Va exista o secțiune care arată ca blocul următor.

[openSSH]
    sequence    = 7000,8000,9000
    seq_timeout = 5
    command     = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
    tcpflags    = syn

În această secțiune, veți putea schimba secvența de porturi care trebuie bătute. Pentru moment, vom sta cu porturile 7000, 8000 și 9000. Modificarea seq_timeout = 5a seq_timeout = 10, și pentru closeSSHsecțiunea, face același lucru pentru seq_timeoutlinia. Există, de asemenea, o linie de secvență în closeSSHsecțiunea pe care trebuie să o modificați.

Trebuie să activăm knockd-ul, deci deschideți din nou editorul ca root.

nano /etc/default/knockd

Schimbați 0 din secțiune START_KNOCKDla 1, apoi salvați și ieșiți.

Acum, începe să bat:

service knockd start

Grozav! Totul este instalat. Dacă vă deconectați de la serverul dvs., va trebui să bateți porturile 7000, 8000 și 9000 pentru a vă conecta din nou.

Pasul 3: Să-l încercăm

Dacă totul a fost instalat corect, nu ar trebui să vă puteți conecta la serverul dvs. SSH.

Puteți testa portul cu un client telnet.

Utilizatorii Windows pot lansa telnet din promptul de comandă. Dacă telnet-ul nu este instalat, accesați secțiunea „Programe” din Panoul de control, apoi localizați „Activarea sau dezactivarea funcțiilor Windows”. În panoul de funcții, localizați „Clientul Telnet” și activați-l.

În terminalul / tipul de prompt de comandă:

telnet youripaddress 7000
telnet youripaddress 8000
telnet youripaddress 9000

Faceți toate acestea în zece secunde, deoarece aceasta este limita impusă în configurație. Acum, încercați să vă conectați la serverul dvs. prin SSH. Va fi accesibil.

Pentru a închide serverul SSH, executați comenzile în ordine inversă.

telnet youripaddress 9000
telnet youripaddress 8000
telnet youripaddress 7000

Concluzie

Cea mai bună parte a utilizării funcționării porturilor este că, dacă este configurat alături de autentificarea cu cheie privată, nu există aproape nicio șansă ca altcineva să poată intra dacă nu știe cineva porturile și cheia privată.