Port knocking, VPN alebo fail2ban?

Všetky tri riešenia rôznymi spôsobmi držia cudzích ľudí ďalej od SSH a administračných panelov. Nevylučujú sa — mnohé servery ich kombinujú.

Port knocking

Port sa všetkým javí ako zatvorený; jedno zaklopanie ho na niekoľko sekúnd otvorí pre vašu adresu. Netreba nič inštalovať do sieťovej cesty ani vytvárať tunel: po zaklopaní sa pripojíte priamo. fwknop SPA zabezpečuje, že zaklopanie je šifrované a nedá sa znovu použiť. Vhodné pre niekoľko administračných služieb na serveri, ku ktorému pristupujete z meniacich sa sietí.

VPN (WireGuard, Tailscale)

Služby počúvajú iba vo VPN, takže sú z internetu neviditeľné, a tunel šifruje všetku komunikáciu. VPN vyžaduje klienta spusteného na každom zariadení a v prípade WireGuard aj port UDP; Tailscale sa spolieha na svoju koordinačnú službu. Vhodné, keď pristupujete k mnohým službám alebo celej sieti.

fail2ban

Port zostáva otvorený a fail2ban po neúspešných prihláseniach blokuje adresy. Obmedzuje útoky hrubou silou, no neskrýva službu, takže server stále odpovedá každému skeneru. Užitočná ďalšia vrstva spolu s ktorýmkoľvek z vyššie uvedených riešení.

Kedy ktoré riešenie

1Jeden server, niekoľko administračných portov, telefón vo vrecku: port knocking.
2Mnoho služieb, celá domáca sieť, zdieľané súbory: VPN.
3Verejná služba, ktorá musí zostať dostupná: fail2ban a silné kľúče.
4Nech si vyberiete čokoľvek: kľúče SSH, žiadne prihlasovanie heslom.

Otázky

Môžem zaklopať na otvorenie portu VPN?

Áno. Skrytie portu UDP pre WireGuard alebo portu na správu smerovača za zaklopanie kombinuje obe riešenia.