Knockd - Erfahrungen?

Ich nutze knock schon eine ganze Weile (für Verbindungen außerhalb des eigenen VPN) und bin sehr zufrieden damit, man kann sich fail2ban und/oder will­kür­li­che Nicht­stan­dard­port­aus­wah­len für die ent­spre­chen­den Dien­ste sparen. Wie bei allen Schlüsselsequenzen sollte man ggf. eine regelmäßige Änderung vorsehen.

Und wie nutze ich das dann per ssh-Client?

Zitat von aRaphael

Und wie nutze ich das dann per ssh-Client?

Zeitnah vor der Ausführung von ssh […] [remoteuser:]remotehost […] ist einfach jeweils knock remotehost […] aufzurufen ([…]-Vorgaben lassen sich in den jeweiligen Konfigurationsdateien hinterlegen, also /etc/ssh/ssh_config bzw. ~/.ssh/config und /etc/knockd.conf).

Leider ist es meines Wissens bislang nicht direkt möglich, einen hook für ssh zu definieren, welcher automatisch für den Aufruf sorgt, wenn bestimmte Hosts kon­tak­tiert wer­den. Man kann sich aber ein ssh-Wrapper-Skript erstellen, welches mittels PATH-Initialisierung oder /etc/alternatives/ssh aufgerufen wird und dies leistet.

Tipp: Insbesondere, wenn man UDP-(Teil-)Sequenzen zur Portöffnung für die anklopfende IP-Adresse verwendet und/oder das Timeout etwas knapp ge­wählt ist, kann na­tür­lich auch einmal ein Paket verloren gehen, wodurch die Sequenz nicht erkannt wird; hier schadet wiederholtes Anklopfen nicht.

Zitat von m_ueberall

Zeitnah vor der Ausführung von ssh […] [remoteuser:]remotehost […] ist einfach jeweils knock remotehost […] aufzurufen

Was auf meinem Windowsrechner, von dem aus ich mich per Bitvise-ssh-Client immer mit meinen Servern verbinde aber wohl von Haus aus nicht so einfach gehen wird.

Zitat von aRaphael

Was auf meinem Windowsrechner, von dem aus ich mich per Bitvise-ssh-Client immer mit meinen Servern verbinde aber wohl von Haus aus nicht so einfach gehen wird.

Laut Anleitung können BvSsh alle erforderlichen Parameter übergeben werden, um (direkt) einen bestimmten Host zu kontaktieren. Erstellt man eine Ver­knü­pfung zu ei­nem host-spezifischen Batch-Script, kann in die Zeile davor einfach der erforderliche knock-Aufruf. Eine Host-Auswahl per Menü ist auf diese Weise al­ler­dings eher schwie­rig. (Aber es gilt ja „no pain, no gain“ )

Zitat von m_ueberall

Laut Anleitung können BvSsh alle erforderlichen Parameter übergeben werden, um (direkt) einen bestimmten Host zu kontaktieren. Erstellt man eine Ver­knü­pfung zu ei­nem host-spezifischen Batch-Script, kann in die Zeile davor einfach der erforderliche knock-Aufruf. Eine Host-Auswahl per Menü ist auf diese Weise al­ler­dings eher schwie­rig. (Aber es gilt ja „no pain, no gain“ )

Na das mit dem Skript und dass es keine Menüauswahl gibt hatte ich auch nicht als Hürde angesehen , sondern dass ich ja erstmal irgendwie ein "knock" auch auf Windows ausführen kann.

Zitat von aRaphael

Na das mit dem Skript und dass es keine Menüauswahl gibt hatte ich auch nicht als Hürde angesehen , sondern dass ich ja erstmal irgendwie ein "knock" auch auf Windows ausführen kann.

Im WSL sollte eigentlich auch das funktionieren (wenn man kein Windows-Pendant verwendet), da iptables die Windows-Firewall ansteuern kann.

Vielleicht testet das ja mal jemand und gibt hier Rückmeldung? Das von Ganzjahresgriller empfohlene Windows-Programm ist aber wohl der einfachere Weg.