使用ping钥匙临时开启SSH:22端口，实现远程安全SSH登录管理就这么简单

设置防火墙策略时，关于SSH:22访问权限，我们常常会设置服务器只接受某个固定IP(如公司IP)访问，但是当我们出差或在家情况需要登录服务器怎么办呢？

常用两种解决方案：1.通过VPN操作登录主机； 2.使用ping钥匙临时开启远程主机SSH:22端口；

我们今天就讨论第2种方案，阐述如何通过ping钥匙来临时打开SSH:22的访问权限

原理: recent 模块可以记录最近访问者IP，常利用此功能做DROP策略应对syn-flood及ddos攻击。但在本例中我们反其道，利用recent模块做ACCEPT策略，就是创建一个sshKeyList列表，当此列表内的IP地址达到命中次数后，让服务器放行此IP地址对SSH:22端口的访问，我们要做的就是想办法将我们当前客户端这个动态IP记录进去，怎么记录进去呢？利用ping命令就可以，ping命令可以把源IP带给远程服务器啊！ping命令就好比一把临时打开远程服务器SSH:22的钥匙。

方案: 是钥匙就得有钥匙齿，要有一定的安全级别，不能让人那么容易猜出规律，怎么造钥匙齿呢？length模块可以匹配报文总长度，所以第1个钥匙齿就是ping包大小必须是我们自定义的，第2个齿就是ping的次数也是我们自定义的，第3个齿就是要在指定的时间内登录SSH:22。
小结一下，服务器只有在“指定时间内收到固定大小的ping包+ping次数”才临时为此源IP放行SSH:22端口访问权。

实施: 任一客户端向服务器发送Data大小为1050字节的ping包，发5次，服务器就自动为此客户端开启SSH:22端口访问权限(30秒内有效)

注意：ICMP报文结构: IP头部(20Bytes) + ICMP头部(8Bytes) + 数据部分Data

计算：若按此方案服务器端实际接收的ICMP数据包总大小为 20+8+1050=1078Bytes

规则: 共5条规则

# 规则1 只接受Data为1078字节的ping包，并将源IP记录到自定义名为sshKeyList的列表中
# iptables -A INPUT -p icmp -m icmp --icmp-type 8 -m length --length 1078 -m recent --name sshKeyList --set -j ACCEPT

# 规则2 若30秒内发送次数达到6次(及更高)，当发起SSH:22新连接请求时拒绝
# iptables -A INPUT -p tcp -m tcp --dport 22 --syn -m recent --name sshKeyList --rcheck --seconds 30 --hitcount 6 -j DROP

# 规则3 若30秒内发送次数达到5次，当发起SSH:22新连接请求时放行
# iptables -A INPUT -p tcp -m tcp --dport 22 --syn -m recent --name sshKeyList --rcheck --seconds 30 --hitcount 5 -j ACCEPT

# 规则4 对于已建立的连接放行
# iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

# 规则5 老规矩：最后的拒绝
# iptables -A INPUT -j DROP

 

测试效果

Windows下默认ping次数为4次，默认ping包大小为32字节

C:\Users\Administrator>ping 192.168.137.66 -l 1050 -n 5

正在 Ping 192.168.137.66 具有 1050 字节的数据:
来自 192.168.137.66 的回复: 字节=1050 时间<1ms TTL=64
来自 192.168.137.66 的回复: 字节=1050 时间<1ms TTL=64
来自 192.168.137.66 的回复: 字节=1050 时间<1ms TTL=64
来自 192.168.137.66 的回复: 字节=1050 时间<1ms TTL=64
来自 192.168.137.66 的回复: 字节=1050 时间<1ms TTL=64

Linux下默认ping次数为无限次，默认ping包大小为56字节

[root@martin ~]# ping 192.168.137.66 -s 1050 -c 5
PING 192.168.137.66 (192.168.137.66) 1050(1078) bytes of data.
1058 bytes from 192.168.137.66: icmp_seq=1 ttl=64 time=0.711 ms
1058 bytes from 192.168.137.66: icmp_seq=2 ttl=64 time=1.00 ms
1058 bytes from 192.168.137.66: icmp_seq=3 ttl=64 time=0.629 ms
1058 bytes from 192.168.137.66: icmp_seq=4 ttl=64 time=1.32 ms
1058 bytes from 192.168.137.66: icmp_seq=5 ttl=64 time=1.02 ms

然后呢，就可以登录SSH了(30秒内有效，动作快点)，由于有"--state ESTABLISHED -j ACCEPT"护驾，所以也不用担心被踢，OK，实现远程安全SSH登录管理就这么简单。