PortGuard : gardez vos services invisibles aux scanners
PortGuard combines a modified fwknop-based server with a cross-platform client that supports the fwknop SPA protocol. Ports stay closed by default and open temporarily only after a valid AES/GPG-signed packet is verified.
Quick Server Install
Installs the latest open-source package built by GitHub Actions from the PortGuard server repository.
curl -fsSL https://portguard.net/install.sh | sudo bash
Mode d'exposition traditionnel (Risque)
- ✕Ports remain open all day and are continuously probed by global scanners.
- ✕Exposed services face brute-force attempts and exploit attacks directly.
- ✕Firewall allowlists become complex to maintain and lack dynamic flexibility.
Mode PortGuard (Solution)
- ✓Refus par defaut: Ports are completely invisible before authorization (stealth).
- ✓Authentification SPA: Only specially formatted encrypted single packets can trigger access.
- ✓Acces dynamique: Temporarily allow only the source IP, then close automatically.
Fonctionnalites cles
Fonctionnalites de securite principales
Strong defaults for teams that want SSH, admin panels, and private services to disappear until authorization is intentional.
Communication SPA efficace
Send fwknop-compatible single-packet authorization without TCP handshake overhead, with strong stealth.
AES/GPG + HMAC
Integrated SHA256 integrity checks ensure commands are authentic and untampered.
Dissimulation complete des ports
Default DROP behavior makes services appear unreachable to scanners.
Resistance aux attaques par rejeu
Time-window validation plus integrity checks quickly invalidates old packets.
Tutoriel PortGuard
A cleaner fwknop-compatible client for every device.
PortGuard Client supports the fwknop SPA protocol. Profiles, one-tap SPA, QR import, encrypted export, and activation stay compatible with fwknopd and PortGuard Server workflows.
Fonctionnement
Mecanisme de securite
PortGuard runs at the firewall edge of protected servers. It continuously inspects network traffic for authorization packets without exposing service handshakes externally.
Generer le paquet d'autorisation
The client uses keys and a timestamp to generate an encrypted single packet.
Envoi sans handshake
The packet is sent via UDP and similar methods, making handshake-based probing ineffective.
Ouverture dynamique
After validation, the server temporarily allows the source IP and then automatically removes the rule.
Cas d'usage
Exploitation distante SSH
Protect port 22 and make it visible only briefly after an admin sends SPA.
Securite multi-cloud
Unified access control across AWS/Azure and more to reduce exposure.
Gestion des appareils IoT
Protect IoT control interfaces and avoid direct public exposure.
Automatisation ACL
Combine scripts and rule cycles to automate temporary authorization.
Telechargement et installation
Prend en charge les clients multiplateformes et les paquets serveur
Server Packages
Install PortGuard Server on Debian, Ubuntu, Rocky, CentOS, and OpenWrt
Use the quick installer for supported Linux servers, or download the latest package generated from the open-source GitHub Actions release pipeline.
Quick Install
One command server setup
curl -fsSL https://portguard.net/install.sh | sudo bash
The script detects the operating system, selects the matching package from the GitHub release manifest, verifies SHA256, installs dependencies, and leaves fwknopd ready for configuration export to PortGuard Client.
Open Source Release
Packages synced from GitHub
These packages are built automatically by GitHub Actions from the public PortGuard server source code.
| System | Version | Architecture | Package | Télécharger |
|---|---|---|---|---|
| Loading packages from GitHub release... | ||||
Related Products
Product
OpenAT
Secure, time-locked data storage powered by drand's mathematical certainty. Encrypt your future today without a central authority.
Visit website
Product
Lockmem
End-to-end encrypted personal media vault for your NAS. Privacy-first management for your self-hosted infrastructure.
Visit websiteFAQ et cas d'utilisation
Dernière mise à jour :
What is the relationship between PortGuard and fwknop?
PortGuard is built around the fwknop SPA protocol. PortGuard Client is a cross-platform client that sends fwknop-compatible SPA packets, while PortGuard Server is a modified server based on the upstream fwknop project. Compared with traditional sequence-based port knocking, this single encrypted packet model is faster, stealthier, and resistant to replay attacks.
Puis-je générer un profil et utiliser un seul clic pour permettre à une adresse IP spécifique d'accéder à chaque port de service ?
Oui. Configurez la strophe d'accès au serveur avec OPEN_PORTS ANY et utilisez un profil client avec ACCESS ANY. Le profil peut être généré et importé une seule fois, puis réutilisé. Chaque frappe valide crée une règle IP source temporaire qui permet à l'adresse IP sélectionnée par ALLOW_IP d'atteindre tous les ports de service TCP et UDP jusqu'à l'expiration de FW_TIMEOUT. Après expiration, envoyez un nouveau coup. Il s'agit d'un mode à privilèges élevés : utilisez un délai d'attente court, protégez le profil et les clés et rappelez-vous que les pare-feu cloud en amont, les règles de routeur et l'authentification du service s'appliquent toujours.
Comment fwknop se compare-t-il à tnock ?
Les deux visent à masquer les ports réseau, mais fwknop est une solution SPA plus avancée. tnock et les démons similaires à séquence détectent un motif d'essais de connexion sur plusieurs ports fermés, ce qui est plus lent et vulnérable au rejeu. fwknop l'évite en transmettant une charge unique signée cryptographiquement et horodatée. Avantages : sécurité nettement supérieure, résistance au rejeu et intégration fluide avec les pare-feu modernes.
Comment rendre mon site web ou mon service privé accessible uniquement à des personnes spécifiques ?
By default, PortGuard Server, modified from fwknop, configures your server's firewall to block all inbound traffic to your service port. The service appears completely offline to the public. When an authorized user needs access, they use PortGuard Client with their unique cryptographic key to send a fwknop-compatible Single Packet Authorization (SPA) packet. Once verified, the server dynamically whitelists their current IP address for a brief period.
Comment garantir la sécurité et la confidentialité d'un NAS exposé au réseau public sans fuite de données ?
Exposer directement votre NAS à Internet est très risqué à cause des botnets et des scans continus. Il existe en général deux solutions sûres :
- Option 1 : Cloudflare Zero Trust (Tunnels) Cette option fait transiter le trafic NAS via le réseau Cloudflare sans ouvrir de ports entrants. Avantages : très simple à mettre en place, pas d'IP publique requise, couche WAF supplémentaire. Inconvénients : le trafic passe par un tiers, donc dépendance à la politique de confidentialité Cloudflare ; les vitesses sont souvent limitées par le routage gratuit, moins adapté au streaming de gros médias.
- Option 2 : IP publique auto-hébergée + port knocking fwknop Vous ouvrez un port sur le routeur mais le protégez avec fwknop (SPA). Le port reste invisible sur Internet public et ne s'ouvre qu'après un paquet d'accès valide signé cryptographiquement. Avantages : confidentialité maximale sans tiers et débit matériel maximal grâce à une connexion directe (idéal pour la vidéo). Inconvénients : nécessite une vraie IP publique et une configuration initiale plus technique.
fwknop PortGuard ralentit-il la connexion après l'ouverture du port ?
No. The fwknop-compatible PortGuard Server only handles the initial authorization packet. Once the firewall rule is dynamically created and your IP is authorized, your connection via SSH, WireGuard, or directly to your NAS operates directly between your client and the server at full line speed.
Trusted by DevOps and Security Experts Worldwide
Official Contact
Need help with PortGuard?
For purchase recovery, activation issues, deployment questions, or security reports, contact the official PortGuard support mailbox.
[email protected]