Port Knocking

toc toc, quem é?

Hey Sysadmins!

outra alternativa para acessar nossos servers
gnu/linux é o knockd

A ideia é acessar o servidor ssh sem que ele esteja disponível
o tempo todo na internet. com o knorck, somente quem souber a
sequência do seu knorckd sera capaz de logar no servidor.
isso porque o knorck starta o ssh apos a sequencia correta para
o seu ip de origem.

exemplo:

configure o knockd o "porteiro" para responder somente para
pessoas especificas quando baterem à nossa porta.
no caso, pessoas são nossos pacotes tcp nas portas específicas.

eis a config /etc/knockd.conf:

[options]
logfile = /var/log/knockd.log

[openSSH]
sequence = 7000,8000,9000
seq_timeout = 10
tcpflags = syn
command = /usr/sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

[closeSSH]
sequence = 9000,8000,7000
seq_timeout = 10
tcpflags = syn
command = /usr/sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

este exemplo mostra 2 knocks. o primeiro ira permitir
o knocker para acessar a porta 22(ssh),e o segundo ira fechar
a porta quando o knocker estiver completo. e como voce pode ver,
isto pode ser bem interessante se voce usa uma politica restrintiva
como DENY e voce gostaria de acessa-lo discretamente.

resumo:

1. knock ipremoto -v 7000 8000 9000
..continue sua rotina em seu server ssh..

2. e feche totalmente o acesso com:
knock ipremoto -v 9000,8000,7000

very nice. um scan de algum script kiddie ira identificar
que voce nao roda nenhum servidor ssh. e ele nao poderá
tentar um brute-force... ah que pena =P

bye