spa試してみた

spa認証ど乳手順

1.ホストにinstall

install

sudo apt update
sudo apt install -y fwknop-server

入ったかどうかとver確認

fwknopd --version

設定ファイルの確認

sudo ls -l /etc/fwknop/

backup

sudo cp -a /etc/fwknop/access.conf \
  /etc/fwknop/access.conf.bak

sudo cp -a /etc/fwknop/fwknopd.conf \
  /etc/fwknop/fwknopd.conf.bak

spa鍵の生成

以下で鍵生成しておく

openssl rand -base64 32
openssl rand -base64 64

spaの設定(access.conf)

access.confの編集

sudo nano /etc/fwknop/access.conf

下に、以下のような場所があるので

SOURCE                  ANY
KEY_BASE64              __CHANGEME__
HMAC_KEY_BASE64         __CHANGEME__

それをいかに変える

SOURCE                  ANY
OPEN_PORTS              tcp/22
REQUIRE_SOURCE_ADDRESS  N
FW_ACCESS_TIMEOUT       60
KEY_BASE64              生成した1つ目の値(openssl ... 32で生成したやつ)
HMAC_KEY_BASE64         生成した2つ目の値(openssl ... 64で生成したやつ)

権限調整

sudo chmod 600 /etc/fwknop/access.conf

spaの設定(fwknopopd.conf)

以下は飛ばしても良い
まずパケット監視もとのNIC(ネットワークインターフェースを確認する)

ホスト側で以下のコマンドを叩く(ctl + cは押さずに起動させておく)

sudo tcpdump -ni any 'udp dst port 62201'

クライアント側で以下のコマンドを叩く

echo "test" | nc -u -w 1 <ホストのIP> 62201

ここから本題
fwknpopd.confの編集

sudo nano /etc/fwknop/fwknopd.conf

中身は以下(ENABLE_NFQ...がコメントアウトされていないと思うのでその続きにコメントアウトされたNFQ_PORTがあると思うので外して入力)

ENABLE_NFQ_CAPTURE      Y;
NFQ_PORT                62201;
#NFQ_INTERFACE          eno1;(NICを指定したい場合ここに書く)

fwknopdを起動

起動

sudo systemctl enable --now fwknop-server

状態確認

sudo systemctl status fwknop-server

クライアント設定

mac

install

brew install fwknop
fwknop --version

設定ファイルを作る

nano ~/.fwknoprc

以下を入力

[<ホスト名>]
SPA_SERVER       接続先ホスト
SPA_SERVER_PORT  62201
ACCESS           tcp/22
ALLOW_IP         source
KEY_BASE64       ホストで生成した1つ目の鍵
HMAC_KEY_BASE64  ホストで生成した2つ目の鍵
USE_HMAC         Y

権限調整

chmod 600 ~/.fwknoprc

spaパケット送信(test)

fwknop -n <ホスト名> 

ふつうにssh

ssh ユーザー名@192.168.10.100

ホスト側でspaとおってるか確認

sudo journalctl -u fwknop-server -f

クライアント側で

fwknop -n lab-server 

configの設定