Ir al contenido
Secret Knock
ES

¿Port knocking, una VPN o fail2ban?

Los tres mantienen a los desconocidos alejados de SSH y los paneles de administración, de distintas maneras. No son excluyentes: muchos servidores los combinan.

Port knocking

El puerto parece cerrado para todos; una llamada lo abre para tu dirección durante unos segundos. No hay nada que instalar en la ruta de red ni túnel: después de llamar, te conectas directamente. SPA de fwknop hace que la llamada esté cifrada y no pueda reproducirse. Es una buena opción para unos pocos servicios de administración en un servidor al que accedes desde redes cambiantes.

Una VPN (WireGuard, Tailscale)

Los servicios escuchan solo en la VPN, por lo que son invisibles desde internet, y el túnel cifra todo el tráfico. Una VPN requiere un cliente en ejecución en cada dispositivo y, en el caso de WireGuard, un puerto UDP; Tailscale depende de su servicio de coordinación. Es una buena opción cuando accedes a muchos servicios o a toda una red.

fail2ban

El puerto permanece abierto y fail2ban bloquea direcciones después de intentos de inicio de sesión fallidos. Reduce los ataques de fuerza bruta, pero no oculta el servicio, por lo que el servidor sigue respondiendo a todos los escáneres. Una capa adicional útil junto con cualquiera de las opciones anteriores.

Cuál elegir en cada caso

  1. 1Un servidor, un par de puertos de administración, el teléfono en el bolsillo: port knocking.
  2. 2Muchos servicios, toda una red doméstica, recursos compartidos de archivos: una VPN.
  3. 3Un servicio público que debe seguir siendo accesible: fail2ban y claves seguras.
  4. 4Elijas lo que elijas: claves SSH y sin inicios de sesión con contraseña.

Preguntas

¿Puedo llamar para abrir el puerto de la VPN?

Sí. Ocultar el puerto UDP de WireGuard o el puerto de administración de un router detrás de una llamada combina ambas opciones.

Guías para tu configuración