Port knocking, VPN ili fail2ban?

Sva tri na različite načine drže strance podalje od SSH-a i administratorskih ploča. Ne isključuju se međusobno — mnogi poslužitelji ih kombiniraju.

Port knocking

Port svima izgleda zatvoreno; jedno kucanje otvara ga za vašu adresu na nekoliko sekundi. Nema potrebe ništa instalirati na mrežnom putu niti koristiti tunel: nakon kucanja povezujete se izravno. fwknop SPA čini kucanje šifriranim i otpornim na ponovno slanje. Dobro za nekoliko administratorskih usluga na poslužitelju kojem pristupate s promjenjivih mreža.

VPN (WireGuard, Tailscale)

Usluge osluškuju samo na VPN-u, pa su nevidljive s interneta, a tunel šifrira sav promet. VPN zahtijeva klijent koji radi na svakom uređaju i, za WireGuard, UDP port; Tailscale se oslanja na svoju uslugu koordinacije. Dobro kada pristupate mnogim uslugama ili cijeloj mreži.

fail2ban

Port ostaje otvoren, a fail2ban zabranjuje adrese nakon neuspjelih prijava. Smanjuje pokušaje grubom silom, ali ne skriva uslugu, pa poslužitelj i dalje odgovara svakom skeneru. Koristan dodatni sloj uz bilo koju od prethodnih mogućnosti.

Kada odabrati koji

1Jedan poslužitelj, nekoliko administratorskih portova, telefon u džepu: port knocking.
2Mnogo usluga, cijela kućna mreža, dijeljene datoteke: VPN.
3Javna usluga koja mora ostati dostupna: fail2ban i jaki ključevi.
4Što god odabrali: SSH ključevi, bez prijava lozinkom.

Pitanja

Mogu li kucanjem otvoriti VPN port?

Da. Skrivanjem WireGuard UDP porta ili upravljačkog porta usmjerivača iza kucanja kombinirate oboje.