Port knocking, en VPN eller fail2ban?
Alle tre holder fremmede unna SSH og administrasjonspaneler på ulike måter. De utelukker ikke hverandre — mange servere kombinerer dem.
Port knocking
Porten ser lukket ut for alle; ett bank åpner den for adressen din i noen sekunder. Ingenting å installere i nettverksbanen og ingen tunnel: Etter banket kobler du til direkte. fwknop SPA gjør banket kryptert og umulig å spille av på nytt. Bra for noen få administrasjonstjenester på en server du når fra skiftende nettverk.
En VPN (WireGuard, Tailscale)
Tjenester lytter bare på VPN-en, så de er usynlige fra internett, og tunnelen krypterer all trafikk. En VPN krever en klient som kjører på hver enhet og, for WireGuard, en UDP-port; Tailscale er avhengig av koordineringstjenesten sin. Bra når du bruker mange tjenester eller et helt nettverk.
fail2ban
Porten forblir åpen, og fail2ban utestenger adresser etter mislykkede innlogginger. Det reduserer brute force-angrep, men skjuler ikke tjenesten, så serveren svarer fortsatt på alle skannere. Et nyttig ekstralag bak ett av de to alternativene ovenfor.
Hvilken når
- 1Én server, et par administrasjonsporter, telefon i lommen: port knocking.
- 2Mange tjenester, et helt hjemmenettverk, fildelinger: en VPN.
- 3En offentlig tjeneste som må være tilgjengelig: fail2ban og sterke nøkler.
- 4Uansett hva du velger: SSH-nøkler, ingen passordinnlogginger.
Spørsmål
Kan jeg banke for å åpne VPN-porten?
Ja. Å skjule WireGuard UDP-porten eller administrasjonsporten til en ruter bak et bank kombinerer begge deler.