Тук-тук, это я!

Степан Ильин aka Step

Хакер, номер #084, стр. 084-032-6

Абсолютное большинство реализаций бессильны без файрвола, поскольку не работают с сетевыми пакетами напрямую, а лишь обрабатывают логи брандмауэра и соответствующим образом корректируют их конфиги в ответ на Knock-последовательности. Это плохо, но отсюда вытекает и еще один недостаток. Если произойдет сбой в работе Port Knocking демона, он реально может подпортить тебе жизнь, напортачив в конфигурации файрвола. Вполне возможна ситуация, когда все порты будут заблокированы, и удаленно подключиться к ним будет невозможно.

Для реализации Port Knocking на низком уровне необходимо интегрировать соответствующие функции в файрвол и пакетные фильтры. Именно поэтому реализации этой технологии для винды практически не существуют, в то время как для Linux и BSD, имеющих хорошие штатные файрволы, - миллион!

[DENY or REJECT]

Для лучшего понимания разницы между DENY и REJECT, поведения файрвола и сервера, привожу этот пример (данные перехвачены с помощью снифера сетевых пакетов tcpdump). С помощью файрвола для порта 23 установлен статус REJECT, для 24 - DENY.

Соединение на 23 порт:

192.168.0.1.2876 > 192.168.0.2.23: S

611071769:611071769(0) win 32120

<mss 1460,sackOK,timestamp 8136624[|tcp]> (DF) [tos 0x10]

192.168.0.2 > 192.168.0.1:

icmp: 192.168.0.2 tcp port 23 unreachable [tos 0xd0]

На словах: клиент получил ответ на SYN-пакет (S) и ICMP ошибку unreachable.

Соединение на 24 порт:

192.168.0.1.2877 > 192.168.0.2.24: S

621695306:621695306(0) win 32120

<mss 1460,sackOK,timestamp 8136847[|tcp]> (DF) [tos 0x10]

Ответа на SYN-пакет не последовало. Клиент думает, что на данном порту нет никакого сервиса в принципе.

CD

Все программы, которые упомянуты в этой статье, ты непременно найдешь на нашем диске.

WWW

http://logi.cc/linux/reject_or_deny.php3 - на этом сайте доступны подробные описания логов различных файрволов (ipchains, Netfilter и т.п.), которые могут тебе пригодиться.

www.portknocking.org - официальный сайт технологии Port Knocking.

INFO

Несколько наиболее удачных реализаций Port Knocking:

Port Knocking Suite - http://digilander.iol.it/grecom.

Knockd - www.zeroflux.org/cgi-bin/cvstrac/knock/wiki.

jPortKnock -www.gregoire.org/code/jportknock.

It's Me (IM) -www.min.at/port.

INFO

Возможно, что реализация Port Knocking в скором времени появится в известном SSH-клиенте PuTTY.