Port knocking, en VPN eller fail2ban?

Alla tre håller obehöriga borta från SSH och adminpaneler, på olika sätt. De utesluter inte varandra – många servrar kombinerar dem.

Port knocking

Porten ser stängd ut för alla; ett knack öppnar den för din adress i några sekunder. Inget att installera i nätverksvägen och ingen tunnel: efter knackningen ansluter du direkt. fwknop SPA gör knackningen krypterad och skyddad mot återuppspelning. Bra för några administratörstjänster på en server som du når från växlande nätverk.

En VPN (WireGuard, Tailscale)

Tjänsterna lyssnar endast på VPN:en, så de är osynliga från internet, och tunneln krypterar all trafik. En VPN kräver en klient som körs på varje enhet och, för WireGuard, en UDP-port; Tailscale förlitar sig på sin samordningstjänst. Bra när du når många tjänster eller ett helt nätverk.

fail2ban

Porten förblir öppen och fail2ban blockerar adresser efter misslyckade inloggningar. Det minskar bruteforce-attacker men döljer inte tjänsten, så servern svarar fortfarande varje skanner. Ett användbart extra lager tillsammans med något av alternativen ovan.

När du ska välja vad

1En server, ett par administratörsportar, telefonen i fickan: port knocking.
2Många tjänster, ett helt hemnätverk, fildelningar: en VPN.
3En offentlig tjänst som måste vara nåbar: fail2ban och starka nycklar.
4Oavsett vad du väljer: SSH-nycklar, inga lösenordsinloggningar.

Frågor

Kan jag knacka för att öppna VPN-porten?

Ja. Att dölja WireGuard UDP-porten eller en routers hanteringsport bakom en knackning kombinerar båda.