Port knocking, en VPN eller fail2ban?
Alle tre holder uvedkommende væk fra SSH og administrationspaneler på forskellige måder. De udelukker ikke hinanden — mange servere kombinerer dem.
Port knocking
Porten ser lukket ud for alle; ét bank åbner den for din adresse i nogle sekunder. Intet skal installeres på netværksvejen, og der er ingen tunnel: Efter banket opretter du forbindelse direkte. fwknop SPA gør banket krypteret og umuligt at genafspille. Godt til nogle få administrationstjenester på en server, du når fra skiftende netværk.
En VPN (WireGuard, Tailscale)
Tjenester lytter kun på VPN, så de er usynlige fra internettet, og tunnelen krypterer al trafik. En VPN kræver en klient, der kører på hver enhed, og for WireGuard en UDP-port; Tailscale er afhængig af sin koordineringstjeneste. Godt, når du skal nå mange tjenester eller et helt netværk.
fail2ban
Porten forbliver åben, og fail2ban udelukker adresser efter mislykkede logins. Det reducerer brute force-angreb, men skjuler ikke tjenesten, så serveren svarer stadig på enhver scanner. Et nyttigt ekstra lag bag en af de to ovenstående.
Hvornår skal du vælge hvad
- 1Én server, et par administrationsporte, telefonen i lommen: port knocking.
- 2Mange tjenester, et helt hjemmenetværk, fildelinger: en VPN.
- 3En offentlig tjeneste, der skal være tilgængelig: fail2ban og stærke nøgler.
- 4Uanset hvad du vælger: SSH-nøgler, ingen login med adgangskode.
Spørgsmål
Kan jeg banke for at åbne VPN-porten?
Ja. At skjule WireGuard UDP-porten eller administrationsporten på en router bag et bank kombinerer begge dele.