letmein - 认证端口敲击

Letmein 是一个具有简单且安全的认证机制的简单端口敲击工具。它可以用来加强 SSH、VPN、IMAP 等服务对预认证攻击的防御。

Letmein 将服务隐藏在服务器后的敲击认证屏障后面，以减少服务的攻击面。除非敲击认证成功，否则服务将不可访问。在敲击成功的情况下，letmeind 服务器只为执行敲击的客户端 IP 地址打开被敲击的端口。具有不同 IP 地址的机器仍然无法访问受保护的服务。

无法成功认证敲击序列的机器无法访问受保护的服务。它们将在受保护服务的端口上收到 TCP/ICMP reject，并提供了 nftables.conf 的示例。（您也可以选择在您的 nftables.conf 中 drop 数据包）。

Letmein 需要 nftables 基于的防火墙。它不与 iptables 一起工作。如果您使用基于 iptables 的防火墙，请在安装 letmein 之前将其转换为 nftables。有关如何做到这一点，互联网上有描述。这并不像听起来那么困难或耗时。 :)

典型的 letmein 操作流程

项目链接

主页

Git 仓库

Github 仓库

使用示例：将 OpenSSH (sshd) 访问放在敲击认证屏障后面

在服务器上安装 letmein 服务器软件（见以下章节）。

在客户端安装 letmein 客户端软件（见下文各节）。

请阅读本项目提供的示例配置文件 nftables.conf。需要在现有的 nftables 配置中添加一个 letmein 特定的输入链。相应地修改您的 nftables.conf 文件。

使用以下客户端命令生成共享密钥和用户标识符，以安装在服务器和客户端上

letmein gen-key -u 00000000

gen-key 命令将生成的密钥字符串打印到控制台。默认情况下，这将为用户标识符 00000000 生成一个安全的随机密钥。您可以手动编辑用户标识符，如果需要的话，或者您可以保持原样。

将生成的字符串（用户标识符和共享密钥）添加到 /opt/letmein/etc/letmeind.conf 中的服务器配置中。将生成的密钥字符串与用户标识符一起放入配置文件的 [KEYS] 部分。

将相同的生成字符串（用户标识符和共享密钥）添加到 /opt/letmein/etc/letmein.conf 中的客户端配置中。将生成的密钥字符串与用户标识符一起放入配置文件的 [KEYS] 部分。

在服务器中创建一个 resource，描述可以打开的 sshd 端口。在服务器配置文件 /opt/letmein/etc/letmeind.conf 的 [RESOURCES] 部分，必须指定所有可能打开的端口。一个资源由一个资源标识符后跟一个端口标识符组成，如下所示

[RESOURCES]
00000022 = port: 22

资源标识符是一个 8 位十六进制数。在此示例中为 22(hex)，但它可以是任何数字。它只需要在服务器和客户端上是相同的数字。在 port: 之后指定可以敲开的端口号（十进制）。

将相同的资源以及相同的资源标识符和端口号添加到 /opt/letmein/etc/letmein.conf 中的客户端配置中。

重启 letmein 服务器

systemctl restart letmeind.service

现在从您的防火墙配置中的静态 sshd 端口（22） accept 中删除。letmein 将在成功敲击认证后动态地将此类规则安装到 letmein 输入链中。然后重启 nftables

systemctl restart nftables.service

完成！现在您应该能够敲开服务器上的 sshd 端口

# This must fail! No successful knock authentication, yet.
# If this does not fail, check if you have removed the sshd accept rule from nftables.conf.
ssh your-server.com

# Knock-open port 22 (sshd) on the server using user-id/key 00000000:
# (You do not have to specify -u 00000000 if that is your default user (see config).)
letmein knock -u 00000000 your-server.com 22

# Now you should be able to ssh into your server successfully:
ssh your-server.com

要在连接 ssh 之前自动敲击端口，您可以在 ~/.ssh/config 文件中添加一个 Match exec 规则

Match host your-server.com exec "letmein knock -u 00000000 your-server.com 22"

先决条件

必须安装 Rust 编译器来构建 letmein。建议使用最新版本的稳定 Rust 编译器

Rust 安装程序

Rust 安装程序将安装编译器和构建工具 cargo。

构建需要安装额外的 cargo-audit 和 cargo-auditable 工具。运行以下命令安装这两个工具

cargo install cargo-audit cargo-auditable

在运行时，nftables 的 nft 二进制文件必须已安装并可在 $PATH 中访问。在 Debian 上，请安装 nftables 软件包

apt install nftables

构建 letmein

运行 build.sh 脚本以构建 letmein。

安装所有构建必备条件后，运行构建脚本

./build.sh

安装 letmein

安装客户端

然后运行 install-client.sh 来安装 letmein 客户端到 /opt/letmein/

./install-client.sh

客户端用于向服务器发送敲击数据包。

安装服务器

为服务器准备用户和组

letmein 服务器面向公共网络的部分以较低权限运行，以减少攻击面。

为了使其工作，用户 letmeind 和组 letmeind 必须存在于 /etc/passwd 和 /etc/group 中。建议此用户没有分配shell和家目录，因此不是登录用户。

您可以使用以下辅助脚本在您的系统中创建用户和组

./create-user.sh

安装服务器和 systemd 单元

在构建并创建 letmeind 系统用户后，运行 install-server.sh 将 letmeind 服务器安装到 /opt/letmein/

./install-server.sh

安装服务器还会将服务和一个套接字安装到 systemd 并启动 letmeind 服务器。

服务器用于接收客户端的敲击数据包。在敲击认证成功后，服务器将在其 nftables 防火墙中打开敲击端口。

平台支持

客户端

客户端应用程序 letmein 是可移植的，应在所有主流平台上运行。已测试的平台有：

• Linux
• Android，在 Termux 上
• Windows
• MacOS（仅测试了构建）

服务器

服务器应用程序 letmeind 仅支持 Linux，因为它只支持 nftables 作为防火墙后端。

安全通知：用户标识符和资源标识符

请注意，配置文件中的用户标识符和资源标识符以明文形式在网络中传输，未加密。

确保用户标识符和资源标识符不包含任何私人信息。

这些标识符仅用于为不同的 letmein 密钥、安装和配置提供抽象标识。

内部结构和设计目标

letmein 的主要设计目标是：

• 它使用一种内存安全的编程语言实现，这使得某些严重错误类别的错误成为不可能。
• 算法和实现尽可能简单。
• 它不实现复杂的加密算法，如非对称的公钥/私钥加密。它使用共享密钥和 HMAC/SHA3 进行身份验证。
• 它具有重放保护。重放敲击数据包序列不会导致成功认证。
• 它只为发起敲击请求的 IP 地址打开端口。默认情况下，对于 IPv4 和 IPv6，如果可用。此行为可以通过客户端命令行选项 -4 和 -6 进行调整。
• letmein 不链接到用不安全语言编写的库 (.so)，除非是操作系统或 Rust 编译器要求的。唯一的动态链接库是：
  • libc.so
  • libm.so
  • libgcc_s.so
  • linux-vdso.so
  • ld-linux-*.so
  • ld-android.so（仅限 Android）
  • libdl.so（仅限 Android）
  • libarmmem-*.so（仅限树莓派）