Port knocking, VPN vai fail2ban?

Kaikki kolme pitävät tuntemattomat poissa SSH:stä ja hallintapaneeleista eri tavoin. Ne eivät sulje toisiaan pois — monissa palvelimissa käytetään niitä yhdessä.

Port knocking

Portti näyttää suljetulta kaikille; yksi koputus avaa sen osoitteellesi muutamaksi sekunniksi. Verkkoreitille ei tarvitse asentaa mitään eikä tunnelia tarvita: koputuksen jälkeen yhdistät suoraan. fwknop SPA tekee koputuksesta salatun ja estää sen toistamisen. Sopii muutamalle hallintapalvelulle palvelimessa, johon yhdistät vaihtuvista verkoista.

VPN (WireGuard, Tailscale)

Palvelut kuuntelevat vain VPN:ssä, joten ne eivät näy internetiin, ja tunneli salaa kaiken liikenteen. VPN edellyttää asiakasohjelmaa jokaisessa laitteessa ja WireGuard tarvitsee UDP-portin; Tailscale tukeutuu koordinointipalveluunsa. Sopii tilanteisiin, joissa käytät useita palveluita tai kokonaista verkkoa.

fail2ban

Portti pysyy avoinna, ja fail2ban estää osoitteet epäonnistuneiden kirjautumisten jälkeen. Se vähentää raakaa voimaa hyödyntäviä hyökkäyksiä, mutta ei piilota palvelua, joten palvelin vastaa edelleen jokaiselle skannerille. Hyödyllinen lisäsuojakerros kumman tahansa edellä mainitun rinnalle.

Milloin mitäkin

1Yksi palvelin, pari hallintaporttia, puhelin taskussa: port knocking.
2Useita palveluita, koko kotiverkko, tiedostojaot: VPN.
3Julkinen palvelu, jonka on pysyttävä tavoitettavissa: fail2ban ja vahvat avaimet.
4Minkä tahansa valitsetkin: SSH-avaimet, ei salasanoilla kirjautumista.

Kysymyksiä

Voinko koputtaa avatakseni VPN-portin?

Kyllä. WireGuard UDP-portin tai reitittimen hallintaportin piilottaminen koputuksen taakse yhdistää molemmat.