連接埠敲門、VPN 還是 fail2ban？
三者都能以不同方式讓陌生人遠離 SSH 和管理面板。它們並不互斥，許多伺服器會搭配使用。
連接埠敲門
連接埠對所有人看起來都是關閉的；一次敲門即可為您的位址開啟數秒。不必在網路路徑上安裝任何項目，也不需要通道：敲門後即可直接連線。fwknop SPA 可讓敲門加密且無法重放。適合從不斷變換的網路連線至伺服器上的少數管理服務。
VPN（WireGuard、Tailscale）
服務只會在 VPN 上接聽，因此從網際網路無法看見，且通道會加密所有流量。VPN 需要在每部裝置上執行用戶端；WireGuard 還需要一個 UDP 連接埠，而 Tailscale 則依賴其協調服務。適合需要存取許多服務或整個網路時使用。
fail2ban
連接埠維持開啟，fail2ban 會在登入失敗後封鎖位址。它可減少暴力破解，但不會隱藏服務，因此伺服器仍會回應每一個掃描器。可作為上述任一方案後方的實用額外防護層。
何時該使用哪一種
- 1一部伺服器、幾個管理連接埠、口袋裡的手機：連接埠敲門。
- 2許多服務、整個家庭網路、檔案共享：VPN。
- 3必須持續可連線的公開服務：fail2ban 和強式金鑰。
- 4無論選擇哪一種：使用 SSH 金鑰，不允許密碼登入。
問題
我可以敲門來開啟 VPN 連接埠嗎？
可以。將 WireGuard UDP 連接埠或路由器的管理連接埠隱藏在敲門機制後方，可結合兩者的優點。