Objectif

Avoir ssh sur ses serveurs c'est vraiment sympa pour les administrer à distance mais devoir laisser son port ssh accessible 24/7 pour notre petit confort c'est pas top niveau sécurité ...

On peut tenter de verrouiller les accès au port ssh histoire de pas se faire brute forcer son mot de passe avec quelque chose de ce style :

iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --set
iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP

ce qui aura pour effet d'ignorer les requêtes arrivant à un rythme supérieur à 3 par minute. C'est pas mal déjà, mais en ce moment la mode est au port Knocking, et c'est pas si compliqué...

Il suffit de 10 lignes dans iptables pour établir un port Knocking de trois "tocs" afin d'ouvrir le port ssh si les bons ports ont été "Knockés" (et dans le bon ordre :)

Le principe

Avant de pouvoir utiliser le port 22 on doit le débloquer en contactant des ports précis dans un ordre précis, ce qui constitue la "clef" pour ouvrir notre port 22.

Dans notre exemple la clef est 103 202 301, si on contacte ces ports dans cet ordre, le port 22 sera ouvert pendant 5 secondes, juste le temps pour nous de faire une connexion ssh qui sera maintenue au delà de 5 secondes grâce aux règles qui acceptent les connexions ESTABLISHED.

Le script

iptables -N Step2
iptables -A Step2 -m recent --name Key1 --remove
iptables -A Step2 -m recent --name Key2 --set

iptables -N Step3
iptables -A Step3 -m recent --name Key2 --remove
iptables -A Step3 -m recent --name Key3 --set

iptables -A INPUT -p tcp --dport 103 -m recent --set --name Key1
iptables -A INPUT -p tcp --dport 202 -m recent --rcheck --name Key1 -j Step2
iptables -A INPUT -p tcp --dport 301 -m recent --rcheck --name Key2 -j Step3

iptables -A INPUT -p tcp --dport 22 -m recent --rcheck --seconds 5 --name Key3 -j ACCEPT

Les explications

On utilise ici le module "recent" d'iptables : iptables -m recent --help

recent v1.2.11 options:
[!] --set Add source address to list, always matches.
[!] --rcheck Match if source address in list.
[!] --update Match if source address in list, also update last-seen time.
[!] --remove Match if source address in list, also removes that address from list.
--seconds seconds For check and update commands above.
Specifies that the match will only occur if source address last seen within
the last 'seconds' seconds.
--name name Name of the recent list to be used. DEFAULT used if none given.
--rsource Match/Save the source address of each packet in the recent list table (default).
--rdest Match/Save the destination address of each packet in the recent list table.
ipt_recent v0.3.1: Stephen Frost <sfrost@snowman.net>. http://snowman.net/projects/ipt_recent/

Ce module permet de créer des listes dans lesquelles on va pouvoir lire/enregistrer des IPs ...
On créer deux chaînes, Step2 et Step3, pour vérifier que la séquence des tocs sur nos ports est bien respectée :

iptables -N Step2
iptables -A Step2 -m recent --name Key1 --remove
iptables -A Step2 -m recent --name Key2 --set
ici, lorsque le paquet traverse Step2, on ajoute l'adresse source du paquet qui est précédemment passé par le port 103 dans la liste "Key2" et on la retire de "Key1"

iptables -N Step3
iptables -A Step3 -m recent --name Key2 --remove
iptables -A Step3 -m recent --name Key3 --set
ici, lorsque le paquet traverse Step3, on ajoute l'adresse source du paquet qui est précédemment passé par le port 202 dans la liste "Key3" et on la retire de "Key2"

la ligne :
iptables -A INPUT -p tcp --dport 103 -m recent --set --name Key1
ajoute l'adresse source d'un paquet qui arriverait sur le port 103 dans la liste "Key1"

la ligne :
iptables -A INPUT -p tcp --dport 202 -m recent --rcheck --name Key1 -j Step2
ajoute l'adresse source d'un paquet qui arriverait sur le port 202 et dont l'adresse source serait dans "Key1" dans la liste "Key2" (cela se produit en traversant la chaîne "Step2")

la ligne :
iptables -A INPUT -p tcp --dport 301 -m recent --rcheck --name Key2 -j Step3
ajoute l'adresse source d'un paquet qui arriverait sur le port 301 et dont l'adresse source serait dans "Key2" dans la liste "Key3" (cela se produit en traversant la chaîne "Step3")

Enfin, la ligne suivante laisse passer les paquets à destination du port 22 dont l'adresse source est dans la liste "Key3" depuis moins de 5 secondes :
iptables -A INPUT -p tcp --dport 22 -m recent --rcheck --seconds 5 --name Key3 -j ACCEPT

Un script de test complet pour un serveur pourrait être :

#On fait le ménage
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X

#On est pas causant par défaut
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

#On accepte de parler et d'entendre les réponses à nos questions
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state NEW,ESTABLISHED -j ACCEPT

#On met en place un port Knocking afin d'ouvrir le port ssh 5 secondes
iptables -N Step2
iptables -A Step2 -m recent --name Key1 --remove
iptables -A Step2 -m recent --name Key2 --set

iptables -N Step3
iptables -A Step3 -m recent --name Key2 --remove
iptables -A Step3 -m recent --name Key3 --set

iptables -A INPUT -p tcp --dport 103 -m recent --set --name Key1
iptables -A INPUT -p tcp --dport 202 -m recent --rcheck --name Key1 -j Step2
iptables -A INPUT -p tcp --dport 301 -m recent --rcheck --name Key2 -j Step3

iptables -A INPUT -p tcp --dport 22 -m recent --rcheck --seconds 5 --name Key3 -j ACCEPT

Bon maintenant qu'on a la partie serveur, voyons la partie client :

Il faut faire toc toc sur les ports 103 puis 202 puis 301, certains conseillent d'utiliser telnet avec des commandes du style :

$> alias toc='telnet ip_address'
$> toc 103 ; toc 202 ; toc 301 ; ssh ip_address
puis Ctrl-C 3 fois pour killer les telnets et retomber sur la commande ssh

il m'a semblé que telnet introduisait trop de latence et que globalement ca marchait pas.

Je préfère utiliser un petit script "knock" du style :

nmap -PA103,202,301 -r -M1 $1
ssh $1

Explications : pour être certain que nmap contacte les ports dans l'ordre indiqué on ajoute "-r" et on fixe le maximum de sockets à 1 avec "-M1" pour être bien certain qu'il fera chaque toc l'un après l'autre.

Finalement

sous GNU/Linux on contacte notre serveur ssh avec la commande :

#./knock ip_address

et sous Windows ca marche aussi didon :

il nous faut nmap pour win32 : http://www.insecure.org/nmap/download.html
et winpcap : http://www.winpcap.org/install/default.htm
on met putty dans le dossier d'nmap ...
plus l'équivalent de notre petit script :

----knock.bat----
set IP=%1
if %1.==. set /p IP=Adresse IP ?
nmap -p103,202,301 -r --host_timeout 2000 %IP%
putty %IP%
-----------------

Et voilà Youpi notre port ssh est joignable 5 secondes après 3 tocs secrets et fermé le reste du temps, quel bonheur cet iptables ;)

Les distributions linux live c'est super chouette, mais si il manque un paquet dedans comment on le rajoute ?

J'utilise GRML une distrib live basée sur debian à destination des administrateurs réseau, je voulais rajouter plusieurs logiciels sur cette distrib et faire quelques réglages, clavier français, etc ... J'ai trouvé quelques solutions sur le net qui m'ont paru bien compliquées ...

La procédure, relativement simple, que je vous livre ici devrait fonctionner pour toute distrib live qui utilise un système de fichiers squashfs ...

mots clef google friendly : Remastering Remasteriser GRML, Modifier distribution linux vive live

Sous Ubuntu, je suis dans le dossier /home/fred

- Etape 1 : Prérequis

créer un dossier pour monter l'iso de GRML

mkdir grml_iso

Créer un dossier pour monter le systeme squashfs de GRML

mkdir grml_squash

Créer un dossier pour manipuler le système de GRML

mkdir grml_system

Installer les outils nécessaires

apt-get install squashfs-tools kiso rsync

- Etape 2 : Monter l'iso originale de GRML (en lecture seule)

sudo mount -o loop grml_x.y.iso grml_iso

- Etape 3 : Exporter le système squashfs de l'iso dans le dossier courant

cp grml_iso/GRML/GRML .

- Etape 4 : Monter le système squashfs de GRML (en lecture seule)

sudo mount -o loop GRML grml_squash

- Etape 5 : Copier le contenu du squashfs dans grml_system (accessible en lecture et ecriture)

sudo rsync -av grml_squash grml_system

- Etape 6 : Entrer dans le système de GRML

sudo chroot grml_system /usr/bin/zsh

| Faire ses modifications (apt-get install trucbidule, rm machin ...)

exit

- Etape 7 : Créer le squashfs du système modifié

sudo mksquashfs grml_system newGRML

- Etape 8 : Sous Kiso, Mettre à jour le squashfs dans l'iso de GRML

- Ouvrir l'iso de GRML
- Supprimer le fichier GRML/GRML de l'iso
- Ajouter le fichier newGRML dans le dossier GRML de l'iso
- Renommer newGRML en GRML

- Etape 9 : Sous Kiso, Mettre à jour le checksum du nouveau squashfs

- md5sum newGRML
- nano grml_iso/md5sums (modifier la valeur du checksum de GRML/GRML)
- Enregistrer sous newmd5sums
- Supprimer le fichier md5sums de l'iso
- Ajouter le fichier newmd5sums
- Renommer newmd5sums en md5sums

- Etape 10 : Sous Kiso, Enregistrer une nouvelle image iso

- Enregistrer sous ... my_own_grml.iso

et voilà votre distrib live perso ...