Порт-нокінг, VPN чи fail2ban?
Усі три способи по-різному не допускають незнайомців до SSH і панелей адміністрування. Вони не виключають одне одного — багато серверів поєднують їх.
Порт-нокінг
Порт для всіх має вигляд закритого; один стукіт відкриває його для вашої адреси на кілька секунд. Не потрібно нічого встановлювати на мережевому шляху й не потрібен тунель: після стукоту ви підключаєтеся безпосередньо. SPA від fwknop робить стукіт зашифрованим і захищеним від повторного відтворення. Добре підходить для кількох служб адміністрування на сервері, до якого ви звертаєтеся з мереж, що змінюються.
VPN (WireGuard, Tailscale)
Служби приймають з’єднання лише через VPN, тож вони невидимі з інтернету, а тунель шифрує весь трафік. VPN потребує запущеного клієнта на кожному пристрої та, для WireGuard, порту UDP; Tailscale покладається на свою службу координації. Добре підходить, коли ви звертаєтеся до багатьох служб або до цілої мережі.
fail2ban
Порт залишається відкритим, а fail2ban блокує адреси після невдалих входів. Це зменшує кількість атак перебором, але не приховує службу, тож сервер усе одно відповідає кожному сканеру. Корисний додатковий рівень захисту разом із будь-яким із наведених вище способів.
Що обрати й коли
- 1Один сервер, кілька портів адміністрування, телефон у кишені: порт-нокінг.
- 2Багато служб, уся домашня мережа, мережеві файлові ресурси: VPN.
- 3Публічна служба, що має залишатися доступною: fail2ban і надійні ключі.
- 4Що б ви не обрали: ключі SSH, без входу за паролем.
Запитання
Чи можна стукотом відкрити порт VPN?
Так. Якщо приховати за стукотом порт UDP WireGuard або порт керування маршрутизатора, це поєднає обидва способи.