Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Раздел полезных советов: Пример правил nftables с реализацией port knoсking для открытия доступа к SSH, auto_tips (ok), 01-Апр-23, (0) [смотреть все] chain OUTPUT -- комментарии при обработке лупбека неправильные Понятно, что к, sabitov (ok), 08:03 , 01-Апр-23, (1) +1 // Так лучше Я, если честно, думал что возникнет вопрос, прежде всего, про iif d, umask (?), 01:04 , 02-Апр-23, (4) Ну, и если тешить паранойю, то icmpv6 лучше проверять отдельным правилом, т к о, sabitov (ok), 08:19 , 01-Апр-23, (2) // gt оверквотинг удален Спасибо А можно увидеть ваш rule set полностью Думаю, зд, umask (?), 01:11 , 02-Апр-23, (5) Для включения port knocking нужно закомментировать правила в rate limits и р, anonymous (??), 13:18 , 01-Апр-23, (3) Вообще сурово так, для такой задачи то Не проще URL knocking Курлишь секретны, OpenEcho (?), 08:01 , 02-Апр-23, (6) +1   // Есть маленькая незадачка - вёбсервер к тому времени может лечь, а чтобы поднять , Tron is Whistling (?), 09:56 , 04-Апр-23, (10)   // И как часто веб сервера ложаться И ни какого мониторинга который автоматическ, OpenEcho (?), 19:31 , 04-Апр-23, (12) –1   // Ещё раз SSH нужен для доступа к системе в т ч в критических случаях Подвязыва, Tron is Whistling (?), 09:19 , 05-Апр-23, (16) +3   SYN кстати прикольная тема На тот же порт, где и SSH Выглядеть будет просто ка, Tron is Whistling (?), 09:21 , 05-Апр-23, (17)   Вот это и будет как раз именно тот самый день Когда сильно пожалеешь о усложнен, Аноним (33), 17:04 , 06-Июл-23, (33)   Впрочем никто не мешает сделать вместо port knocking просто u32 knocking - и пос, Tron is Whistling (?), 09:57 , 04-Апр-23, (11)   // Это будет явный засвет для MITM в смысле что используется какая-то технология, , OpenEcho (?), 19:36 , 04-Апр-23, (13)   // Ну, ещё раз повторюсь - HTTPS к тому времени может лежать, и чего делать Ехать , Tron is Whistling (?), 09:14 , 05-Апр-23, (14) –1   Ну и опять же - можно не засвечивать UDP бывает разный На порт 53 например отп, Tron is Whistling (?), 09:16 , 05-Апр-23, (15)   set trusted_ipv4_set 169 254 169 254,Зачем метадату то в трастед , Anonx (?), 10:06 , 02-Апр-23, (7) Вообще из всей этой портяны неплохо бы было выделить только собственно port knoc, Tron is Whistling (?), 09:51 , 04-Апр-23, (8) +1 На iptables recent или iptables ipset SET сие кстати выглядит куда читабельнее , Tron is Whistling (?), 09:55 , 04-Апр-23, (9) +3 // И примерно в 3 раза короче , Аноним (19), 18:33 , 05-Апр-23, (19) +2 Ложь Это стырено с nftables manual , Аноним (19), 18:32 , 05-Апр-23, (18) // O_oНичего себе Весь ruleset сп ли , Pensia2077 (?), 23:50 , 05-Апр-23, (20) // Ваш мусор до и после стыренных правил ничего не меняет Ссылки на оригиналы остав, Аноним (19), 13:19 , 06-Апр-23, (21) –1 А со стороны клиента как стучаться в это нужно и чем , Страдивариус (?), 15:26 , 06-Апр-23, (22) // knockd knock, Pensia2077 (?), 01:27 , 12-Апр-23, (25) Не надо так мудрить с шибангом , pashev.ru (?), 00:06 , 09-Апр-23, (23) –1 // Why not , Pensia2077 (?), 01:26 , 12-Апр-23, (24) Что за шизики пишут эти статьи Для создания правила port-knocking с использов, Hui (?), 12:02 , 15-Апр-23, (26) +6 Никогда не понимал, зачем port knocking для SSH Там итак где-то 1 попытка в сек, Пряник (?), 09:55 , 12-Май-23, (28) +1 // Логи засираются , Страдивариус (?), 21:19 , 05-Июл-23, (32) 4 гига логов по сравнению с 20 мегабайт Если места хватает, то не страшно, но н, xen (??), 15:00 , 28-Июл-23, (36) +1 // Вспоминаем про RateLimit логов , Пряник (?), 15:50 , 28-Июл-23, (37) // Ага, чтобы успешный вход злоумышленника вообще не был залогирован , mikhailnov (ok), 20:29 , 01-Авг-23, (38) Можно traceroute tracepath в студию, где ICMPv6 без искажений проходит , pavlinux (ok), 13:49 , 13-Июн-23, (29) Сложно очень Я бы примерно так действовал для последовательности 1111, 2222, 33, Аноним (30), 22:49 , 16-Июн-23, (30) +1 Такая простыня проще надо быть iptables -A INPUT -p tcp -m tcp --dport 1111 -, Аноним (31), 17:01 , 26-Июн-23, (31) nftables - фаервол курильщикаiptables ipset - фаервол здорового человека, Аноним (34), 17:29 , 10-Июл-23, (34) –1 Коллеги, прошу прощения если я чего-то матёро недогоняю , но вот реально, эта , daWSL (?), 21:08 , 21-Июл-23, (35) +2 port knocking это своего рода пароль но зачем есть же сертификаты, лохпидр (?), 13:21 , 05-Авг-23, (39) 1,2,3,6,7,8,9,18,22,23,26,28,29,30,31,34,35,39

Сообщения

[Сортировка по времени | RSS]

6. "Пример правил nftables с реализацией port knoсking для открытия доступа к SSH"	+1 +/–
Сообщение от OpenEcho (?), 02-Апр-23, 08:01
Вообще сурово так, для такой задачи то... Не проще URL knocking? Курлишь секретный линк с клиента, мониторишь лог веб сервера с tail -f и если есть запрос по секретному линку тo просто открываешь порт для айпишника застуканного вебсервером... и простота спасет от ошибок
Ответить | Правка | Наверх | Cообщить модератору

	10. "Пример правил nftables с реализацией port knoсking для открытия доступа к SSH"	+/–
	Сообщение от Tron is Whistling (?), 04-Апр-23, 09:56
	Есть маленькая незадачка - вёбсервер к тому времени может лечь, а чтобы поднять - надо SSH :D
	Ответить | Правка | Наверх | Cообщить модератору

	12. "Пример правил nftables с реализацией port knoсking для открытия доступа к SSH"	–1 +/–
	Сообщение от OpenEcho (?), 04-Апр-23, 19:31
	> Есть маленькая незадачка - вёбсервер к тому времени может лечь, а чтобы > поднять - надо SSH :D И как часто веб сервера "ложаться"? И ни какого мониторинга который автоматически рестартуют, а только все ручками? Для URL-knocking можно вообще отдельный веб сервис держать на нестандартных портах и простейших веб серверах, хоть на busybox. Зато открыть SSH порт можно будет без "спец" програм стучащих по портам (особенно актуально в комадировках)
	Ответить | Правка | Наверх | Cообщить модератору

	16. "Пример правил nftables с реализацией port knoсking для открытия доступа к SSH"	+3 +/–
	Сообщение от Tron is Whistling (?), 05-Апр-23, 09:19
	Ещё раз: SSH нужен для доступа к системе в т.ч. в критических случаях. Подвязывать его на дополнительный сервис - так себе затея, но если ССЗБ - why not? В принципе я ниже всё написал. Можно UDP отправить. Можно даже TCP SYN с единственно правильным sequence - это вообще не засвет ни разу :D
	Ответить | Правка | Наверх | Cообщить модератору

	17. "Пример правил nftables с реализацией port knoсking для открытия доступа к SSH"	+/–
	Сообщение от Tron is Whistling (?), 05-Апр-23, 09:21
	SYN кстати прикольная тема. На тот же порт, где и SSH. Выглядеть будет просто как retry.
	Ответить | Правка | Наверх | Cообщить модератору

	33. "Пример правил nftables с реализацией port knoсking для открытия доступа к SSH"	+/–
	Сообщение от Аноним (33), 06-Июл-23, 17:04
	Вот это и будет как раз именно тот самый день. Когда сильно пожалеешь о усложнении добавлением +1 сервиса веб-сервера и процессов разбора логов. Память там, лимиты на число файлов/соединений, прочие сложности упрощающего решения через добавление сложных процессов.
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	11. "Пример правил nftables с реализацией port knoсking для открытия доступа к SSH"	+/–
	Сообщение от Tron is Whistling (?), 04-Апр-23, 09:57
	Впрочем никто не мешает сделать вместо port knocking просто u32 knocking - и посылать "секретный" UDP с определённым ключом. Вот только после каждой посылки ключ менять за***ься.
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	13. "Пример правил nftables с реализацией port knoсking для открытия доступа к SSH"	+/–
	Сообщение от OpenEcho (?), 04-Апр-23, 19:36
	> Впрочем никто не мешает сделать вместо port knocking просто u32 knocking - > и посылать "секретный" UDP с определённым ключом. Вот только после каждой > посылки ключ менять за***ься. Это будет явный засвет для MITM (в смысле что используется какая-то технология, а значит субьект для исследования), в случае же с HTTPS секретный линк не засвечивается и в общем потоке запросов затерян
	Ответить | Правка | Наверх | Cообщить модератору

	14. "Пример правил nftables с реализацией port knoсking для открытия доступа к SSH"	–1 +/–
	Сообщение от Tron is Whistling (?), 05-Апр-23, 09:14
	Ну, ещё раз повторюсь - HTTPS к тому времени может лежать, и чего делать? Ехать? В принципе засвет кнокинга не критичен, можно даже часто не менять, потому что далее ещё SSH.
	Ответить | Правка | Наверх | Cообщить модератору

	15. "Пример правил nftables с реализацией port knoсking для открытия доступа к SSH"	+/–
	Сообщение от Tron is Whistling (?), 05-Апр-23, 09:16
	Ну и опять же - можно не засвечивать. UDP бывает разный. На порт 53 например отправить традиционный DNS-запрос к некому похожему на реальный домен. И усё. Или на порт 443 инициацию квака с добавочкой.
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема