一：設備信息

要保護的服務器：ubuntu14.04 ? ?192.168.1.38

ssh測試機：kali2.0 ? ? ? ? ? ? ? ? ? ? ?192.168.1.47

二：配置過程

1.首先掃描一下未進行knockd配置的服務器的端口狀況：

?由上面可知該服務器開啟了SSH端口

2.在服務器（192.168.1.38）下載并配置knockd

1)安裝knockd
　　#apt-get install update
　　#apt-get install build_essential -y
　　#apt-get install knockd -y

2)配置knockd服務：
　　2.1 配置/etc/knockd.conf。
　　　　[options]
　　　　#UseSyslog
　　　　LogFile = /knock.log ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?//可以自定義日志的輸出位置以及文件名

　　　　[openSSH]
　　　　sequence = 7000,8000,9000 ? ? ? ? ? ? ? ? ? ? //定義順序號，此處是默認的，也可以修改
　　　　seq_timeout = 30 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? //設置超時時間太小的話可能會出錯
　　　　command =?/sbin/iptables -I INPUT -s 192.168.1.47 -p tcp --dport 22 -j ACCEPT ? ? ?//-i 命令是將規(guī)則插入到最前面，最先生效，以防止過濾所有端口的情況將此條規(guī)則吃掉
　　　　tcpflags = syn

　　　　[closeSSH]
　　　　sequence = 9000,8000,7000 ? ? ? ? ? ? ? ? ? ?//定義關(guān)門順序號,與開門對應，順序相反
　　　　seq_timeout = 30?
　　　　command = /sbin/iptables -D INPUT -s 192.168.1.47?-p tcp --dport 22 -j ACCEPT ? ?//SSH使用完后，再將22端口“保護”起來
　　　　tcpflags = syn
? ? ? ? ? ? ??

?

　　2.2 配置/etc/default/knockd，修改START_KNOCKD=1。
　　　　################################################
　　　　#
　　　　# knockd's default file, for generic sys config
　　　　#
　　　　################################################

　　　　# control if we start knockd at init or not
　　　　# 1 = start
　　　　# anything else = don't start
　　　　#
　　　　# PLEASE EDIT /etc/knockd.conf BEFORE ENABLING
　　　　START_KNOCKD=1

　　　　# command line options
　　　　#KNOCKD_OPTS="-i eth1"

? ? ? ? ? ? ?

? ? ?2.3 ? 啟動knockd。
　　　 ? #service knockd start

? ? ? ? ? ? ?重啟knockd

? ? ? ? ? ? ? #service knockd restart

? ? ?2.4 ? 添加適當?shù)膇ptables規(guī)則

? ? ? ? ? ? ? 確保服務器可通過本地主機接口與自己對話：

? ? ? ? ? ? ? ? ?#iptables -A INPUT -s 127.0.0.0/8 ?-j ? ACCEPT

? ? ? ? ? ? ? 本次測試中，阻塞所有進入服務器的通信：

? ? ? ? ? ? ? ? ?#iptables -A INPUT ?-j ?DROP

? ? ? ? ? ? ? 查看添加到iptables規(guī)則：

? ? ? ? ? ? ? ? ?#?iptables -nvL

? ? ? ? ? ? ?

?

? ? ? ? ? ? ? 此時再用nmap掃描將看不到22 SSH端口：

? ? ? ? ??

?3.測試knockd服務

? ? ?1） 直接在kali測試機上使用ssh登錄服務器：

? ? ? ? ? ?#ssh bask@192.168.1.38

? ? ? ?

? ? ? ?由上面可知，這樣是無法正常登錄的

? ? ?2） 使用7000/8000/9000隊列號敲門登錄：

? ? ? ? ? ?#for x in 7000 8000 9000; do nmap -Pn --host_timeout 201 --max-retries 0 -p $x 192.168.1.38; done

? ? ??

? ? ?3） 再次測試此時是否能登陸：

? ? ? ???#ssh bask@192.168.1.38

? ? ? ??

? ? ? ?由上面可以看出，此時是成功登錄的

? ? ? ?這時服務器上iptables規(guī)則是有變化的：

? ? ? ?

? ? ? ?當指定的這臺測試機使用完SSH服務后，進行相應的關(guān)門操作，即可將端口再次“保護”起來

? ? ? 4）使用9000/8000/7000隊列號關(guān)門

? ? ??for x in 9000 8000 7000; do nmap -Pn --host_timeout 201 --max-retries 0 -p $x 192.168.1.38; done

? ? ? 此時服務器的iptables規(guī)則恢復為：

? ? ??

? ? ?此時將無法進行SSH登錄，必須進行開門才可以。

三、總結(jié)

? ? 在實際應用中，我們可以通過此方法使敏感服務器達到隱藏的效果，提高系統(tǒng)的安全性！

轉(zhuǎn)載于:https://www.cnblogs.com/bask/p/9159197.html

總結(jié)

以上是生活随笔為你收集整理的linux安全配置-将ssh服务隐藏于Internet（端口碰撞）的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。