PortGuard: あなたのサービスを スキャナーから見えない
PortGuard combines a modified fwknop-based server with a cross-platform client that supports the fwknop SPA protocol. Ports stay closed by default and open temporarily only after a valid AES/GPG-signed packet is verified.
Quick Server Install
Installs the latest open-source package built by GitHub Actions from the PortGuard server repository.
curl -fsSL https://portguard.net/install.sh | sudo bash
従来の公開モード（リスク）
- ✕Ports remain open all day and are continuously probed by global scanners.
- ✕Exposed services face brute-force attempts and exploit attacks directly.
- ✕Firewall allowlists become complex to maintain and lack dynamic flexibility.
PortGuard モード（ソリューション）
- ✓デフォルト拒否: Ports are completely invisible before authorization (stealth).
- ✓SPA認証: Only specially formatted encrypted single packets can trigger access.
- ✓動的アクセス: Temporarily allow only the source IP, then close automatically.
コア機能
コアセキュリティ機能
Strong defaults for teams that want SSH, admin panels, and private services to disappear until authorization is intentional.
効率的なSPA通信
Send fwknop-compatible single-packet authorization without TCP handshake overhead, with strong stealth.
AES/GPG + HMAC
Integrated SHA256 integrity checks ensure commands are authentic and untampered.
完全ポートステルス
Default DROP behavior makes services appear unreachable to scanners.
リプレイ攻撃耐性
Time-window validation plus integrity checks quickly invalidates old packets.
PortGuardチュートリアル
A cleaner fwknop-compatible client for every device.
PortGuard Client supports the fwknop SPA protocol. Profiles, one-tap SPA, QR import, encrypted export, and activation stay compatible with fwknopd and PortGuard Server workflows.
仕組み
セキュリティワークフロー
PortGuard runs at the firewall edge of protected servers. It continuously inspects network traffic for authorization packets without exposing service handshakes externally.
認証パケット生成
The client uses keys and a timestamp to generate an encrypted single packet.
ハンドシェイクなし配信
The packet is sent via UDP and similar methods, making handshake-based probing ineffective.
動的オープン
After validation, the server temporarily allows the source IP and then automatically removes the rule.
利用シーン
SSHリモート運用
Protect port 22 and make it visible only briefly after an admin sends SPA.
マルチクラウドセキュリティ
Unified access control across AWS/Azure and more to reduce exposure.
IoTデバイス管理
Protect IoT control interfaces and avoid direct public exposure.
ACL自動化
Combine scripts and rule cycles to automate temporary authorization.
ダウンロードとインストール
マルチプラットフォームのクライアントとサーバーパッケージに対応
Server Packages
Install PortGuard Server on Debian, Ubuntu, Rocky, CentOS, and OpenWrt
Use the quick installer for supported Linux servers, or download the latest package generated from the open-source GitHub Actions release pipeline.
Quick Install
One command server setup
curl -fsSL https://portguard.net/install.sh | sudo bash
The script detects the operating system, selects the matching package from the GitHub release manifest, verifies SHA256, installs dependencies, and leaves fwknopd ready for configuration export to PortGuard Client.
Open Source Release
Packages synced from GitHub
These packages are built automatically by GitHub Actions from the public PortGuard server source code.
| System | Version | Architecture | Package | ダウンロード |
|---|---|---|---|---|
| Loading packages from GitHub release... | ||||
Related Products
Product
OpenAT
Secure, time-locked data storage powered by drand's mathematical certainty. Encrypt your future today without a central authority.
Visit website
Product
Lockmem
End-to-end encrypted personal media vault for your NAS. Privacy-first management for your self-hosted infrastructure.
Visit websiteFAQ とユースケース
最終更新:
What is the relationship between PortGuard and fwknop?
PortGuard is built around the fwknop SPA protocol. PortGuard Client is a cross-platform client that sends fwknop-compatible SPA packets, while PortGuard Server is a modified server based on the upstream fwknop project. Compared with traditional sequence-based port knocking, this single encrypted packet model is faster, stealthier, and resistant to replay attacks.
1 つのプロファイルを生成し、1 つのノックを使用して、特定の IP がすべてのサービス ポートにアクセスできるようにすることはできますか?
はい。 OPEN_PORTS ANY でサーバー アクセス スタンザを構成し、ACCESS ANY でクライアント プロファイルを使用します。プロファイルは一度生成してインポートすると、再利用できます。有効なノックごとに、FW_TIMEOUT の有効期限が切れるまで、ALLOW_IP によって選択された IP がすべての TCP および UDP サービス ポートに到達できるようにする一時的なソース IP ルールが作成されます。有効期限が切れたら、新しいノックを送信します。これは高特権モードです。短いタイムアウトを使用し、プロファイルとキーを保護します。また、アップストリームのクラウド ファイアウォール、ルーター ルール、およびサービス認証が引き続き適用されることに注意してください。
fwknop と tnock の違いは何ですか？
どちらもポートを隠すことを目的としますが、fwknop はより高度な SPA ソリューションです。tnock などのシーケンス型ノッキングは、複数の閉ポートへの接続パターン検出に依存するため実行に時間がかかり、リプレイ攻撃にも弱くなります。fwknop は、暗号署名とタイムスタンプ付きの単一ペイロード送信でこれを解決します。より高い安全性、リプレイ耐性、最新ファイアウォールとの高い統合性が利点です。
Web サイトやプライベートサービスを特定ユーザーだけに公開するには？
By default, PortGuard Server, modified from fwknop, configures your server's firewall to block all inbound traffic to your service port. The service appears completely offline to the public. When an authorized user needs access, they use PortGuard Client with their unique cryptographic key to send a fwknop-compatible Single Packet Authorization (SPA) packet. Once verified, the server dynamically whitelists their current IP address for a brief period.
公開ネットワークに出す NAS の安全性とプライバシーをどう確保する？
NAS をインターネットへ直接公開するのは、ボットネットやスキャナの継続的な探索により非常に危険です。一般的には次の 2 つの安全策があります。
- 案1: Cloudflare Zero Trust（Tunnels） 受信ポートを開けずに NAS トラフィックを Cloudflare 経由で中継します。利点: 設定が簡単、グローバル IP 不要、追加の WAF 層を得られる。欠点: 通信が第三者サーバーを経由するため Cloudflare のプライバシーポリシーに依存する。無料プランのルーティング制限で、大容量メディア配信には不向きな場合があります。
- 案2: 自前のグローバル IP + fwknop ポートノッキング ルーターでポートは開けますが、fwknop（SPA）で保護します。ポートは通常インターネットから不可視で、有効な暗号署名付きアクセスパケット送信時のみ開きます。利点: 第三者経由が不要で高いデータプライバシーを確保でき、直結のため最大転送速度を得やすい（動画配信向き）。欠点: 実際のグローバル IP と、やや技術的な初期設定が必要です。
ポート開放後に fwknop PortGuard で通信速度は低下しますか？
No. The fwknop-compatible PortGuard Server only handles the initial authorization packet. Once the firewall rule is dynamically created and your IP is authorized, your connection via SSH, WireGuard, or directly to your NAS operates directly between your client and the server at full line speed.
Trusted by DevOps and Security Experts Worldwide
Official Contact
Need help with PortGuard?
For purchase recovery, activation issues, deployment questions, or security reports, contact the official PortGuard support mailbox.
[email protected]