如何在Ubuntu 18.04上使用端口敲序列进一步保护SSH

• 介绍
• 先决条件
• 步骤1：Knockd安装
• 步骤2：iptables规则
• 步骤3：Knockd配置
• 步骤4：测试
• 结论

介绍

除了更改SSH的默认端口并使用密钥对进行身份验证之外，端口终止还可以用于进一步保护（或更准确地说，掩盖）您的SSH服务器。它通过拒绝与SSH网络端口的连接来工作。这实际上掩盖了您正在运行SSH服务器的事实，直到对预定义端口进行了一系列连接尝试为止。端口敲除非常安全且易于实施，是保护服务器免受恶意SSH连接尝试的最佳方法之一。

先决条件

• 运行Ubuntu 18.04的Vultr服务器。
• 须藤访问。

在执行以下步骤之前，如果您没有以root用户身份登录，请通过运行sudo -i并输入密码来获取临时root shell 。或者，您可以添加sudo本文中显示的命令。

步骤1：Knockd安装

Knockd是与iptables结合使用的软件包，用于在服务器上实现端口敲除。iptables-persistent还需要' '软件包。

apt update
apt install -y knockd iptables-persistent

步骤2：iptables规则

按顺序运行以下命令：

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --destination-port 22 -j DROP
iptables-save > /etc/iptables/rules.v4

这些命令将分别执行以下操作：

• 指示iptables使现有连接保持活动状态。
• 指示iptables断开与端口tcp / 22的任何连接（如果SSH守护进程正在侦听22以外的端口，则应相应地修改上述命令。）
• 保存这两个规则，以便它们在重新启动后仍然存在。

步骤3：Knockd配置

使用您选择的文本编辑器，打开文件/etc/knockd.conf。

您将看到以下内容：

[openSSH]
sequence    = 7000,8000,9000
seq_timeout = 5
command     = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
tcpflags    = syn

您应该更改端口顺序（选择上面的端口号，1024并选择其他服务未使用的端口号），并安全地存储它。此组合应被视为密码。如果忘记了，您将无法访问SSH。我们将把这个新序列称为x,y,z。

该seq-timeout行是Knockd等待客户端完成端口敲除序列的秒数。将其更改为更大的值是个好主意，尤其是如果端口敲接将手动完成。但是，较小的超时值更安全。15建议将其更改为，因为我们将在本教程中手动进行设置。

将打开顺序更改为您选择的端口：

[openSSH]
sequence    = x,y,z

将命令值更改为以下内容：

command     = /sbin/iptables -I INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

现在相应地更改关闭顺序：

[closeSSH]
sequence    = z,y,x

保存更改并退出，然后打开文件/etc/default/knockd：

• 替换START_KNOCKD=0为START_KNOCKD=1。
• 将以下行添加到文件的末尾：（如果不同，请用公共网络接口的名称KNOCKD_OPTS="-i ens3"替换ens3。）
• 保存并退出。

现在启动Knockd：

systemctl start knockd

如果你现在从你的服务器断开，你将不得不敲港口x，y以及z再次连接。

步骤4：测试

现在，您将无法连接到SSH服务器。

您可以使用telnet客户端测试端口爆震。

Windows用户可以从命令提示符启动telnet。如果未安装telnet，请访问“控制面板”的“程序”部分，然后找到“打开或关闭Windows功能”。在功能面板上，找到“ Telnet客户端”并启用它。

在终端/命令提示符下，键入以下内容：

telnet youripaddress x
telnet youripaddress y
telnet youripaddress z

在15秒内完成所有操作，因为这是配置中施加的限制。现在，尝试通过SSH连接到服务器。它将可访问。

要关闭对SSH服务器的访问，请以相反的顺序运行命令。

telnet youripaddress z
telnet youripaddress y
telnet youripaddress z

结论

使用端口敲门最好的部分是，如果将它与私钥身份验证一起配置，除非有人知道您的端口敲门序列并拥有您的私钥，否则几乎没有其他人可以进入。