Přejít na obsah
Secret Knock
CS

Port knocking, VPN nebo fail2ban?

Všechny tři způsoby chrání SSH a panely správy před cizími lidmi, každý jinak. Nevylučují se — mnoho serverů je kombinuje.

Port knocking

Port se všem jeví jako zavřený; jedno zaklepání ho na několik sekund pootevře pro vaši adresu. Do síťové cesty není potřeba nic instalovat ani vytvářet tunel: po zaklepání se připojíte přímo. fwknop SPA zajišťuje, že zaklepání je šifrované a nelze ho znovu použít. Hodí se pro několik služeb správy na serveru, ke kterému přistupujete z měnících se sítí.

VPN (WireGuard, Tailscale)

Služby naslouchají pouze ve VPN, takže z internetu nejsou viditelné, a tunel šifruje veškerý provoz. VPN vyžaduje klienta spuštěného na každém zařízení a v případě WireGuard také port UDP; Tailscale spoléhá na svou koordinační službu. Hodí se, když přistupujete k mnoha službám nebo celé síti.

fail2ban

Port zůstává otevřený a fail2ban po neúspěšných přihlášeních blokuje adresy. Omezuje útoky hrubou silou, ale službu neskrývá, takže server stále odpovídá každému skeneru. Je to užitečná další vrstva k některému z výše uvedených řešení.

Které řešení kdy

  1. 1Jeden server, několik portů správy, telefon v kapse: port knocking.
  2. 2Mnoho služeb, celá domácí síť, sdílené soubory: VPN.
  3. 3Veřejná služba, která musí zůstat dostupná: fail2ban a silné klíče.
  4. 4Ať zvolíte cokoli: klíče SSH, žádné přihlašování heslem.

Otázky

Mohu zaklepáním otevřít port VPN?

Ano. Skrytím portu UDP pro WireGuard nebo portu správy routeru za zaklepání zkombinujete obě řešení.

Průvodci pro vaše nastavení