Port knocking, VPN ou fail2ban ?

Tous les trois éloignent les inconnus de SSH et des panneaux d’administration, de différentes manières. Ils ne s’excluent pas mutuellement : de nombreux serveurs les combinent.

Port knocking

Le port semble fermé à tout le monde ; une frappe l’ouvre pour votre adresse pendant quelques secondes. Rien à installer sur le chemin réseau et aucun tunnel : après avoir frappé, vous vous connectez directement. Le SPA de fwknop rend la frappe chiffrée et impossible à rejouer. Idéal pour quelques services d’administration sur un serveur auquel vous accédez depuis des réseaux changeants.

Un VPN (WireGuard, Tailscale)

Les services n’écoutent que sur le VPN ; ils sont donc invisibles depuis Internet, et le tunnel chiffre tout le trafic. Un VPN nécessite qu’un client s’exécute sur chaque appareil et, pour WireGuard, un port UDP ; Tailscale repose sur son service de coordination. Idéal lorsque vous accédez à de nombreux services ou à tout un réseau.

fail2ban

Le port reste ouvert et fail2ban bannit les adresses après des tentatives de connexion échouées. Il réduit les attaques par force brute, mais ne masque pas le service : le serveur répond donc toujours à chaque analyseur. Une couche supplémentaire utile en complément de l’une ou l’autre des solutions ci-dessus.

Lequel choisir et quand

1Un serveur, quelques ports d’administration, un téléphone dans votre poche : le port knocking.
2De nombreux services, tout un réseau domestique, des partages de fichiers : un VPN.
3Un service public qui doit rester accessible : fail2ban et des clés robustes.
4Quel que soit votre choix : des clés SSH, sans connexion par mot de passe.

Questions

Puis-je frapper pour ouvrir le port VPN ?

Oui. Masquer le port UDP de WireGuard ou le port de gestion d’un routeur derrière une frappe combine les deux solutions.