जिन लोगों को एसएसएच / आरडीपी / अन्यथा - एक छोटे से आरटीएफएम / स्पर के माध्यम से दुनिया में कहीं से भी अपने स्वयं के, प्रिय, अपने सर्वर तक पहुंच प्रदान करने की आवश्यकता होती है।

हमें किसी भी उपकरण से वीपीएन और अन्य घंटियाँ और सीटी बजाने की जरूरत है।

और ताकि सर्वर बहुत अधिक व्यायाम न करे।

आप सभी की जरूरत है खटखटाया , सीधे हाथ और 5 मिनट का काम।

"सब कुछ इंटरनेट पर है," बेशक ( हैबे पर भी), लेकिन जब एक विशिष्ट कार्यान्वयन की बात आती है, तो यह शुरू हो जाता है ...

हम फेडोरा / सेंटोस के उदाहरण पर अभ्यास करेंगे, लेकिन इससे कोई फर्क नहीं पड़ता।

प्रेरणा इस व्यवसाय के शुरुआती और बायसन दोनों के अनुरूप होगी, इसलिए टिप्पणियां होंगी, लेकिन कम।

1. सर्वर

• दस्तक सर्वर:
  yum/dnf install knock-server

  
  

• इसे कॉन्फ़िगर करें (उदाहरण के लिए ssh पर) - /etc/knockd.conf:

  
  

   [options] UseSyslog interface = enp1s0f0 [SSHopen] sequence = 33333,22222,11111 seq_timeout = 5 tcpflags = syn start_command = iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT cmd_timeout = 3600 stop_command = iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT [SSHclose] sequence = 11111,22222,33333 seq_timeout = 5 tcpflags = syn command = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT 

  
  

  "खुलने" वाला भाग 1 घंटे के बाद ऑटो-बंद पर सेट हो जाता है। आप कभी नहीं जानते ...

  
  

• / etc / sysconfig / iptables:

  
  

   ... -A INPUT -p tcp -m state --state NEW -m tcp --dport 11111 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 22222 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 33333 -j ACCEPT ... 

  
  

• आगे:

  
  

   service iptables restart service knockd start 

  
  

• आप वर्चुअल विंडोज सर्वर के अंदर (/etc/knockd.conf) कताई करने के लिए RDP जोड़ सकते हैं; अपने स्वाद के लिए इंटरफ़ेस का नाम दें:

  
  

   [RDPopen] sequence = 44444,33333,22222 seq_timeout = 5 tcpflags = syn start_command = iptables -t nat -A PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2 cmd_timeout = 3600 stop_command = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2 [RDPclose] sequence = 22222,33333,44444 seq_timeout = 5 tcpflags = syn command = iptables -t nat -D PREROUTING -s %IP% -i enp1s0f0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.2 

  
  

  क्लाइंट से हमारे सभी किक को सर्वर पर iptables -S कमांड द्वारा मॉनिटर किया जाता है।

  
  

2. रेक गाइड

knockd.conf:

सब कुछ मंसूबों में भी है (लेकिन यह गलत है), हालांकि खटखटाना एक कॉमरेड है, जो संदेशों के साथ कंजूस है, इसलिए आपको बहुत सावधान रहने की जरूरत है।

• संस्करण
  फेडोरा / सेंटोस रिपॉजिटरी में, आज के लिए चरम दस्तक 0.63 है। UDP कौन चाहता है - 0.70 पैकेट देखें।
• इंटरफ़ेस
  डिफ़ॉल्ट फेडोरा / CentOS कॉन्फ़िगरेशन में, यह रेखा गायब है । हाथ से जोड़ें, अन्यथा यह काम नहीं करेगा।
• मध्यांतर
  यहाँ स्वाद के लिए चुनना है। क्लाइंट के लिए सभी किक के लिए पर्याप्त समय होना आवश्यक है - और बंदरगाहों का बॉट-स्कैनर टूट जाएगा (और 146% इसे स्कैन करेगा)।
• स्टार्ट / स्टॉप / कमांड।
  यदि कमांड एक है - तो कमांड, यदि दो - तो start_command + stop_command।
  यदि आप कोई गलती करते हैं, तो खटखटाते रहेंगे, लेकिन यह काम नहीं करेगा।
• आद्य
  सैद्धांतिक रूप से, आप यूडीपी का उपयोग कर सकते हैं। व्यवहार में, मैंने tcp और udp को मिलाया, और बाली में समुद्र तट से एक ग्राहक केवल पांचवीं बार एक गेट खोलने में सक्षम था। जब आवश्यक हो तो टीसीपी के लिए उड़ान भरी, और यूडीपी एक तथ्य नहीं है। लेकिन यह स्वाद का मामला है, फिर से।
• अनुक्रम
  निहित रेक यह है कि दृश्यों को ओवरलैप नहीं करना चाहिए ... यह कैसे कहना है ...

उदाहरण के लिए, यह:

 open: 11111,22222,33333 close: 22222,11111,33333 

ओपन 11111 किक 22222 पर अगले किक के लिए इंतजार करेगा। हालांकि, यह (22222) किक करीब काम करना शुरू कर देगा और सब कुछ टूट जाएगा। यह क्लाइंट की देरी पर भी निर्भर करता है। ऐसी बातें ©

iptables

अगर / etc / sysconfig / iptables में यह है:

 *nat :PREROUTING ACCEPT [0:0] 

यह हमें परेशान नहीं करता है, तो यहाँ यह है:

 *filter :INPUT ACCEPT [0:0] ... -A INPUT -j REJECT --reject-with icmp-host-prohibited 

ताकी दखल देती है।

चूंकि नॉक INPUT श्रृंखला के अंत में नियम जोड़ता है, इसलिए हमें अस्वीकार कर दिया जाता है।

और इस अस्वीकार को बंद करने के लिए सभी हवाओं के लिए कार को खोलना है।

Iptables में न जाने के लिए, जहां पहले कुछ डालना है (जैसा कि लोग सुझाव देते हैं) हम इसे आसान बना देंगे:

• सेंटोस / फेडोरा में डिफ़ॉल्ट पहला नियम ("जो निषिद्ध नहीं है - अनुमति है") इसके विपरीत द्वारा प्रतिस्थापित किया जाता है,
• और अंतिम नियम को हटा दें।

परिणाम होना चाहिए:

 *filter :INPUT DROP [0:0] ... #-A INPUT -j REJECT --reject-with icmp-host-prohibited 

आप निश्चित रूप से, DROP के बजाय REJECT कर सकते हैं, लेकिन DROP के साथ, बॉट्स को अधिक मज़ा आएगा।

3. ग्राहक

इस जगह में सबसे दिलचस्प (मेरे दृष्टिकोण से), क्योंकि आपको न केवल किसी भी समुद्र तट से, बल्कि किसी भी उपकरण से काम करने की आवश्यकता है।

सिद्धांत रूप में, कई ग्राहक परियोजना की वेबसाइट पर सूचीबद्ध हैं, लेकिन यह उसी श्रृंखला से है "सब कुछ इंटरनेट पर है"। इसलिए, मैं सूचीबद्ध करूंगा कि यहां और अब मेरी उंगलियों पर क्या काम करता है।

क्लाइंट चुनते समय, आपको यह सुनिश्चित करना चाहिए कि यह पैकेट के बीच देरी के विकल्प का समर्थन करता है। हां, समुद्र तट और समुद्र तट के लिए संघर्ष और 100 मेगाबिट्स कभी भी गारंटी नहीं देते हैं कि पैकेट इस स्थान से सही समय पर सही क्रम में आते हैं।

और हाँ - क्लाइंट सेट करते समय, देरी को स्वतंत्र रूप से चुना जाना चाहिए। बहुत सारे टाइमआउट - बॉट्स पर हमला करेंगे, थोड़ा - सा ग्राहक समय पर नहीं होगा। बहुत देरी हो रही है - क्लाइंट समय पर नहीं होगा या बेवकूफों का संघर्ष होगा ("रेक" देखें), पर्याप्त नहीं - पैकेट इंटरनेट में फिर से प्रवेश करेंगे।

टाइमआउट = 5 एस के साथ, पूरी तरह से काम करने का विकल्प देरी = 100. 500 मी

विंडोज

कोई फर्क नहीं पड़ता कि यह कितना हास्यास्पद है, लेकिन Google के लिए इस प्लेटफ़ॉर्म के लिए एक अलग दस्तक-क्लाइंट काफी nontrivial है। ऐसा सीएलआई देरी, टीसीपी - और बिना धनुष का समर्थन करता है।

एक विकल्प के रूप में, आप इसे यहाँ आज़मा सकते हैं । जाहिरा तौर पर मेरा Google एक केक नहीं है।

लिनक्स

यहाँ सब कुछ सरल है:

 dnf install knock -y knock -d <delay> <dst_ip> 11111 22222 33333 

MacOS

सबसे आसान तरीका है कि पोर्ट को होमब्रे से रखा जाए:
brew install knock
और अपने लिए ड्रा करें शरीर शर्ट फार्म के कमांडर:

 #!bin/sh knock -d <delay> <dst_ip> 11111 22222 33333 

आईओएस

काम करने का विकल्प नॉकऑनडी (स्टोर से मुक्त) है।

एंड्रॉयड

"नॉक ऑन पोर्ट्स"। विज्ञापन नहीं, बल्कि सिर्फ काम। और डेवलपर्स काफी उत्तरदायी हैं।

Habr पर पुनश्च मार्केड, ज़ाहिर है, भगवान उसे किसी दिन आशीर्वाद देते हैं ...

UPD1 : एक अच्छे व्यक्ति के लिए धन्यवाद , विंडोज के लिए एक काम करने वाला क्लाइंट मिला।
UPD2 : एक और अच्छे व्यक्ति ने याद किया कि नए नियमों को iptables के अंत में रखना हमेशा उपयोगी नहीं होता है। लेकिन - यह निर्भर करता है।