Port knocking adalah teknik menyembunyikan port layanan (misalnya SSH di port 22) dari pemindaian publik: port tetap tertutup secara default, dan hanya terbuka setelah client mengirim rangkaian "ketukan" (percobaan koneksi) ke beberapa port tertentu secara berurutan. Teknik ini efektif menekan noise dari bot yang terus-menerus memindai port SSH standar, meski sebaiknya tetap dikombinasikan dengan lapisan keamanan lain (lihat catatan di bagian bawah).

Instalasi Knockd

Buka terminal dan jalankan:

sudo apt-get install knockd

Contoh output instalasi:

[sudo] password for user:
Reading package lists... Done
Building dependency tree
Reading state information... Done
The following NEW packages will be installed:
  knockd
0 upgraded, 1 newly installed, 0 to remove and 4 not upgraded.
Need to get 27.6 kB of archives.
After this operation, 168 kB of additional disk space will be used.
Setting up knockd (0.5-3) ...
knockd disabled: not starting. To enable it edit /etc/default/knockd ... (warning).

Konfigurasi Knockd

Edit file /etc/knockd.conf:

sudo nano /etc/knockd.conf

Contoh konfigurasi dengan urutan ketukan port 2022, 3022, 4022:

[options]
        logfile = /var/log/knockd.log

[openSSH]
        sequence    = 2022,3022,4022
        seq_timeout = 5
        command     = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
        tcpflags    = syn

[closeSSH]
        sequence    = 4022,3022,2022
        seq_timeout = 5
        command     = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
        tcpflags    = syn

Simpan, lalu edit file /etc/default/knockd dan aktifkan knockd:

sudo nano /etc/default/knockd

# cari baris:
START_KNOCKD=0
# ganti jadi:
START_KNOCKD=1

# opsional, tentukan interface sesuai output "ip a" (mis. eth0 atau ens18):
KNOCKD_OPTS="-i eth0"

Menjalankan Knockd

Distro modern (Ubuntu 16.04+ / Debian 8+) memakai systemd, jadi kelola knockd lewat systemctl — bukan lagi /etc/init.d/knockd seperti pada versi lama:

sudo systemctl start knockd     # jalankan
sudo systemctl stop knockd      # hentikan
sudo systemctl restart knockd   # restart
sudo systemctl status knockd    # cek status
sudo systemctl enable knockd    # otomatis jalan tiap boot

Kalau server masih memakai SysV init lama, perintah sudo /etc/init.d/knockd start dkk. tetap berfungsi sebagai fallback.

Cara Membuka dan Menutup Port dari Client

Pasang paket knockd juga di sisi client untuk mendapatkan command knock, lalu untuk membuka port 22 (SSH) di server dengan IP 203.1.2.3:

knock -v 203.1.2.3 2022 3022 4022

Contoh output:

hitting tcp 203.1.2.3:2022
hitting tcp 203.1.2.3:3022
hitting tcp 203.1.2.3:4022

Untuk menutup kembali, urutan port dibalik:

knock -v 203.1.2.3 4022 3022 2022

Verifikasi Port Terbuka

Dari client, coba konek langsung:

ssh [email protected]

Atau cek dari sisi server:

sudo iptables -L INPUT -v -n
sudo iptables -L INPUT -v -n | grep :22

Catatan Keamanan

Port knocking bagus untuk mengurangi noise scanning otomatis, tapi jangan dijadikan satu-satunya lapisan pertahanan. Kombinasikan dengan hardening dasar Linux lain: matikan login root via SSH, pakai key-based authentication (bukan password), dan pasang fail2ban untuk memblokir IP yang berulang kali gagal login. Materi ini dibahas lebih dalam di Kursus Security Fundamentals dan Kursus Linux Fundamentals Edusoft Center.

Direview oleh Komarudin Syarif — Trainer Edusoft Center.
Terakhir diperbarui: 11 Agustus 2026.