ssh állandóan nyitott port nélkül

Én egy ideje / néhány éve / a következő kiegészítő módszert (is) használom házi barkácshasználatra extraként ssh védelmére, nyilván nem felel meg mindenkinek, akinek mégis annak egészségére :

hozzávalók ssh serveroldalon: iptables, bash, exim, coreutils, procmail, fetchmail, ssh :-), gpg, bsd-mailx /asszem ennyi, más nem kell ha minden igaz,de lehet, hogy kifelejtettem valamit, alábbi szövegből úgyis kiderül; hja sudo is kell :-D (mondom hogy elfelejtek mindent :-D) /

1. egy megfelelő formátumú szövegfájlba írok egy ip címet / akár wifi public címét/, amit szeretném ha az iptables beengedne, meg mellé egyfajta "időbélyeg"-et, meg egy kis egyebet.
2. ezt gpg-vel lekódolom.
3. email-ben megy egy bizonyos emailcímre speciális tárggyal a kódolt email / mobilnettel minden körülmények között, akkor is ha egy natolt wifi hálózat látható címét adtam meg !! /.
...
4. ssh serveres gép fetchmail-el leszedi ó'tomatán az emailt /=tehát itt sincs úm. nyitott port/, speciális tárgy + méret alapján szűri /exim, procmail/, ha stimmel, akkor futtatja a dekódolást, ha sikerül, kinyeri belőle az ip címet és az "időbélyeg"-et, amennyiben a szövegfájl a "kis egyeb"-et is tartalmazza.

Ha az "időbélyeg" több mint kb. 9 perces akkor ennyi volt; a történet véget ért. Ha az emailszolg. szarakodik, vagy lassú, akkor így jártam, kint maradtam. Volt rá példa sajna. Ez van. Azt nem mondtam, hogy a módszer teljesen tökéletes és buktatómentes. :-D

Ha az időbélyeg is jó, akkor elindít egy sudo iptables szkriptet ami megkapja az ip címet "paraméter"-ként, így "beengedi" az adott ip címet az ssh portjára. / nem, 0.0.0.0-t és hasonlót nem fogad el, akkor sem ha ez volt a kódolt emailben. :-D /

Majd a rendszer visszadob egy "visszaigazoló" emailt az egyik emailcímemre, hogy leengedte a falat, és elindul egy számláló. / ezt az emailt csak mobilnettel nézem, ha megjött az email akkor nyertem./ Általában 4-5-6 perc alatt megjön azért a visszaigazoló email.

Ennek a forrásában megnézem, hogy melyik ip címről jött. (hátha a szolg. éppen most cserélte a dinamikus ip címet sosem lehet tudni.). És már fel is lehet csatlakozni, vagy mobilnetről, vagy mobil bont+egy ingyenwifiről és máris kiderült, hogy még statikus ip cím sem kell az ssh servernek.

Az "időbélyeg" 9 percéből a legrosszabb esetben is van még 2,5-3 percem, hogy belépjek.

Ha sikerült bejelentkezni a 9 perces számláló leáll, és elindul egy másik, ami azt vizsgálja időnként, hogy az adott felhasználó még be van-e jelentkezve, vagy már disconnectált/megszakadt, ha igen, vár kb. 2 percet, és ha nem lép vissza, akkor törli az iptables engedélyező szabályokat is. / Sajnos kezdő alzheimeres lehetek, igen gyakran vissza kell lépni mikor valamit elfelejtek, ezért van a 2 perc./

Majd küld a mobnetes emailcímre egy visszaigazolást, hogy leállt a cuccal.

Kicsit bonyolultnak tűnik, valójában sima néhány soros barkácsolt-gányolt bash szkriptekkel oldom meg az egész sztorit. Nem kell túlbonyolítani.

Viszont így nem kell napi 24 órában nyitva tartani egy porton az ssh-t az egész világnak még egy tetszőleges porton sem.

Hanem csak célzottan, vagy nagyjából célzottan, ha egy public-wifi címét adom meg.

----------

- A sudo szkript miatt van némi biztonsági kockázat, de talán több a nyereség biztonság terén, mint a rizikó, mert még sincs állandóan nyitva az a fránya port.
- Meg az emailküldéses módszer miatt, ha a rendszer törik, akkor könnyen spam-gyár is lehet belőle.
- Nyilván ha public wifi címet adom meg, akkor az adott teljes wifi hálóra nyilván nyitva van port. De az mégsem a teljes internet.

----------

Az ssh servert én is más portra tettem, bár ez szerintem csak ideig-óráig jó, ha elég sokáig van nyitva a port, azért meg lehet találni. Nagyon sok eszköz van.
Az nmap- és hasonló script kiddies szkennerek számára pluszban van egy extra meglepetésem, mivel emiatt nem ismerik fel az OS-t szabványos minta alapján:

IP ID Sequence Generation: Randomized

Ez a szkennelő szkript kiddieket, akik véletlenül szerencsésen rábukkanak a nyitott ssh portra, ez a "kedvcsináló" üzenet fogadja a sor végén, hogy talán nem itt kellene próbálkozni. A linuxok ugye ún. "all zero"-val jönnek ki.

Biztonsági jelentősége nem sok van ma már, de jól néz ki, és egy normál linuxtól azért nem ez az elvárható, kis "pszichológiai" :-) extra.
Kis elrettentés a kiddieknek. :-D A profik meg nem fognak magamfajta lézengő dinamikus ip-s tartományban egyszerű halandók között keresgélni. Max. zombit, de annak meg nem vagyok jó nekik sem a szkenner eredmények alapján.

A szkennerek os-type mintájába a randomizációs hálózati kernel patchek miatt a rendszer nem illeszkedik.

U.I.:
Hja igen az ip cím kizárólag ipv4. ipv6-t abszolút nem használok. (kerneleket is anélkül fordítom.)

-------

Ennyi.:
Most jöhetnek a trollok , és szétszedhetik ízekre a módszert !

--------

Előállított "Vállalati
Internetszennyező"