ポートノッキング - 版の履歴

Kusanaginoturugi: 上記のポートなどない。

2022-10-26T01:59:40Z

上記のポートなどない。

← 古い版		2022年10月26日 (水) 10:59時点における版
6行目:		6行目:
	標準的なポートスキャンに対して、ポートのサービスが使われていないかのようにみせかけることができるという利点があります。この記事ではデーモンや iptables を使ってポートノッキングを利用する方法を説明します。		標準的なポートスキャンに対して、ポートのサービスが使われていないかのようにみせかけることができるという利点があります。この記事ではデーモンや iptables を使ってポートノッキングを利用する方法を説明します。

	{{Warning\|ポートノッキングはあくまでセキュリティ戦略の一環として考えてください。ポートノッキングだけでシステムを防護することは不可能です。[[Wikipedia:Security through obscurity\|遮蔽によるセキュリティ]] (攻撃者が知らないことを前提とするセキュリティ) は脆いものです。SSH を保護する場合、ポートノッキングと組み合わせて使うことができる強固な方法として [[SSH 鍵]]があります。また、上記の例で使われているポートは実際には使わないでください。}}		{{Warning\|ポートノッキングはあくまでセキュリティ戦略の一環として考えてください。ポートノッキングだけでシステムを防護することは不可能です。[[Wikipedia:Security through obscurity\|遮蔽によるセキュリティ]] (攻撃者が知らないことを前提とするセキュリティ) は脆いものです。SSH を保護する場合、ポートノッキングと組み合わせて使うことができる強固な方法として [[SSH 鍵]]があります。また、下記の例で使われているポートは実際には使わないでください。}}

	== イントロダクション ==		== イントロダクション ==

Kusanaginoturugi: /* fwknop */ 表現を修正

2022-10-26T01:58:16Z

fwknop: 表現を修正

← 古い版		2022年10月26日 (水) 10:58時点における版
182行目:		182行目:
	== fwknop ==		== fwknop ==

	{{pkg\|fwknop}} は、より単純なポートノッキング方法について、上記の制限のいくつかを克服しようとするものです。その代償として、より複雑で、主に保護されるべきサーバのリソースを使用することになります。ポートノックと Single Package Authorization (SPA) を提供します。{{ic\|libpcap}} と暗号化方式を使用することにより、その目的を達成します。[[ネットワークデバッグ#Tcpdump\|tcpdump]] の基盤ライブラリである libpcap を使用することで、受信パケットをすべて検査することが可能です。ファイアウォールが通さないようなパケットも含まれます。ファイアウォールが通さないパケットも、どのサービスもオープンに聞いていないパケットも含めて。暗号化技術により、攻撃者が以前のパケットを再送することで fwknop を迂回することを防止します。		{{pkg\|fwknop}} は、より単純なポートノッキング方法について、上記の制限のいくつかを克服しようとするものです。その代償として、より複雑で、主に保護されるべきサーバのリソースを使用することになります。ポートノックと Single Package Authorization (SPA) を提供します。{{ic\|libpcap}} と暗号化方式を使用することにより、その目的を達成します。[[ネットワークデバッグ#Tcpdump\|tcpdump]] の基盤ライブラリである libpcap を使用することで、受信パケットをすべて検査することが可能です。ファイアウォールが通さないようなパケットも含まれます。ファイアウォールが通さないパケットも、どのサービスもオープンに聞いていないパケットも含めてです。暗号化技術により、攻撃者が以前のパケットを再送することで fwknop を迂回することを防止します。

	== 参照 ==		== 参照 ==

Kusanaginoturugi: /* fwknop */ 表現を修正

2022-10-26T01:57:45Z

fwknop: 表現を修正

← 古い版		2022年10月26日 (水) 10:57時点における版
182行目:		182行目:
	== fwknop ==		== fwknop ==

	{{pkg\|fwknop}} は、より単純なポートノッキング方法について、上記の制限のいくつかを克服しようとするものです。その代償として、より複雑で、主に保護されるべきサーバのリソースを使用することになります。ポートノックと Single Package Authorization (SPA) を提供します。{{ic\|libpcap}} と暗号化方式を使用することにより、その目的を達成する。[[ネットワークデバッグ#Tcpdump\|tcpdump]] の基盤ライブラリである libpcap を使用することで、受信パケットをすべて検査することが可能です。ファイアウォールが通さないようなパケットも含まれます。ファイアウォールが通さないパケットも、どのサービスもオープンに聞いていないパケットも含めて。暗号化技術により、攻撃者が以前のパケットを再送することで fwknop を迂回することを防止します。		{{pkg\|fwknop}} は、より単純なポートノッキング方法について、上記の制限のいくつかを克服しようとするものです。その代償として、より複雑で、主に保護されるべきサーバのリソースを使用することになります。ポートノックと Single Package Authorization (SPA) を提供します。{{ic\|libpcap}} と暗号化方式を使用することにより、その目的を達成します。[[ネットワークデバッグ#Tcpdump\|tcpdump]] の基盤ライブラリである libpcap を使用することで、受信パケットをすべて検査することが可能です。ファイアウォールが通さないようなパケットも含まれます。ファイアウォールが通さないパケットも、どのサービスもオープンに聞いていないパケットも含めて。暗号化技術により、攻撃者が以前のパケットを再送することで fwknop を迂回することを防止します。

	== 参照 ==		== 参照 ==

Kusanaginoturugi: /* fwknop */ リンク先を修正

2022-10-26T01:56:39Z

fwknop: リンク先を修正

← 古い版		2022年10月26日 (水) 10:56時点における版
182行目:		182行目:
	== fwknop ==		== fwknop ==

	{{pkg\|fwknop}} は、より単純なポートノッキング方法について、上記の制限のいくつかを克服しようとするものです。その代償として、より複雑で、主に保護されるべきサーバのリソースを使用することになります。ポートノックと Single Package Authorization (SPA) を提供します。{{ic\|libpcap}} と暗号化方式を使用することにより、その目的を達成する。[[~~Network Debugging~~#Tcpdump\|tcpdump]] の基盤ライブラリである libpcap を使用することで、受信パケットをすべて検査することが可能です。ファイアウォールが通さないようなパケットも含まれます。ファイアウォールが通さないパケットも、どのサービスもオープンに聞いていないパケットも含めて。暗号化技術により、攻撃者が以前のパケットを再送することで fwknop を迂回することを防止します。		{{pkg\|fwknop}} は、より単純なポートノッキング方法について、上記の制限のいくつかを克服しようとするものです。その代償として、より複雑で、主に保護されるべきサーバのリソースを使用することになります。ポートノックと Single Package Authorization (SPA) を提供します。{{ic\|libpcap}} と暗号化方式を使用することにより、その目的を達成する。[[ネットワークデバッグ#Tcpdump\|tcpdump]] の基盤ライブラリである libpcap を使用することで、受信パケットをすべて検査することが可能です。ファイアウォールが通さないようなパケットも含まれます。ファイアウォールが通さないパケットも、どのサービスもオープンに聞いていないパケットも含めて。暗号化技術により、攻撃者が以前のパケットを再送することで fwknop を迂回することを防止します。

	== 参照 ==		== 参照 ==

Kusanaginoturugi: /* fwknop */ 飜訳

2022-10-26T01:53:01Z

fwknop: 飜訳

← 古い版		2022年10月26日 (水) 10:53時点における版
182行目:		182行目:
	== fwknop ==		== fwknop ==

			{{pkg\|fwknop}} は、より単純なポートノッキング方法について、上記の制限のいくつかを克服しようとするものです。その代償として、より複雑で、主に保護されるべきサーバのリソースを使用することになります。ポートノックと Single Package Authorization (SPA) を提供します。{{ic\|libpcap}} と暗号化方式を使用することにより、その目的を達成する。[[Network Debugging#Tcpdump\|tcpdump]] の基盤ライブラリである libpcap を使用することで、受信パケットをすべて検査することが可能です。ファイアウォールが通さないようなパケットも含まれます。ファイアウォールが通さないパケットも、どのサービスもオープンに聞いていないパケットも含めて。暗号化技術により、攻撃者が以前のパケットを再送することで fwknop を迂回することを防止します。
	{{pkg\|fwknop}} attempts to overcome some of the limitations mentioned above for simpler port knocking method. At the price of higher complexity and resource usage, mainly for the server to be protected. It provides port knocking and Single Package Authorization (SPA). It achieves its goals by using {{pkg\|libpcap}} and a cryptographic method. The usage of libpcap, which is the underlying library beneath [[Network Debugging#Tcpdump\|tcpdump]], enables it to examine all the incoming packets. Including packets the firewall does not let through. And including packets that no service is openly listens to. The usage of cryptography prevents an attacker from bypassing fwknop by retransmitting previous packets.

	== 参照 ==		== 参照 ==

Kusanaginoturugi: /* Simple port knocking */ 翻訳

2021-07-18T13:37:03Z

Simple port knocking: 翻訳

← 古い版		2021年7月18日 (日) 22:37時点における版
27行目:		27行目:
	ノックに使用するポートはランダムに選択するのが良いでしょう。[https://www.random.org/ random.org] で 1 から 65535 の間のポート番号を生成できます。一般的に使われているポートは選択しないように注意してください。[https://www.grc.com/PortDataHelp.htm ポートデータベース] や {{Ic\|/etc/services}} ファイルを参照してください。		ノックに使用するポートはランダムに選択するのが良いでしょう。[https://www.random.org/ random.org] で 1 から 65535 の間のポート番号を生成できます。一般的に使われているポートは選択しないように注意してください。[https://www.grc.com/PortDataHelp.htm ポートデータベース] や {{Ic\|/etc/services}} ファイルを参照してください。

			== シンプルなポートノッキング ==
	== Simple port knocking ==

	=== ~~Server side~~ ===		=== サーバーサイド ===

	==== デーモンヘルパーによるポートノッキング ====		==== デーモンヘルパーによるポートノッキング ====
130行目:		130行目:
	}}		}}

	==== ~~With~~ nftables ~~only~~ ====		==== nftables によるポートノッキング ====

	[https://wiki.nftables.org/wiki-nftables/index.php/Port_knocking_example ~~Port knocking examples~~] ~~with [[nftables]] only.~~		[[nftables]] のみによる、[https://wiki.nftables.org/wiki-nftables/index.php/Port_knocking_example ポートノッキングの例]。

	=== クライアントスクリプト ===		=== クライアントスクリプト ===

Kusanaginoturugi: 章立ての変更、節名の変更、不足している項目の追加。

2021-07-18T13:32:17Z

章立ての変更、節名の変更、不足している項目の追加。

← 古い版		2021年7月18日 (日) 22:32時点における版
51行目:		51行目:
	</nowiki>}}		</nowiki>}}

	== iptables によるポートノッキング ==		==== iptables によるポートノッキング ====

	以下では {{ic\|/etc/iptables/iptables.rules}} ファイルを作成して SSH のポートノッキングを処理します。{{ic\|8881}}, {{ic\|7777}}, {{ic\|9991}} ポートが順番に"ノック"されたときに SSH の標準ポートである 22 を開くようにルールを設定します。		以下では {{ic\|/etc/iptables/iptables.rules}} ファイルを作成して SSH のポートノッキングを処理します。{{ic\|8881}}, {{ic\|7777}}, {{ic\|9991}} ポートが順番に"ノック"されたときに SSH の標準ポートである 22 を開くようにルールを設定します。
130行目:		130行目:
	}}		}}

			==== With nftables only ====
⚫	== ~~ポートノッキ~~ングスクリプト ==

			[https://wiki.nftables.org/wiki-nftables/index.php/Port_knocking_example Port knocking examples] with [[nftables]] only.

		⚫	=== クライアントスクリプト ===

	設定が完了したら、ポートノッキングを行うツールが必要です。上記で触れている {{Pkg\|knockd}} には簡単に設定できる {{ic\|knock}} ツールが付属しています。上流のサイトでは他の OS 用の {{ic\|knock}} ツールが配布されています。		設定が完了したら、ポートノッキングを行うツールが必要です。上記で触れている {{Pkg\|knockd}} には簡単に設定できる {{ic\|knock}} ツールが付属しています。上流のサイトでは他の OS 用の {{ic\|knock}} ツールが配布されています。
175行目:		179行目:

	{{Note\|上記の設定によるセキュリティを保証することはできません。あくまで特定のポートのサービスの存在を遮蔽できるというだけです。他の方法でもセキュリティを守るようにしてください。上記の設定を使うときは、自己責任で行なってください。}}		{{Note\|上記の設定によるセキュリティを保証することはできません。あくまで特定のポートのサービスの存在を遮蔽できるというだけです。他の方法でもセキュリティを守るようにしてください。上記の設定を使うときは、自己責任で行なってください。}}

			== fwknop ==

			{{pkg\|fwknop}} attempts to overcome some of the limitations mentioned above for simpler port knocking method. At the price of higher complexity and resource usage, mainly for the server to be protected. It provides port knocking and Single Package Authorization (SPA). It achieves its goals by using {{pkg\|libpcap}} and a cryptographic method. The usage of libpcap, which is the underlying library beneath [[Network Debugging#Tcpdump\|tcpdump]], enables it to examine all the incoming packets. Including packets the firewall does not let through. And including packets that no service is openly listens to. The usage of cryptography prevents an attacker from bypassing fwknop by retransmitting previous packets.

	== 参照 ==		== 参照 ==

Kusanaginoturugi: /* デーモンヘルパーによるポートノッキング */ 章・節を追加

2021-07-18T13:28:07Z

デーモンヘルパーによるポートノッキング: 章・節を追加

← 古い版		2021年7月18日 (日) 22:28時点における版
27行目:		27行目:
	ノックに使用するポートはランダムに選択するのが良いでしょう。[https://www.random.org/ random.org] で 1 から 65535 の間のポート番号を生成できます。一般的に使われているポートは選択しないように注意してください。[https://www.grc.com/PortDataHelp.htm ポートデータベース] や {{Ic\|/etc/services}} ファイルを参照してください。		ノックに使用するポートはランダムに選択するのが良いでしょう。[https://www.random.org/ random.org] で 1 から 65535 の間のポート番号を生成できます。一般的に使われているポートは選択しないように注意してください。[https://www.grc.com/PortDataHelp.htm ポートデータベース] や {{Ic\|/etc/services}} ファイルを参照してください。

			== Simple port knocking ==
⚫	== デーモンヘルパーによるポートノッキング ==

			=== Server side ===

		⚫	==== デーモンヘルパーによるポートノッキング ====

	専用のデーモンを使うことでポートノッキングを管理できます。ヘルパープログラムを使えばルールを簡単に設定できる他、高度な機能も存在します。		専用のデーモンを使うことでポートノッキングを管理できます。ヘルパープログラムを使えばルールを簡単に設定できる他、高度な機能も存在します。

Hiromi-mi: 英語版と同期

2019-03-21T05:10:09Z

英語版と同期

← 古い版		2019年3月21日 (木) 14:10時点における版
1行目:		1行目:
	[[Category:ファイアウォール]]		[[Category:ファイアウォール]]
	[[en:Port ~~knocking~~]]		[[en:Port Knocking]]
	[[es:Port Knocking]]		[[es:Port Knocking]]
	ポートノッキングとはデフォルトではファイアウォールによって閉じられているポートを外部から密かに開く方法です。ポートノッキングでは予め決めておいた順番で閉じているポートを叩きます。正しい順番のポートの"ノック" (接続試行) を受け取ったとき、ファイアウォールは特定のポートを開いて接続を許可します。		[[Wikipedia:Port Knocking\|ポートノッキング]]とはデフォルトではファイアウォールによって閉じられているポートを外部から密かに開く方法です。ポートノッキングでは予め決めておいた順番で閉じているポートを叩きます。正しい順番のポートの"ノック" (接続試行) を受け取ったとき、ファイアウォールは特定のポートを開いて接続を許可します。

	標準的なポートスキャンに対して、ポートのサービスが使われていないかのようにみせかけることができるという利点があります。この記事ではデーモンや iptables を使ってポートノッキングを利用する方法を説明します。		標準的なポートスキャンに対して、ポートのサービスが使われていないかのようにみせかけることができるという利点があります。この記事ではデーモンや iptables を使ってポートノッキングを利用する方法を説明します。
73行目:		73行目:
	-A TRAFFIC -m state --state NEW -m tcp -p tcp -m recent --name SSH2 --remove -j DROP		-A TRAFFIC -m state --state NEW -m tcp -p tcp -m recent --name SSH2 --remove -j DROP

	最初に処理したシーケンスの末端にきて、以下のルールでポートシーケンスの確認を行います。一つずつノックするポートが正しいかどうか確認するルールを作成します。シーケンスが問題なければ、IP をリストに追加して次のノックにジャンプします。{{ic\|SSH-INPUT}} や {{ic\|SSH-INPUTTWO}} にジャンプされなかった場合、間違ったポートがノックされた、あるいは (こちらの方が多いですが) 他のトラフィックだということです。したがって、次のルールで {{ic\|SSH2}} のルールと同じように、リストから IP を削除してトラフィックを拒否します。		最初に処理したシーケンスの末端にきて、ここで以下のルールでポートシーケンスの確認を行います。一つずつノックするポートが正しいかどうか確認するルールを作成します。シーケンスが問題なければ、IP をリストに追加して次のノックにジャンプします。{{ic\|SSH-INPUT}} や {{ic\|SSH-INPUTTWO}} にジャンプされなかった場合、間違ったポートがノックされた、あるいは (こちらの方が多いですが) 他のトラフィックだということです。したがって、次のルールで {{ic\|SSH2}} のルールと同じように、リストから IP を削除してトラフィックを拒否します。
	{{bc\|-A TRAFFIC -m state --state NEW -m tcp -p tcp --dport 9991 -m recent --rcheck --name SSH1 -j SSH-INPUTTWO		{{bc\|-A TRAFFIC -m state --state NEW -m tcp -p tcp --dport 9991 -m recent --rcheck --name SSH1 -j SSH-INPUTTWO
	-A TRAFFIC -m state --state NEW -m tcp -p tcp -m recent --name SSH1 --remove -j DROP}}		-A TRAFFIC -m state --state NEW -m tcp -p tcp -m recent --name SSH1 --remove -j DROP}}
170行目:		170行目:
	Connection to 192.168.1.1 closed.</nowiki>}}		Connection to 192.168.1.1 closed.</nowiki>}}

	{{~~Warning~~\|上記の設定によるセキュリティを保証することはできません。あくまで特定のポートのサービスの存在を遮蔽できるというだけです。他の方法でもセキュリティを守るようにしてください。上記の設定を使うときは、自己責任で行なってください。}}		{{Note\|上記の設定によるセキュリティを保証することはできません。あくまで特定のポートのサービスの存在を遮蔽できるというだけです。他の方法でもセキュリティを守るようにしてください。上記の設定を使うときは、自己責任で行なってください。}}

	== 参照 ==		== 参照 ==
	* [http://www.portknocking.org/ Port knocking ホームページ]		* [http://www.portknocking.org/ Port knocking ホームページ]
	* [https://en.wikipedia.org/wiki/Port_knocking Wikipedia on Port knocking]

Kusakata.bot: 文字列「http://en.wikipedia.org/」を「https://en.wikipedia.org/」に置換

2018-02-06T14:54:43Z

文字列「http://en.wikipedia.org/」を「https://en.wikipedia.org/」に置換

← 古い版		2018年2月6日 (火) 23:54時点における版
174行目:		174行目:
	== 参照 ==		== 参照 ==
	* [http://www.portknocking.org/ Port knocking ホームページ]		* [http://www.portknocking.org/ Port knocking ホームページ]
	* [~~http~~://en.wikipedia.org/wiki/Port_knocking Wikipedia on Port knocking]		* [https://en.wikipedia.org/wiki/Port_knocking Wikipedia on Port knocking]