Ubuntu-fr

choky

[résolu] port knocking sur ubuntu 18

Bonjour,
J'essai de mettre en place un port knokcing pour securiser la connexion ssh sur mon serveur ubuntu 18.j'ai fait toutes le configuration possible mais cela ne fonctionne pas .pourtant c'est simple comme mise en place.
j'ai installé knockd ensuite mis la squence de port sur le fichier knockd.conf ,j'ai meme j'ai aussi changé dans /init.d/kncokd le port reseau de eth1 à ens33 . mais toujour rien ,j'ai suivi plusieur tuto et essayé plusieur chose mais toujours le meme resultat,je ne sais pas ou ca bloque.
voici un exemple de tuto que j'ai utilisé.
https://blog.rapid7.com/2017/10/04/how- … ntu-linux/
j'obtient toujours a la fin le port ssh est closed et non filtered quand je fais nmap .
je ne sais pas s'il ya un autre parametre a ajouter.

je vous remercie pour votre aide d'avance

Dernière modification par choky (Le 28/06/2018, à 09:42)

mazarini

Re : [résolu] port knocking sur ubuntu 18

Bonjour,
Il faut que les ports utilisés pour "frapper à la porte" soient ouverts.
De mémoire, il y a une log pour knockd, elle indique les déclenchements détectés. Chez moi j'avais un problème avec un serveur qui mettait trop de temps à réagir. knockd ouvrait le port après la tentative de de connexion et malheureusement il refermait le port avant que je refasse une tentative de connexion.

---

S'il existait une école de la politique, les locaux devraient être édifiés rue de la Santé. Les élèves pourraient s'habituer. (Pierre Dac)

bruno

Re : [résolu] port knocking sur ubuntu 18

Bonjour,

Je n'ai jamais utiliser knockd. C'est quand même assez tordu et lourd d'avoir à faire une séquence de trois tentatives de connexion sur trois ports différents pour débloquer le SSH. De manière générale le port knocking pour le SSH ne va pas faciliter l'administration des serveurs…

Voici comment faire simplement avec iptables. Sur le serveur :

iptables -A INPUT -p tcp --dport 11265 -m recent --set --name portknock
iptables -A INPUT -p tcp --syn --dport 22 -m recent --rcheck --seconds 60 --name portknock -j ACCEPT
iptables -A INPUT -p tcp --syn --dport 22 -j REJECT

La dernière règle rejette les connexions au port 22 (filtered, mais on doit pouvoir utiliser aussi DROP).
La seconde accepte les connexions sur le port 22 pour une IP qui a reçu le drapeau "portkncok" durant les 60 dernières secondes;
La première attribue le drapeau "portknock"  pendant 60s à une IP qui a tenté de se connecter sur le port 11265

Sur le client il faut donc tenter une connexion sur le port 11265 avant de pouvoir se connecter SSH.

Dernière modification par bruno (Le 27/06/2018, à 16:28)

mazarini

Re : [résolu] port knocking sur ubuntu 18

@bruno : Pour se connecter, c'est juste : knock 1234 5678 ... 3245 puis lancer ssh.
En fait knockd permet juste de lancer une commande (ou 2 commandes avec un délai) sur le serveur quand il reçoit la bonne séquence. Le basic, c'est de lancer une commande iptable pour ouvrir le port 22 et après un délai de le refermé avec une nouvelle commande (ip qui knock est un paramètre possible de la commande).

Le gros problème, c'est que l'on ne dispose pas toujours de l'utilitaire pour envoyer la séquence si l'on à pas son PC sous la main.

---

S'il existait une école de la politique, les locaux devraient être édifiés rue de la Santé. Les élèves pourraient s'habituer. (Pierre Dac)

bruno

Re : [résolu] port knocking sur ubuntu 18

Avec la manip que je propose pas besoin d'utilitaire, il suffit de mémoriser le numéro de port qui permet le déblocage. Le délai de 60 secondes peut également être changé.

choky

Re : [résolu] port knocking sur ubuntu 18

merci pour vos reponses,pour ce qui est de la connexion ce n'est pas un probleme que ce soit à partir de windows ou d'ubuntu on faire un script vite fait.
de mon coté j'ai trouvé que le service knock ne fonctionne pas correctement et ceci parce qu'il cherche le port eth0 alors que le port est ens33.
apparamment meme si on change le port dans /etc/default/knockd , knock cherche toujours le port eth0.
donc du coup je me suis mis a chercher comment changer le nom de ens33 en eth0  comme dans ce tuto .

https://www.itzgeek.com/how-tos/mini-ho … 16-04.html

pour l'instant cela n'aboutit pas mais je cherche encore .

choky

Re : [résolu] port knocking sur ubuntu 18

c'est bon ca fonctionne normalement apres avoir changer le nom du port .
le bloackage etait au niveau du knock qui ne cherchait le port eth0 et ne pouvais pas voir ens33.
le changement du nom du port a resolu le probleme.