Port Knocking, ein VPN oder fail2ban?

Alle drei halten Unbefugte auf unterschiedliche Weise von SSH und Admin-Panels fern. Sie schließen einander nicht aus — viele Server kombinieren sie.

Port Knocking

Der Port wirkt für alle geschlossen; ein Anklopfen öffnet ihn für deine Adresse einige Sekunden lang. Keine Installation im Netzwerkpfad und kein Tunnel: Nach dem Anklopfen verbindest du dich direkt. fwknop SPA macht das Anklopfen verschlüsselt und nicht wiederholbar. Gut für einige Admin-Dienste auf einem Server, den du über wechselnde Netzwerke erreichst.

Ein VPN (WireGuard, Tailscale)

Dienste lauschen nur im VPN und sind daher aus dem Internet unsichtbar; der Tunnel verschlüsselt den gesamten Datenverkehr. Ein VPN erfordert auf jedem Gerät einen laufenden Client und bei WireGuard einen UDP-Port; Tailscale nutzt seinen Koordinierungsdienst. Gut, wenn du viele Dienste oder ein ganzes Netzwerk erreichst.

fail2ban

Der Port bleibt geöffnet, und fail2ban sperrt Adressen nach fehlgeschlagenen Anmeldungen. Das reduziert Brute-Force-Angriffe, verbirgt den Dienst jedoch nicht, sodass der Server weiterhin jedem Scanner antwortet. Eine nützliche zusätzliche Schutzebene hinter einer der beiden oben genannten Optionen.

Wann welche Option

1Ein Server, einige Admin-Ports, das Telefon in der Tasche: Port Knocking.
2Viele Dienste, ein ganzes Heimnetzwerk, Dateifreigaben: ein VPN.
3Ein öffentlicher Dienst, der erreichbar bleiben muss: fail2ban und starke Schlüssel.
4Unabhängig von deiner Wahl: SSH-Schlüssel, keine Passwortanmeldungen.

Fragen

Kann ich anklopfen, um den VPN-Port zu öffnen?

Ja. Das Verbergen des WireGuard-UDP-Ports oder des Verwaltungsports eines Routers hinter einem Anklopfen kombiniert beides.