端口敲门、VPN 还是 fail2ban？
三者都能以不同方式让陌生人无法访问 SSH 和管理面板。它们并不互斥——许多服务器会组合使用。
端口敲门
端口对所有人看起来都是关闭的；一次敲门会为你的地址打开数秒。无需在网络路径上安装任何软件，也无需隧道：敲门后可直接连接。fwknop SPA 会让敲门经过加密且不可重放。适合在经常变换的网络中访问一台服务器上的少量管理服务。
VPN（WireGuard、Tailscale）
服务仅在 VPN 上监听，因此从互联网无法发现，隧道还会加密所有流量。VPN 要求在每台设备上运行客户端；WireGuard 还需要一个 UDP 端口，Tailscale 则依赖其协调服务。适合访问许多服务或整个网络。
fail2ban
端口保持开放，fail2ban 会在登录失败后封禁地址。它能减少暴力破解，但不会隐藏服务，因此服务器仍会响应每个扫描器。可作为上述任一方案之后的实用额外防护层。
何时选择哪一种
- 1一台服务器、几个管理端口、口袋里的手机：端口敲门。
- 2许多服务、整个家庭网络、文件共享：VPN。
- 3必须保持可访问的公开服务：fail2ban 和强密钥。
- 4无论选择什么：使用 SSH 密钥，不允许密码登录。
问题
我可以通过敲门来打开 VPN 端口吗？
可以。将 WireGuard UDP 端口或路由器的管理端口隐藏在敲门之后，即可结合两者。