0

我正在使用以下 iptables 规则进行端口敲击。一切正常，但我想通过能够从 HOST_1 敲门来改进它，从而打开 HOST_2 的 SSH 端口。有人可以建议是否/如何做到这一点？一种可能性是在端口敲门时伪造源 IP (hping3 -p 100 -a $HOST_2 11.22.33.44)。这行得通，但我更愿意使用 iptables 来实现它。

-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -s 127.0.0.0/8 -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

-A INPUT -m recent --rcheck --seconds 5 --name KNOCK3 --rsource -j STATE3
-A INPUT -m recent --rcheck --seconds 5 --name KNOCK2 --rsource -j STATE2
-A INPUT -m recent --rcheck --seconds 5 --name KNOCK1 --rsource -j STATE1

-A INPUT -j STATE0

-A STATE0 -m recent --remove --name KNOCK1,KNOCK2,KNOCK3 --rsource
-A STATE0 -p tcp -m tcp --dport 100 -m recent --set --name KNOCK1 --rsource -j DROP
-A STATE0 -j DROP

-A STATE1 -m recent --remove --name KNOCK1,KNOCK2,KNOCK3 --rsource
-A STATE1 -p tcp -m tcp --dport 200 -m recent --set --name KNOCK2 --rsource -j DROP
-A STATE1 -j DROP

-A STATE2 -m recent --remove --name KNOCK1,KNOCK2,KNOCK3 --rsource
-A STATE2 -p tcp -m tcp --dport 300 -m recent --set --name KNOCK3 --rsource -j DROP
-A STATE2 -j DROP

-A STATE3 -m recent --remove --name KNOCK1,KNOCK2,KNOCK3 --rsource
-A STATE3 -p tcp -m tcp --dport 22 -j ACCEPT
-A STATE3 -j DROP
4

1 回答 1

0

如果您的两台主机是固定 IP 地址，您只需在上面设置敲击名称的适当规则中添加源 IP 选项 (-s)。例如。将下面的 HOST_1 和 HOST_2 值替换为有效 IP：

-A STATE0 -s HOST_1 -p tcp -m tcp --dport 100 -m recent --set --name KNOCK1 --rsource -j DROP

-A STATE1 -s HOST_1 -p tcp -m tcp --dport 200 -m recent --set --name KNOCK2 --rsource -j DROP

-A STATE2 -s HOST_1 -p tcp -m tcp --dport 300 -m recent --set --name KNOCK3 --rsource -j DROP

-A STATE3 -s HOST_2 -p tcp -m tcp --dport 22 -j ACCEPT

如果您的 IP 是动态的（例如，从任何给定的 IP 敲门打开访问下一个更高的 IP），我不知道仅使用 iptables 的方法。

于 2013-10-02T15:06:58.257 回答