Autorització de paquet únic
PortGuard
PortGuard ofereix una tecnologia robusta d'autorització d'un sol paquet per protegir la vostra xarxa contra l'accés no autoritzat, incloses les amenaces d'exploració de ports.
Baixeu ara, GUI multiplataforma
GUI multiplataforma
Descarrega per a Windows
fwknopc_2_6_11_x64-setup.exe
Descarrega per a Macos
fwknopc_2_6_11_x64.pkg
Descarrega per a Android
fwknopc_2_6_11_x64.apk
Servidor Fwknop per a CentOS7
| Nom del fitxer | Última modificació | MD5 |
|---|---|---|
| fwknop-server-2.6.11-1.el7.x86_64.rpm | 2025-07-29 |
1a375f89c2aa16935ddce164ad16adad
|
| libfko-3.0.0-1.x86_64.rpm | 2025-07-29 |
7f720f1f444f1634bab7cadbbfec40b2
|
1. Per què vaig desenvolupar PortGuard?
Vaig aprendre sobre el concepte d'autorització de paquet únic (SPA) durant una conversa informal amb col·legues de feina. Abans d'això, no tenia coneixements sobre port knocking o SPA. Va resultar que la nostra empresa necessitava una solució de port knocking i, després d'investigar i explorar materials rellevants, vaig descobrir fwknop. El concepte de fwknop era realment impressionant: per a serveis que només han de ser accessibles a uns pocs seleccionats, fwknop és una solució excel·lent. Vam considerar desenvolupar la nostra pròpia eina, però fwknop era molt més madur. Tanmateix, fwknop té els seus inconvenients: és complex, amb una corba d'aprenentatge pronunciada per a la instal·lació i l'ús, i no té una aplicació client dedicada. Això va conduir a la creació de PortGuard. L'objectiu de PortGuard és donar suport als protocols de port knocking convencionals com fwknop i, en el futur, tnok, alhora que proporciona un client multiplataforma. Construït com una extensió de fwknop i tnok, PortGuard pretén fer que la tecnologia SPA sigui més fàcil d'utilitzar i accessible.
2. Plataformes compatibles amb clients de PortGuard
Actualment, PortGuard admet les plataformes següents:
- iOS
- Android
- Windows
- macOS
3. Casos d'ús de PortGuard
La funcionalitat principal de PortGuard és millorar la seguretat de la xarxa ocultant els ports de servei (tancats per defecte) i és adequat per als següents escenaris:
3.1 Protegir els serveis d'accés remot (per exemple, SSH)
Escenari:Els administradors han d'accedir de manera segura als serveis SSH des de diferents ubicacions (per exemple, casa, cafeteria, xarxa mòbil) sense exposar el port SSH a la xarxa pública.
Implementació: Si feu servir fwknop o tnok, el client envia paquets de dades SPA o paquets TOTP knock i el servidor verifica i obre temporalment el port SSH (per defecte 22) després de la verificació.
Avantatges: Evita que Nmap i altres eines d'escaneig de ports descobreixin serveis, reduint el risc que s'explotin vulnerabilitats de dia zero.
Exemple: Els membres de l'equip remot utilitzen el client fwknop per enviar paquets de dades SPA a dispositius Windows o Android i accedir de manera segura als servidors interns de l'empresa.
3.2 Protecció de serveis en entorns de núvol
Escenari:Cal accedir als serveis interns (per exemple, bases de dades, servidors web) d'AWS, Azure i altres plataformes al núvol a través de la xarxa pública, però cal evitar que els ports quedin exposats directament.
Implementació: PortGuard s'integra amb NAT per permetre que els clients externs accedeixin a serveis interns a l'espai d'adreces RFC 1918 a través d'SPA.
Avantatges: Admet topologies de xarxa complexes, adequades per a entorns de núvol híbrid i multi-tenant.
Exemple: Executeu fwknopd en instàncies d'AWS EC2 i obriu dinàmicament el port MySQL (3306) perquè els usuaris autoritzats hi puguin accedir.
3.3 Defensar-se contra l'escaneig de ports i la força bruta
Escenari:Els servidors s'enfronten a l'escaneig de ports (per exemple, Nmap) o a atacs de força bruta, i necessiten ocultar els ports de servei per reduir la superfície d'atac.
Implementació: PortGuard manté la política de tallafocs per defecte, obrint només els ports després de rebre paquets de dades SPA vàlids.
Avantatges: Fins i tot si hi ha vulnerabilitats sense pegats, els atacants no poden descobrir ports de servei.
Exemple: Evita la força bruta de SSH, fwknop només obre els ports després de verificar HMAC.
3.4 Suport a la protecció de múltiples serveis
Escenari:Les empreses necessiten protegir múltiples serveis (per exemple, SSH, RDP, VPN, base de dades), però no volen que tots els ports estiguin oberts tot el temps.
Implementació: fwknop permet definir múltiples serveis i ports a access.conf, i el client pot especificar el protocol i el port de destinació.
Avantatges: Configuració flexible de regles, suport per a temps d'espera personalitzats i estratègies d'obertura de ports.
Exemple: Configura fwknop per protegir tant SSH (tcp/22) com OpenVPN (udp/1194).
3.5 Seguretat de dispositius integrats o IoT
Escenari:Els dispositius IoT o els sistemes integrats necessiten gestió remota, però els recursos del dispositiu són limitats i vulnerables a atacs.
Implementació: Executeu fwknopd o tnokd lleugers en dispositius amb recursos limitats, controleu l'accés mitjançant SPA o TOTP.
Avantatges: Baix consum de recursos, adequat per a dispositius petits.
Exemple: Protegir el servei web que s'executa a la Raspberry Pi.
3.6 Integració de dispositius de tercers
Escenari:Cal integrar-se amb dispositius que no admeten fwknop natiu (per exemple, encaminadors Cisco), controlar les regles del tallafocs.
Implementació: La funció de comandaments open/close cycle (ordre open/close cycle) de fwknop permet executar scripts personalitzats per modificar dinàmicament l'ACL de dispositius de tercers.
Avantatges: Extensible, compatible amb dispositius de tallafocs no estàndard.
Exemple: Executeu fwknopd en servidors Linux i actualitzeu l'ACL dels encaminadors Cisco mitjançant SSH.
3.7 Detalls tècnics
- fwknop permet definir un temps d'espera (CMD_CYCLE_TIMER), el port obert es tanca automàticament, cosa que redueix el temps d'exposició.
- Es pot combinar amb una VPN (per exemple, WireGuard, OpenVPN) per construir una xarxa privada segura.
- Admet l'anàlisi de capçaleres X-Forwarded-For, adequada per a SPA en entorns HTTP.
4. Quina seguretat té PortGuard?
La seguretat de PortGuard depèn principalment del mecanisme d'autorització de paquet únic (SPA) de fwknop, combinat amb el xifratge, l'autenticació i la integració del tallafocs, proporcionant una protecció multicapa. A continuació es mostra una anàlisi detallada de la seguretat:
4.1 Xifratge i autenticació
Xifratge: fwknop admet el xifratge simètric de Rijndael (AES) o el xifratge asimètric de GnuPG, i el contingut del paquet de dades SPA no es pot analitzar directament.
Autenticació: Utilitzeu HMAC-SHA256 (per defecte) o versions superiors per a l'autenticació de paquets de dades, garantint la integritat de les dades i la confiança de l'origen.
Seguretat: Prevenir atacs man-in-the-middle (MITM) i de repetició, HMAC aplicat després del xifratge, resistint els atacs d'oracle de farciment en mode CBC (per exemple, atacs de Vaudenay).
Limitacions: El xifratge simètric requereix claus compartides entre el client i el servidor, una gestió inadequada de claus pot provocar fuites; el mode GnuPG requereix el manteniment de claus conjunts.
4.2 Evitar l'escaneig de ports
Mecanisme: PortGuard utilitza la política de tallafocs de drop per defecte, i el port de servei és invisible quan no està autoritzat, de manera que Nmap i altres eines no el poden detectar.
Seguretat: Redueix significativament la superfície d'atac, fins i tot si hi ha vulnerabilitats de dia zero, els atacants no poden localitzar el port de servei.
Limitacions: Si el paquet de dades de detonació és detectat (la detonació de port tradicional és més susceptible a això), els atacants poden intentar reproduir-lo (SPA ha resolt aquest problema mitjançant HMAC).
4.3 Resistir la força bruta
Mecanisme: Els paquets de dades SPA s'han de xifrar correctament i l'HMAC s'ha d'autenticar. La força bruta és gairebé impossible (els paquets de dades amb un HMAC fallit es descarten directament).
Seguretat: En comparació amb el port knocking tradicional, el disseny de paquet únic i el mecanisme de xifratge de l'SPA milloren significativament la capacitat de resistir la força bruta.
Limitacions: Els errors de configuració (per exemple, claus febles o HMAC desactivat) poden reduir la seguretat.
✨ Característiques
Gent ❤️ Fwknop
John
Michael
James
David
Olivia
William