端口敲门是让SSH端口在常规探测下彻底“不可见”的有效机制：默认关闭SSH端口，仅当按特定顺序、时间间隔敲击预设端口后，防火墙才临时放行对应IP访问22端口。
服务器频繁被扫描，尤其是SSH端口（默认22）暴露在外，是绝大多数Linux服务器面临的安全隐患。单纯靠改端口或加密码强度效果有限——攻击者用自动化工具全量扫段，发现新端口照样爆破。真正有效的做法不是“防不住就躲”，而是让SSH在常规探测下彻底“不可见”。端口敲门（Port Knocking）正是这样一种轻量、隐蔽、不依赖外部服务的访问控制机制：它把SSH端口默认关闭，只有按特定顺序、特定时间间隔敲击一组预设端口后，防火墙才临时放行你的IP访问SSH。
端口敲门原理和为什么它比改端口更安全
端口敲门本质是利用防火墙（如iptables或nftables）的状态跟踪能力，监听未建立连接的SYN包序列。它不修改SSH服务本身，也不暴露任何响应（敲错序列完全静默），攻击者即使抓包也难以识别有效序列——因为没有回包、没有日志、没有服务响应。而单纯改SSH端口，只要端口开放，nmap一扫就能发现；哪怕加了fail2ban，也得先被扫到、连上、触发失败登录才能封IP，属于“事后防御”。敲门是“事前隐藏”，相当于给SSH加了一道无形的数字门锁。
用iptables实现基础端口敲门（兼容大多数CentOS/Ubuntu）
以下以三步敲门为例（如敲 7000 → 8000 → 9000），成功后允许该IP在15秒内访问22端口：
- 确保iptables已安装并启用：systemctl enable iptables && systemctl start iptables（Ubuntu需先安装iptables-persistent）
- 清空现有规则（测试环境操作）：iptables -F && iptables -X
- 加载nf_conntrack模块：modprobe nf_conntrack
- 添加敲门规则（按顺序执行）：
iptables -A INPUT -p tcp --dport 7000 -m state --state NEW -j DROP
iptables -A INPUT -p tcp --dport 8000 -m state --state NEW -m recent --name knock1 --rcheck --seconds 10 --reap -j DROP
iptables -A INPUT -p tcp --dport 8000 -m state --state NEW -m recent --name knock1 --set -j DROP
iptables -A INPUT -p tcp --dport 9000 -m state --state NEW -m recent --name knock2 --rcheck --seconds 10 --reap -j DROP
iptables -A INPUT -p tcp --dport 9000 -m state --state NEW -m recent --name knock2 --set -j DROP
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --name knock3 --rcheck --seconds 10 --reap -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
iptables -A INPUT -j ACCEPT（允许已建立连接及ICMP等）
说明：这里用了三层recent标记（knock1/knock2/knock3），每层检查前序端口是否在10秒内被敲过。最终只有完成完整序列的IP，其后续对22端口的首次连接才会被ACCEPT。其余所有SSH访问请求全部DROP，不会返回RST，扫描器看到的就是“端口关闭”。
客户端敲门与日常使用技巧
敲门不用额外软件，一条bash命令即可：
- 手动敲门（推荐初次测试）：
for i in 7000 8000 9000; do timeout 1 bash -c "echo > /dev/tcp/YOUR_SERVER_IP/$i" 2>/dev/null; sleep 1; done - 封装成脚本（如~/knock.sh），加上chmod +x后直接运行；也可集成进SSH别名：
alias ssh-knock='~/knock.sh && ssh -p 22 user@YOUR_SERVER_IP' - 注意：敲门后必须在10秒内发起SSH连接（规则中--seconds 10），否则超时失效，需重新敲；建议把sleep调到0.8~1秒，避免网络延迟导致断链
- 如果用SSH密钥登录，敲门+密钥双重保障，基本杜绝暴力破解可能
增强可靠性和避免踩坑
生产环境部署前注意几个关键点：
- 务必先开一个备用通道：比如保留一个独立管理端口（如2222）或配置console访问，防止敲门配置错误把自己锁在外面
- 记录敲门日志便于排障（可选）：iptables -I INPUT -p tcp -m multiport --dports 7000,8000,9000 -j LOG --log-prefix "KNOCK: "
- 定期保存规则：iptables-save > /etc/iptables/rules.v4（Debian/Ubuntu）或service iptables save（CentOS 6）
- 若用云服务器（如阿里云、腾讯云），安全组需放行敲门端口（7000/8000/9000）——这是最常被忽略的一环，只配iptables但安全组拦着，敲门永远无效
端口敲门不是银弹，但它把攻击面从“公开服务”降为“零可见服务”，配合密钥登录和禁用密码认证，中小项目安全性可大幅提升。不复杂但容易忽略细节，稳住逻辑、守住边界，就能让扫描器扫到的只有一片沉默。
