knockd - Online sa Cloud

PROGRAMA:

NAME

knockd - port-knock server

SINOPSIS

kumatok [mga pagpipilian]

DESCRIPTION

kumatok ay isang port-knock server. Nakikinig ito sa lahat ng trapiko sa isang ethernet (o PPP)
interface, naghahanap ng mga espesyal na "knock" sequence ng mga port-hit. Ginagawa ng isang kliyente ang mga port-
hit sa pamamagitan ng pagpapadala ng TCP (o UDP) packet sa isang port sa server. Ang port na ito ay hindi kailangang bukas
-- dahil nakikinig si knockd sa antas ng link-layer, nakikita nito ang lahat ng trapiko kahit na ito ay nakatadhana
para sa isang saradong port. Kapag nakita ng server ang isang tiyak na pagkakasunod-sunod ng mga port-hit, ito ay nagpapatakbo ng a
utos na tinukoy sa configuration file nito. Ito ay maaaring gamitin upang buksan ang mga butas sa isang
firewall para sa mabilis na pag-access.

COMMANDLINE Opsyon

-ako, --interface
Tumukoy ng interface na pakikinggan. Ang default ay eth0.

-d, --demonyo
Maging isang daemon. Ito ay karaniwang ninanais para sa normal na operasyong tulad ng server.

-c, --config
Tumukoy ng kahaliling lokasyon para sa config file. Default ay /etc/knockd.conf.

-D, --debug
Mga mensahe sa pag-debug ng ouput.

-l, --lookup
Maghanap ng mga pangalan ng DNS para sa mga entry sa log. Ito ay maaaring isang panganib sa seguridad! Tingnan ang seksyon SEGURIDAD
NOTA.

-sa, --verbose
Mag-output ng mga verbose status message.

-V, --bersyon
Ipakita ang bersyon.

-h, - Tumulong
Tulong sa syntax.

Configuration

Binabasa ng knockd ang lahat ng set ng knock/event mula sa isang configuration file. Ang bawat katok/kaganapan ay nagsisimula sa
isang pananda ng pamagat, sa anyo [pangalan], Kung saan pangalan ay ang pangalan ng kaganapan na lilitaw
sa talaan. Isang espesyal na marker, [mga pagpipilian], ay ginagamit upang tukuyin ang mga pandaigdigang opsyon.

halimbawa # 1:
Ang halimbawang ito ay gumagamit ng dalawang katok. Ang una ay magpapahintulot sa kumakatok na ma-access ang port 22
(SSH), at isasara ng pangalawa ang port kapag kumpleto na ang knocker. Sa abot ng iyong makakaya
tingnan mo, ito ay maaaring maging kapaki-pakinabang kung magpapatakbo ka ng isang napakahigpit na (PAGTATANGGI na patakaran) na firewall at
Gustong ma-access ito nang maingat.

[mga pagpipilian]
logfile = /var/log/knockd.log

[openSSH]
sequence = 7000,8000,9000
seq_timeout = 10
tcpflags = syn
utos = /sbin/iptables -Isang INPUT -s %IP% -j TANGGAPIN

[closeSSH]
sequence = 9000,8000,7000
seq_timeout = 10
tcpflags = syn
utos = /sbin/iptables -D INPUT -s %IP% -j TANGGAPIN

halimbawa # 2:
Ang halimbawang ito ay gumagamit ng isang katok upang kontrolin ang pag-access sa port 22 (SSH). Pagkatapos
pagtanggap ng isang matagumpay na katok, ang daemon ay tatakbo sa start_command, hintayin ang
oras na tinukoy sa cmd_timeout, pagkatapos ay isagawa ang stop_command. Ito ay kapaki-pakinabang sa
awtomatikong isinara ang pinto sa likod ng isang kumakatok. Ang pagkakasunod-sunod ng katok ay gumagamit ng parehong UDP
at mga TCP port.

[mga pagpipilian]
logfile = /var/log/knockd.log

[opencloseSSH]
sequence = 2222:udp,3333:tcp,4444:udp
seq_timeout = 15
tcpflags = syn,ack
start_command = /usr/sbin/iptables -A INPUT -s %IP% -p tcp --syn -j ACCEPT
cmd_timeout = 5
stop_command = /usr/sbin/iptables -D INPUT -s %IP% -p tcp --syn -j ACCEPT

halimbawa # 3:
Ang halimbawang ito ay hindi gumagamit ng iisa, naayos na pagkakasunod-sunod ng katok upang mag-trigger ng isang kaganapan, ngunit a
set ng mga sequence na kinuha mula sa isang sequence file (isang beses na sequence), na tinukoy ng
one_time_sequences direktiba. Pagkatapos ng bawat matagumpay na katok, ang ginamit na sequence ay
ay hindi wasto at ang susunod na sequence mula sa sequence file ay kailangang gamitin para sa a
matagumpay na katok. Pinipigilan nito ang isang attacker na gumawa ng replay attack pagkatapos
na nakatuklas ng isang sequence (hal., habang sinisinghot ang network).

[mga pagpipilian]
logfile = /var/log/knockd.log

[opencloseSMTP]
one_time_sequences = /etc/knockd/smtp_sequences
seq_timeout = 15
tcpflags = palikpik,!ack
start_command = /usr/sbin/iptables -A INPUT -s %IP% -p tcp --dport 25 -j ACCEPT
cmd_timeout = 5
stop_command = /usr/sbin/iptables -D INPUT -s %IP% -p tcp --dport 25 -j ACCEPT

Configuration: Global DIREKTO

UseSyslog
Mag-log ng mga mensahe ng aksyon sa pamamagitan ng syslog(). Ito ay maglalagay ng mga log entry sa iyong
/var/log/message o katumbas nito.

LogFile = /path/to/file
Direktang mag-log ng mga aksyon sa isang file, karaniwang /var/log/knockd.log.

PidFile = /path/to/file
Pidfile na gagamitin kapag nasa daemon mode, default: /var/run/knockd.pid.

interface =
Network interface upang makinig sa. Pangalan lamang nito ang dapat ibigay, hindi ang daan patungo sa
device (hal., "eth0" at hindi "/dev/eth0"). Default: eth0.

Configuration: KNOCK/EVENT DIREKTO

Pagkakasunud-sunod = [: ][, [: ] ...]
Tukuyin ang pagkakasunod-sunod ng mga port sa espesyal na katok. Kung ang isang maling port na may parehong
ang mga watawat ay natanggap, ang katok ay itinapon. Opsyonal, maaari mong tukuyin ang protocol
na gagamitin sa bawat-port na batayan (default ay TCP).

One_Time_Sequences = /path/to/one_time_sequences_file
File na naglalaman ng mga one time sequence na gagamitin. Sa halip na gumamit ng isang nakapirming
sequence, babasahin ng knockd ang sequence na gagamitin mula sa file na iyon. Pagkatapos ng bawat isa
matagumpay na pagtatangka ng katok ang sequence na ito ay hindi papaganahin sa pamamagitan ng pagsulat ng '#' na character
sa unang posisyon ng linya na naglalaman ng ginamit na sequence. Ginamit na sequence iyon
pagkatapos ay papalitan ng susunod na wastong sequence mula sa file.

Dahil ang unang character ay pinalitan ng '#', inirerekomenda na umalis ka
isang puwang sa simula ng bawat linya. Kung hindi ang unang digit sa iyong katok
ang sequence ay mapapatungan ng '#' pagkatapos itong magamit.

Ang bawat linya sa isang beses na sequences file ay naglalaman ng eksaktong isang sequence at mayroong
parehong format tulad ng para sa Pagkakasunud-sunod direktiba. Mga linyang nagsisimula sa '#'
hindi papansinin ang karakter.

nota: Huwag i-edit ang file habang tumatakbo ang knockd!

Seq_Timeout =
Oras na para maghintay para sa isang sequence na makumpleto sa ilang segundo. Kung lumipas ang oras bago ang
Kumpleto na ang katok, itinatapon na.

Mga TCPFlag = fin|syn|rst|psh|ack|urg
Bigyang-pansin lamang ang mga packet na may ganitong flag set. Kapag gumagamit ng mga flag ng TCP,
Ang knockd ay hindi papansinin ang mga tcp packet na hindi tumutugma sa mga flag. Iba ito sa
ang normal na pag-uugali, kung saan ang maling packet ay magpapawalang-bisa sa buong katok,
pinipilit ang kliyente na magsimulang muli. Ang paggamit ng "TCPFlags = syn" ay kapaki-pakinabang kung ikaw ay
pagsubok sa isang koneksyon sa SSH, dahil ang trapiko ng SSH ay karaniwang makagambala sa (at
kaya invalidate) ang katok.

Paghiwalayin ang maramihang mga flag gamit ang mga kuwit (hal., TCPFlags = syn,ack,urg). Ang mga bandila ay maaaring
tahasang ibinukod ng isang "!" (hal., TCPFlags = syn,!ack).

Start_Command =
Tukuyin ang utos na isasagawa kapag ang isang kliyente ay gumawa ng tamang port-knock. Lahat
mga pagkakataon ng %IP% ay papalitan ng IP address ng kumakatok. Ang Utos
Ang direktiba ay isang alias para sa Start_Command.

Cmd_Timeout =
Oras na para maghintay sa pagitan Start_Command at Stop_Command sa ilang mga segundo. Ang direktiba na ito ay
opsyonal, kinakailangan lamang kung Stop_Command Ginagamit.

Stop_Command =
Tukuyin ang utos na isasagawa kung kailan Cmd_Timeout ilang segundo na ang lumipas mula noon
Start_Command ay naisakatuparan. Lahat ng pagkakataon ng %IP% ay papalitan ng
IP address ng knocker. Opsyonal ang direktiba na ito.

SEGURIDAD NOTA

Paggamit ng -l or --lookup commandline na opsyon upang malutas ang mga pangalan ng DNS para sa mga entry ng log ay maaaring a
panganib sa seguridad! Maaaring malaman ng isang attacker ang unang port ng isang sequence kung masusubaybayan niya
kumatok ang trapiko ng DNS ng host na tumatakbo. Isa ring host na dapat ay stealth (hal,
Ang pag-drop ng mga packet sa mga saradong TCP port sa halip na tumugon gamit ang isang ACK+RST packet) ay maaaring magbigay
palayo sa pamamagitan ng paglutas ng pangalan ng DNS kung ang isang umaatake ay namamahala na maabot ang unang (hindi kilalang) port
ng isang pagkakasunod-sunod.

Gumamit ng knockd online gamit ang mga serbisyo ng onworks.net