端口敲门是通过预设端口序列触发防火墙临时放行的网络层访问控制机制。服务器默认隐藏管理端口，仅当客户端在规定时间内按序发送TCP SYN包（如7000→8000→9000），knockd才为源IP添加限时SSH规则，超时自动撤销。
端口敲门是一种网络层访问控制机制，不是加密或认证方式，而是靠“敲对顺序”来触发防火墙临时放行。服务器默认把管理端口（比如 SSH 的 22）完全隐藏——不响应、不拒绝、不暴露存在性。只有当你按预设顺序、在规定时间内，向几个特定端口发送连接请求（哪怕只是 TCP SYN 包），系统才悄悄打开目标端口，且仅对你的 IP 开放几十秒。
端口敲门的核心逻辑
它本质是状态驱动的动态规则调度：
- 敲门序列必须严格有序，例如 1234 → 5678 → 9012，错一个、跳一个、超时（通常 15–30 秒）就重置状态
- 所有敲门端口对外表现为“静默丢弃”（DROP），不返回 RST 或 ICMP 错误，避免暴露服务指纹
- 验证成功后，防火墙只给该源 IP 添加一条临时规则（如允许 22/tcp），持续时间建议 ≤60 秒，超时自动撤销
- 不依赖应用层协议，浏览器、curl、telnet 都能敲，但不能用于 HTTP/HTTPS 这类用户不可控握手流程的服务
用 knockd 实现端口隐藏的操作要点
knockd 是一个轻量级守护进程，监听原始网络包并匹配序列。它不处理业务流量，只管“听敲门、改规则”：
-
配置 knockd.conf：定义敲门端口、超时、命令动作。例如：
sequence = 7000,8000,9000
seq_timeout = 15
command = /sbin/iptables -I INPUT 1 -s %IP% -p tcp --dport 22 -j ACCEPT
cmd_timeout = 30 - 配套 iptables 规则要提前写好基础策略：默认 DROP 所有入向；允许已建立连接；禁止直接连 22；敲门端口本身不显式开放（knockd 直接抓 raw packet，无需 ufw/iptables 放行敲门端口）
- 启动前务必测试日志和权限：knockd 需 CAP_NET_RAW 权限，建议用 systemd 管理，并开启 UseSyslog = On 方便排查
-
客户端敲门只需三条命令（无数据、无等待）：
nc -zvw1 server-ip 7000
nc -zvw1 server-ip 8000
nc -zvw1 server-ip 9000 完成后立刻 ssh server-ip 即可
knockd 部署中容易踩的坑
它简单，但配置不当反而锁死自己：
- 别把 knockd 和防火墙规则放在不同机器上——必须同机部署，否则源 IP 可能被 NAT 替换，导致规则加错 IP
- 不要在云主机或 CGNAT 环境下用固定序列——运营商可能做连接复用，建议加冗余端口或启用 knockd 的 StartCommand + StopCommand 实现“敲两次关端口”
- 禁用 knockd 的默认响应模式（Access = allow 要设为 deny），防止未授权 IP 碰撞出有效序列
- 务必搭配日志轮转和 fail2ban：监控 knockd 日志中高频失败尝试，自动封 IP，避免暴力穷举序列
