对于基于“端口敲门”的 SSH 端口保护，是否有一个强大的、低麻烦的解决方案？

Question

通过健壮和低麻烦，我的意思是不涉及复杂的 iptables 设置，不涉及 apache，不需要额外的客户端程序，不需要从 cron 运行脆弱的 shell 脚本等。

有没有人有 sshd 和 ssh（客户端）补丁来启用某种形式的端口敲入内置到 sshd 服务和客户端本身？

例如，在收到正确加密和验证的 UDP 数据包之前拒绝端口 22 上的连接，这很好。

我很失望所有端口敲除解决方案都是无耻的黑客攻击，而不是对相关程序进行良好集成和测试的补丁。

Answer 1

Knockd似乎是较成熟的实现之一，尽管不符合您作为 sshd 本身补丁的标准。我个人更喜欢外部程序，原因包括：

• 它可用于帮助保护其他服务（例如 IMAP、OpenVPN）以及 ssh
• 将额外的功能修补到 sshd 会增加引入漏洞的可能性（无论这样的补丁如何“测试”，sshd 都以 root 身份运行，因此最小的缺陷可能会被证明是非常讨厌的）