Przejdź do treści
Secret Knock
PL

Port knocking, VPN czy fail2ban?

Wszystkie trzy rozwiązania na różne sposoby chronią SSH i panele administracyjne przed nieznajomymi. Nie wykluczają się — wiele serwerów je łączy.

Port knocking

Port wygląda na zamknięty dla wszystkich; jedno zapukanie otwiera go dla Twojego adresu na kilka sekund. Nie trzeba nic instalować na trasie sieciowej ani tworzyć tunelu: po zapukaniu łączysz się bezpośrednio. SPA fwknop sprawia, że zapukanie jest szyfrowane i odporne na ponowne odtworzenie. Dobre rozwiązanie dla kilku usług administracyjnych na serwerze, z którym łączysz się z różnych sieci.

VPN (WireGuard, Tailscale)

Usługi nasłuchują tylko w VPN, więc są niewidoczne z internetu, a tunel szyfruje cały ruch. VPN wymaga klienta działającego na każdym urządzeniu oraz, w przypadku WireGuard, portu UDP; Tailscale opiera się na swojej usłudze koordynacyjnej. Dobre rozwiązanie, gdy korzystasz z wielu usług lub całej sieci.

fail2ban

Port pozostaje otwarty, a fail2ban blokuje adresy po nieudanych logowaniach. Ogranicza ataki brute force, ale nie ukrywa usługi, więc serwer nadal odpowiada każdemu skanerowi. Przydatna dodatkowa warstwa za każdym z powyższych rozwiązań.

Kiedy wybrać które rozwiązanie

  1. 1Jeden serwer, kilka portów administracyjnych, telefon w kieszeni: port knocking.
  2. 2Wiele usług, cała sieć domowa, udziały plików: VPN.
  3. 3Usługa publiczna, która musi pozostać dostępna: fail2ban i silne klucze.
  4. 4Niezależnie od wyboru: klucze SSH, bez logowania hasłem.

Pytania

Czy mogę zapukać, aby otworzyć port VPN?

Tak. Ukrycie portu UDP WireGuard lub portu zarządzania routerem za zapukaniem łączy oba rozwiązania.

Przewodniki dotyczące Twojej konfiguracji