Port knocking, een VPN of fail2ban?

Port knocking

De poort lijkt voor iedereen gesloten; één klop opent hem enkele seconden voor je adres. Niets om in het netwerkpad te installeren en geen tunnel: na de klop maak je rechtstreeks verbinding. fwknop SPA maakt de klop versleuteld en niet opnieuw afspeelbaar. Goed voor enkele beheerdiensten op een server die je via wisselende netwerken bereikt.

Een VPN (WireGuard, Tailscale)

Diensten luisteren alleen op de VPN, zodat ze onzichtbaar zijn vanaf het internet, en de tunnel versleutelt al het verkeer. Een VPN vereist een client die op elk apparaat draait en, voor WireGuard, een UDP-poort; Tailscale vertrouwt op zijn coördinatieservice. Goed wanneer je veel diensten of een heel netwerk bereikt.

fail2ban

De poort blijft open en fail2ban blokkeert adressen na mislukte aanmeldingen. Het vermindert brute-forceaanvallen, maar verbergt de dienst niet, dus de server antwoordt nog steeds elke scanner. Een nuttige extra laag achter een van beide bovenstaande opties.

Welke wanneer

1. 1Eén server, een paar beheerpoorten, telefoon in je zak: port knocking.
2. 2Veel diensten, een volledig thuisnetwerk, bestandsdelingen: een VPN.
3. 3Een openbare dienst die bereikbaar moet blijven: fail2ban en sterke sleutels.
4. 4Wat je ook kiest: SSH-sleutels, geen aanmeldingen met wachtwoord.

Vragen