SSH - Configuration du Port Knocking - Historique des versions

Jules le 23 décembre 2025 à 13:59

2025-12-23T13:59:47Z

← Version précédente		Version du 23 décembre 2025 à 13:59
Ligne 10 :		Ligne 10 :
	* certaines IPs de box notamment sont susceptibles de changer dans le temps.		* certaines IPs de box notamment sont susceptibles de changer dans le temps.
	* on n'est pas toujours derrière ces IPs au moment où on a besoin de se connecter.		* on n'est pas toujours derrière ces IPs au moment où on a besoin de se connecter.

			= Pré requis =

			Le système à protéger doit disposer du package <code>iptables</code> et d'une configuration de parefeu restrictive sur le port SSH.

			A toutes fins utiles, cf [https://lea-linux.org/documentations/iptables ce très bon guide iptables de Léa Linux].

	= Packages à installer =		= Packages à installer =

Jules le 23 décembre 2025 à 13:48

2025-12-23T13:48:27Z

← Version précédente		Version du 23 décembre 2025 à 13:48
Ligne 1 :		Ligne 1 :
	= Introduction =		= Introduction =

	La technique de Port Knocking consiste à autoriser des connexions SSH (mais pas que) en fonction de l'accès à une suite de ~~port~~ depuis le client.		La technique de Port Knocking consiste à autoriser des connexions SSH (mais pas que) en fonction de l'accès à une suite de ports depuis le client.

	De cette façon,		De cette façon,

Jules le 23 décembre 2025 à 13:48

2025-12-23T13:48:08Z

← Version précédente		Version du 23 décembre 2025 à 13:48
Ligne 105 :		Ligne 105 :

	La configuration <code>Match host/exec</code> sert, dans notre cas, à exécuter une commande en préalable de l'établissement de la session: ici la commande <code>knock</code> permettant d'ouvrir les flux.		La configuration <code>Match host/exec</code> sert, dans notre cas, à exécuter une commande en préalable de l'établissement de la session: ici la commande <code>knock</code> permettant d'ouvrir les flux.

			[[Category:Howto]]
			[[Category:Systeme]]
			[[Category:Linux]]
			[[Category:Sécurité]]

Jules le 23 décembre 2025 à 13:45

2025-12-23T13:45:10Z

← Version précédente		Version du 23 décembre 2025 à 13:45
Ligne 81 :		Ligne 81 :
	knock <ip_destination> -v <port1> <port2> <port3>...		knock <ip_destination> -v <port1> <port2> <port3>...
	</pre>		</pre>

			Options:
			* <code>-v</code>: mode verbeux, pour voir en temps réel le travail du client knock.
			* <code>-d</code>: délai entre chaque accès aux ports de la liste.

			Dans le cas où l'on utilise un fichier de configuration SSH (ex: <code>~/.ssh/config</code>), on peut configurer l'accès comme suit:

			<pre>
			Host maquetteknock
			Hostname 10.0.2.9
			Port 22
			User julien
			IdentityFile ~/.ssh/id_ecdsa

			Match host 10.0.2.9 exec "knock -d 500 %h 2001 2004 2007"
			</pre>

			Le bloc <code>Host</code> est assez classique:
			* définition du hostname / de l'IP à joindre.
			* port à contacter pour se connecter en SSH.
			* l'utilisateur de connexion.
			* le fichier de clé privé servant à l'authentification.

			La configuration <code>Match host/exec</code> sert, dans notre cas, à exécuter une commande en préalable de l'établissement de la session: ici la commande <code>knock</code> permettant d'ouvrir les flux.

Jules le 23 décembre 2025 à 13:40

2025-12-23T13:40:01Z

← Version précédente		Version du 23 décembre 2025 à 13:40
Ligne 56 :		Ligne 56 :
	'''NB''': on voit dans le bloc <code>openHTTPS</code> que le service peut être utilisé à d'autres fins que simplement donner un accès SSH.		'''NB''': on voit dans le bloc <code>openHTTPS</code> que le service peut être utilisé à d'autres fins que simplement donner un accès SSH.

	Configuration dans <code>/etc/default/</code>:		Configuration dans <code>/etc/default/knockd</code>:

	<pre>		<pre>
Ligne 75 :		Ligne 75 :

	= Configuration côté client =		= Configuration côté client =

			Pour jouer la séquence d'accès aux ports servant de combinaison d'accès (ou d'annulation de l'accès), utiliser le client <code>knock</code>:

			<pre>
			knock <ip_destination> -v <port1> <port2> <port3>...
			</pre>

Jules le 23 décembre 2025 à 13:37

2025-12-23T13:37:49Z

← Version précédente		Version du 23 décembre 2025 à 13:37
Ligne 19 :		Ligne 19 :
	= Configuration côté serveur =		= Configuration côté serveur =

	Configuration dans <~~pre~~>/etc/knockd.conf</~~pre~~>:		Configuration dans <code>/etc/knockd.conf</code>:

	<pre>		<pre>
Ligne 49 :		Ligne 49 :
	* '''logfile''': par défaut, le service log dans le log système global, il est parfois plus pratique d'avoir un log dédié pour éviter les pollutions pendant un diag de fonctionnement.		* '''logfile''': par défaut, le service log dans le log système global, il est parfois plus pratique d'avoir un log dédié pour éviter les pollutions pendant un diag de fonctionnement.
	* '''seq_timeout''': la durée pendant laquelle le service attends la séquence de ports.		* '''seq_timeout''': la durée pendant laquelle le service attends la séquence de ports.
	* '''command''': en général, une commande <~~pre~~>iptables</~~pre~~> permettant d'ajouter dynamiquement une règle de parefeu.		* '''command''': en général, une commande <code>iptables</code> permettant d'ajouter dynamiquement une règle de parefeu.
	* '''cmd_timeout''': durée au delà de laquelle on exécute stop_command.		* '''cmd_timeout''': durée au delà de laquelle on exécute stop_command.
	* '''stop_command''': dans notre cas, commande iptables retirant l'autorisation temporaire d'accès. NB: cela évite d'oublier de jouer la séquence de ports pour refermer le parefeu et donc de laisser un port inutilement ouvert.		* '''stop_command''': dans notre cas, commande iptables retirant l'autorisation temporaire d'accès. NB: cela évite d'oublier de jouer la séquence de ports pour refermer le parefeu et donc de laisser un port inutilement ouvert.
	* '''tcpflags''': les types de trames TCP attendues pour le jeu de la séquence.		* '''tcpflags''': les types de trames TCP attendues pour le jeu de la séquence.

	'''NB''': on voit dans le bloc <~~pre~~>openHTTPS</~~pre~~> que le service peut être utilisé à d'autres fins que simplement donner un accès SSH.		'''NB''': on voit dans le bloc <code>openHTTPS</code> que le service peut être utilisé à d'autres fins que simplement donner un accès SSH.

	Configuration dans <~~pre~~>/etc/default/</~~pre~~>:		Configuration dans <code>/etc/default/</code>:

	<pre>		<pre>
Ligne 72 :		Ligne 72 :
	* '''KNOCKD_OPTS''' permet d'ajouter des options à l'appel du lancement du service.		* '''KNOCKD_OPTS''' permet d'ajouter des options à l'appel du lancement du service.

	'''NB''': l'option <~~pre~~>-i</~~pre~~> est très importante, car sans configurer une interface d'écoute, le service ne démarrera tout simplement pas.		'''NB''': l'option <code>-i</code> est très importante, car sans configurer une interface d'écoute, le service ne démarrera tout simplement pas.

	= Configuration côté client =		= Configuration côté client =

Jules le 23 décembre 2025 à 13:37

2025-12-23T13:37:15Z

← Version précédente		Version du 23 décembre 2025 à 13:37
Ligne 13 :		Ligne 13 :
	= Packages à installer =		= Packages à installer =

	Qu'on souhaite utiliser le service <~~pre~~>knockd</~~pre~~> ou le client <~~pre~~>knock</~~pre~~>, le package à installer est le même:		Qu'on souhaite utiliser le service <code>knockd</code> ou le client <code>knock</code>, le package à installer est le même:

	apt install knockd		apt install knockd

Jules le 23 décembre 2025 à 13:35

2025-12-23T13:35:54Z

Jules le 23 décembre 2025 à 13:15

2025-12-23T13:15:29Z

@@ Ligne 13 : / Ligne 13 : @@
 = Packages à installer =
-Qu'on souhaite utiliser le service `knockd` ou le client `knock`, le package à installer est le même:
+Qu'on souhaite utiliser le service <pre>knockd</pre> ou le client <pre>knock</pre>, le package à installer est le même:
   apt install knockd
@@ Ligne 19 : / Ligne 19 : @@
 = Configuration côté serveur =
 = Configuration côté client =

Jules le 23 décembre 2025 à 13:07

2025-12-23T13:07:15Z

← Version précédente		Version du 23 décembre 2025 à 13:07
Ligne 6 :		Ligne 6 :
	* il n'est pas nécessaire d'avoir une règle autorisant une IP ou une liste d'IP à se connecter en SSH.		* il n'est pas nécessaire d'avoir une règle autorisant une IP ou une liste d'IP à se connecter en SSH.
	* il suffit simplement de connaître la séquence de port à prober pour ouvrir le flux temporairement et pouvoir se connecter.		* il suffit simplement de connaître la séquence de port à prober pour ouvrir le flux temporairement et pouvoir se connecter.

			NB: il peut être contraignant de resteindre l'accès au port SSH par iptables pour plusieurs raisons
			* certaines IPs de box notamment sont susceptibles de changer dans le temps.
			* on n'est pas toujours derrière ces IPs au moment où on a besoin de se connecter.

	= Packages à installer =		= Packages à installer =
Ligne 12 :		Ligne 16 :

	apt install knockd		apt install knockd

			= Configuration côté serveur =


	~~= Configuration côté serveur =~~

	= Configuration côté client =		= Configuration côté client =

← Version précédente		Version du 23 décembre 2025 à 13:35
Ligne 7 :		Ligne 7 :
	* il suffit simplement de connaître la séquence de port à prober pour ouvrir le flux temporairement et pouvoir se connecter.		* il suffit simplement de connaître la séquence de port à prober pour ouvrir le flux temporairement et pouvoir se connecter.

	NB: il peut être contraignant de ~~resteindre~~ l'accès au port SSH par iptables pour plusieurs raisons		'''NB''': il peut être contraignant de restreindre l'accès au port SSH par iptables pour plusieurs raisons
	* certaines IPs de box notamment sont susceptibles de changer dans le temps.		* certaines IPs de box notamment sont susceptibles de changer dans le temps.
	* on n'est pas toujours derrière ces IPs au moment où on a besoin de se connecter.		* on n'est pas toujours derrière ces IPs au moment où on a besoin de se connecter.
Ligne 47 :		Ligne 47 :

	Détails sur l'utilité des options:		Détails sur l'utilité des options:
	* logfile: par défaut, le service log dans le log système global, il est parfois plus pratique d'avoir un log dédié pour éviter les pollutions pendant un diag de fonctionnement.		* '''logfile''': par défaut, le service log dans le log système global, il est parfois plus pratique d'avoir un log dédié pour éviter les pollutions pendant un diag de fonctionnement.
	* seq_timeout: la durée pendant laquelle le service attends la séquence de ports.		* '''seq_timeout''': la durée pendant laquelle le service attends la séquence de ports.
	* command: en général, une commande <pre>iptables</pre> permettant d'ajouter dynamiquement une règle de parefeu.		* '''command''': en général, une commande <pre>iptables</pre> permettant d'ajouter dynamiquement une règle de parefeu.
	* cmd_timeout: durée au delà de laquelle on exécute stop_command.		* '''cmd_timeout''': durée au delà de laquelle on exécute stop_command.
	* stop_command: dans notre cas, commande iptables retirant l'autorisation temporaire d'accès. NB: cela évite d'oublier de jouer la séquence de ports pour refermer le parefeu et donc de laisser un port inutilement ouvert.		* '''stop_command''': dans notre cas, commande iptables retirant l'autorisation temporaire d'accès. NB: cela évite d'oublier de jouer la séquence de ports pour refermer le parefeu et donc de laisser un port inutilement ouvert.
	* tcpflags: les types de trames TCP attendues pour le jeu de la séquence.		* '''tcpflags''': les types de trames TCP attendues pour le jeu de la séquence.

	NB: on voit dans le bloc <pre>openHTTPS</pre> que le service peut être utilisé à d'autres fins que simplement donner un accès SSH.		'''NB''': on voit dans le bloc <pre>openHTTPS</pre> que le service peut être utilisé à d'autres fins que simplement donner un accès SSH.

	Configuration dans <pre>/etc/default/</pre>:		Configuration dans <pre>/etc/default/</pre>:
Ligne 69 :		Ligne 69 :
	</pre>		</pre>

	* START_KNOCKD à 1 permet d'activer le service au démarrage du serveur.		* '''START_KNOCKD''' à 1 permet d'activer le service au démarrage du serveur.
	* KNOCKD_OPTS permet d'ajouter des options à l'appel du lancement du service.		* '''KNOCKD_OPTS''' permet d'ajouter des options à l'appel du lancement du service.

	NB: l'option <pre>-i</pre> est très importante, car sans configurer une interface d'écoute, le service ne démarrera tout simplement pas.		'''NB''': l'option <pre>-i</pre> est très importante, car sans configurer une interface d'écoute, le service ne démarrera tout simplement pas.
	= Configuration côté client =		= Configuration côté client =