Port knocking, uma VPN ou fail2ban?

Port knocking

A porta parece fechada para todos; uma batida a abre para o seu endereço por alguns segundos. Não há nada para instalar no caminho da rede nem túnel: após a batida, você se conecta diretamente. O SPA do fwknop torna a batida criptografada e não repetível. É ideal para alguns serviços de administração em um servidor que você acessa de redes que mudam.

Uma VPN (WireGuard, Tailscale)

Os serviços aceitam conexões somente pela VPN, portanto ficam invisíveis na internet, e o túnel criptografa todo o tráfego. Uma VPN exige um cliente em execução em todos os dispositivos e, no caso do WireGuard, uma porta UDP; o Tailscale depende de seu serviço de coordenação. É ideal quando você acessa muitos serviços ou uma rede inteira.

fail2ban

A porta permanece aberta, e o fail2ban bloqueia endereços após tentativas de login malsucedidas. Ele reduz ataques de força bruta, mas não oculta o serviço, portanto o servidor ainda responde a todos os scanners. Uma camada adicional útil junto com qualquer uma das opções acima.

Qual usar e quando

1. 1Um servidor, algumas portas de administração, telefone no bolso: port knocking.
2. 2Muitos serviços, uma rede doméstica inteira, compartilhamentos de arquivos: uma VPN.
3. 3Um serviço público que precisa permanecer acessível: fail2ban e chaves robustas.
4. 4Independentemente da sua escolha: chaves SSH, sem logins com senha.

Perguntas