Vai al contenuto
Secret Knock
IT

Port knocking, una VPN o fail2ban?

Tutti e tre tengono gli estranei lontani da SSH e dai pannelli di amministrazione, in modi diversi. Non si escludono a vicenda: molti server li combinano.

Port knocking

La porta sembra chiusa a tutti; una bussata la apre per il tuo indirizzo per alcuni secondi. Non c'è nulla da installare nel percorso di rete e nessun tunnel: dopo la bussata ti connetti direttamente. SPA di fwknop rende la bussata crittografata e non riproducibile. Ideale per alcuni servizi di amministrazione su un server che raggiungi da reti diverse.

Una VPN (WireGuard, Tailscale)

I servizi ascoltano solo sulla VPN, quindi sono invisibili da internet, e il tunnel cifra tutto il traffico. Una VPN richiede un client in esecuzione su ogni dispositivo e, per WireGuard, una Porta UDP; Tailscale si basa sul proprio servizio di coordinamento. Ideale quando accedi a molti servizi o a un'intera rete.

fail2ban

La porta rimane aperta e fail2ban blocca gli indirizzi dopo tentativi di accesso non riusciti. Riduce gli attacchi brute force, ma non nasconde il servizio, quindi il server continua a rispondere a ogni scanner. Un utile livello aggiuntivo insieme a una delle due opzioni precedenti.

Quale scegliere e quando

  1. 1Un server, un paio di porte di amministrazione, telefono in tasca: port knocking.
  2. 2Molti servizi, un'intera rete domestica, condivisioni di file: una VPN.
  3. 3Un servizio pubblico che deve rimanere raggiungibile: fail2ban e chiavi robuste.
  4. 4Qualunque cosa tu scelga: chiavi SSH, nessun accesso con password.

Domande

Posso bussare per aprire la porta della VPN?

Sì. Nascondere dietro una bussata la porta UDP di WireGuard o la porta di gestione di un router combina entrambi.

Guide per la tua configurazione