Máquina servidor

Lo primero es instalar el paquete de EPEL para posteriormente instalar el paquete knock-server. También es necesario instalar libpcap.

[root@knockd ~]# yum install libpcap

[...]

[root@knockd ~]# yum install epel-release

[...]

[root@knockd ~]# yum install knock-server

[...]

El siguiente paso es eliminar de nftables la regla que permite las conexiones SSH remotas mediante el siguiente comando. Ten en cuenta que en mi instalación se usa la zona por defecto llamada public.

[root@knockd ~]# firewall-cmd --zone=public --remove-service=ssh --permanent
success
[root@knockd ~]# firewall-cmd --reload

El siguiente paso es modificar el fichero /etc/knockd.conf y dejarlo con el siguiente contenido. Por favor, cambiad los puertos a otra secuencia. 😜

[options]
        UseSyslog

[opencloseSSH]
        sequence      = 51234:udp,55678:tcp,59124:udp
        seq_timeout   = 15
        tcpflags      = syn,ack
        start_command = /bin/firewall-cmd --zone=public --add-rich-rule "rule family="ipv4" source address="%IP%" service name="ssh" accept"
        cmd_timeout   = 10
        stop_command  = /bin/firewall-cmd --zone=public --remove-rich-rule "rule family="ipv4" source address="%IP%" service name="ssh" accept"

El último paso es habilitar e iniciar el servicio knockd.

sudo systemctl enable knockd && sudo systemctl start knockd

Máquina cliente

En la máquina cliente desde la que vamos a acceder por SSH es necesario instalar el cliente de knock. Al igual que en el servidor es necesario disponer del repositorio EPEL.

yum install epel-release

[...]

yum install knock

[...]

Vamos a una un primer intento de conexión mediante SSH para que veamos que no es posible conectar.

[ignacio@knock-client ~]$ ssh root@192.168.122.186
ssh: connect to host 192.168.122.186 port 22: No route to host
[ignacio@knock-client ~]$  

Ahora vamos a usar el cliente de knock que hemos instalado para hacer la “llamada” y que se abra la puerta.

[root@knock-client ~]# knock -v -d 1 192.168.122.186 51234:udp 55678:tcp 59124:udp
hitting udp 192.168.122.186:51234
hitting tcp 192.168.122.186:55678
hitting udp 192.168.122.186:59124
[root@knock-client ~]# ssh root@192.168.122.186
root@192.168.122.186's password:  
Last failed login: Sun Aug  1 20:51:14 WEST 2021 from knock-client on ssh:notty
Last login: Sun Aug  1 20:25:03 2021 from knock-client
[root@knockd ~]# 

En el fichero messages del servidor podemos ver lo siguiente:

Aug  1 20:51:26 knock-client knockd: 192.168.122.136: opencloseSSH: Stage 1
Aug  1 20:51:26 knock-client knockd: 192.168.122.136: opencloseSSH: Stage 2
Aug  1 20:51:26 knock-client knockd: 192.168.122.136: opencloseSSH: Stage 3
Aug  1 20:51:26 knock-client knockd: 192.168.122.136: opencloseSSH: OPEN SESAME
Aug  1 20:51:26 knock-client knockd: opencloseSSH: running command: /bin/firewall-cmd --zone=public --add-rich-rule "rule family="ipv4" source address="192.168.122.136" service name="ssh" accept"
Aug  1 20:51:31 knock-client systemd-logind: New session 4 of user root.
Aug  1 20:51:31 knock-client systemd: Started Session 4 of user root.
Aug  1 20:51:37 knock-client knockd: 192.168.122.136: opencloseSSH: command timeout
Aug  1 20:51:37 knock-client knockd: opencloseSSH: running command: /bin/firewall-cmd --zone=public --remove-rich-rule "rule family="ipv4" source address="192.168.122.136" service name="ssh" accept"

Si no te lo crees, en esta página web encontrarás más de 73000 cámaras abiertas al mundo con las credenciales por defecto del fabricante.

http://insecam.com/

Te explicamos que son los sistemas Vehicle To Vehicle o Car To Car, cómo funcionan y qué ventajas de seguridad aportan a la conducción de…

Este video tutorial será útil para todos aquellos que tengáis hijos y les permutáis usar un ordenador con Windows 8 instalado.

• Tener una entidad certificadora Windows 2008 integrada en el dominio.
• Cinco  minutos de tiempo para crear el certificado.

• Abrimos el Administrador de Internet Information Services (IIS) y en el árbol de la izquierda localizamos el servidor IIS sobre el que queremos realizar la solicitud del certificado. Una vez localizado, hacemos doble clic sobre el icono de Certificados de servidor del panel central de la consola.

• En este segundo paso, debemos hacer clic sobre la opción Crear certificado de dominio… del panel de la derecha y rellenar los datos que nos solicita el asistente. El único campo con el que tenéis que tener especial cuidado es con el campo de“Nombre común que debéis rellenarlo con un texto con el formato “*.dominio.ext” (sin las comillas), fijaros bien, que sino luego el certificado no sirve como wildcard. Una vez completado, tan solo falta hacer clic en el botón Siguiente.

• El tercer paso es seleccionar la entidad certificadora de vuestro dominio que generará el nuevo certificado.

• Por último, una vez generado el nuevo certificado, vamos a comprobar que realmente hemos generado un certificado wildcard. Para comprobarlo tan solo hay que abrir el certificado, y en la pestaña de Detalles, buscar el campo Asunto. Deberemos ver un valor para CN similar al de la imagen que se encuentra a continuación.