knockd 配置片段（man 手册示例结构）
knockd 配置片段（man 手册示例结构）
[options]
logfile = /var/log/knockd.log
[openSSH]
sequence = 7000,8000,9000
seq_timeout = 10
command = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
tcpflags = syn
# 敲门服务自身的端口配置与密钥文件需独立管理| 定位 | 降低扫描噪声与自动化尝试，不替代认证 |
|---|---|
| 风险 | 序列泄露即失效；依赖客户端脚本，操作体验一般 |
| 替代 | 更推荐统一走堡垒机/零信任网关 |
敲门序列要按凭证管理：泄露渠道与口令相同（文档、脚本、口头传播）。