Порт-нокинг, VPN или fail2ban?
Все три способа по-разному защищают SSH и панели администрирования от посторонних. Они не исключают друг друга — многие серверы используют их вместе.
Порт-нокинг
Дверь выглядит закрытой для всех; один стук приоткрывает её для вашего адреса на несколько секунд. Ничего не нужно устанавливать на сетевом маршруте, и туннель не требуется: после стука вы подключаетесь напрямую. SPA в fwknop делает стук зашифрованным и защищённым от повторного воспроизведения. Подходит для нескольких административных служб на сервере, к которому вы подключаетесь из меняющихся сетей.
VPN (WireGuard, Tailscale)
Службы прослушивают только VPN, поэтому они невидимы из интернета, а туннель шифрует весь трафик. VPN требует работающего клиента на каждом устройстве и, в случае WireGuard, порта UDP; Tailscale использует свою службу координации. Подходит, когда нужен доступ ко многим службам или всей сети.
fail2ban
Порт остаётся открытым, а fail2ban блокирует адреса после неудачных входов. Это сокращает число попыток перебора, но не скрывает службу, поэтому сервер по-прежнему отвечает каждому сканеру. Полезный дополнительный уровень защиты в сочетании с любым из вариантов выше.
Когда что выбрать
- 1Один сервер, пара административных портов, телефон в кармане: порт-нокинг.
- 2Много служб, вся домашняя сеть, общие папки: VPN.
- 3Публичная служба, которая должна оставаться доступной: fail2ban и надёжные ключи.
- 4Что бы вы ни выбрали: ключи SSH, без входа по паролю.
Вопросы
Можно ли стуком открыть порт VPN?
Да. Если скрыть за стуком порт UDP WireGuard или порт управления маршрутизатора, это объединит оба подхода.