PortGuard: mantenga sus servicios totalmente invisibles para escaneres
PortGuard combines a modified fwknop-based server with a cross-platform client that supports the fwknop SPA protocol. Ports stay closed by default and open temporarily only after a valid AES/GPG-signed packet is verified.
Quick Server Install
Installs the latest open-source package built by GitHub Actions from the PortGuard server repository.
curl -fsSL https://portguard.net/install.sh | sudo bash
Modo de exposicion tradicional (Riesgo)
- ✕Ports remain open all day and are continuously probed by global scanners.
- ✕Exposed services face brute-force attempts and exploit attacks directly.
- ✕Firewall allowlists become complex to maintain and lack dynamic flexibility.
Modo PortGuard (Solucion)
- ✓Denegar por defecto: Ports are completely invisible before authorization (stealth).
- ✓Autenticacion SPA: Only specially formatted encrypted single packets can trigger access.
- ✓Acceso dinamico: Temporarily allow only the source IP, then close automatically.
Caracteristicas clave
Funciones de seguridad principales
Strong defaults for teams that want SSH, admin panels, and private services to disappear until authorization is intentional.
Comunicacion SPA eficiente
Send fwknop-compatible single-packet authorization without TCP handshake overhead, with strong stealth.
AES/GPG + HMAC
Integrated SHA256 integrity checks ensure commands are authentic and untampered.
Sigilo total de puertos
Default DROP behavior makes services appear unreachable to scanners.
Resistencia a ataques de repeticion
Time-window validation plus integrity checks quickly invalidates old packets.
Tutorial de PortGuard
A cleaner fwknop-compatible client for every device.
PortGuard Client supports the fwknop SPA protocol. Profiles, one-tap SPA, QR import, encrypted export, and activation stay compatible with fwknopd and PortGuard Server workflows.
Como funciona
Flujo de seguridad
PortGuard runs at the firewall edge of protected servers. It continuously inspects network traffic for authorization packets without exposing service handshakes externally.
Generar paquete de autorizacion
The client uses keys and a timestamp to generate an encrypted single packet.
Entrega sin handshake
The packet is sent via UDP and similar methods, making handshake-based probing ineffective.
Apertura dinamica
After validation, the server temporarily allows the source IP and then automatically removes the rule.
Casos de uso
Operacion remota SSH
Protect port 22 and make it visible only briefly after an admin sends SPA.
Seguridad multicloud
Unified access control across AWS/Azure and more to reduce exposure.
Gestion de dispositivos IoT
Protect IoT control interfaces and avoid direct public exposure.
Automatizacion de ACL
Combine scripts and rule cycles to automate temporary authorization.
Descargas e instalacion
Soporta clientes multiplataforma y paquetes del lado servidor
Server Packages
Install PortGuard Server on Debian, Ubuntu, Rocky, CentOS, and OpenWrt
Use the quick installer for supported Linux servers, or download the latest package generated from the open-source GitHub Actions release pipeline.
Quick Install
One command server setup
curl -fsSL https://portguard.net/install.sh | sudo bash
The script detects the operating system, selects the matching package from the GitHub release manifest, verifies SHA256, installs dependencies, and leaves fwknopd ready for configuration export to PortGuard Client.
Open Source Release
Packages synced from GitHub
These packages are built automatically by GitHub Actions from the public PortGuard server source code.
| System | Version | Architecture | Package | Descargar |
|---|---|---|---|---|
| Loading packages from GitHub release... | ||||
Related Products
Product
OpenAT
Secure, time-locked data storage powered by drand's mathematical certainty. Encrypt your future today without a central authority.
Visit website
Product
Lockmem
End-to-end encrypted personal media vault for your NAS. Privacy-first management for your self-hosted infrastructure.
Visit websitePreguntas frecuentes y casos de uso
Última actualización:
What is the relationship between PortGuard and fwknop?
PortGuard is built around the fwknop SPA protocol. PortGuard Client is a cross-platform client that sends fwknop-compatible SPA packets, while PortGuard Server is a modified server based on the upstream fwknop project. Compared with traditional sequence-based port knocking, this single encrypted packet model is faster, stealthier, and resistant to replay attacks.
¿Puedo generar un perfil y usar un golpe para permitir que una IP específica acceda a cada puerto de servicio?
Sí. Configure la sección de acceso al servidor con OPEN_PORTS ANY y utilice un perfil de cliente con ACCESS ANY. El perfil se puede generar e importar una vez y luego reutilizarlo. Cada golpe válido crea una regla de IP de origen temporal que permite que la IP seleccionada por ALLOW_IP llegue a todos los puertos de servicio TCP y UDP hasta que caduque FW_TIMEOUT. Después de la expiración, envíe un nuevo golpe. Este es un modo de altos privilegios: use un tiempo de espera corto, proteja el perfil y las claves, y recuerde que los firewalls de la nube, las reglas del enrutador y la autenticación del servicio aún se aplican.
¿Cómo se compara fwknop con tnock?
Aunque ambos buscan ocultar puertos de red, fwknop es una solución SPA más avanzada. tnock y otros daemons basados en secuencias dependen de detectar un patrón de intentos de conexión en varios puertos cerrados, lo que tarda más y es vulnerable a ataques de repetición. fwknop lo resuelve enviando una sola carga útil firmada criptográficamente y con marca de tiempo. Sus ventajas son mayor seguridad, resistencia a replay e integración fluida con firewalls modernos.
¿Cómo hago que mi sitio web o servicio privado solo sea accesible para personas concretas?
By default, PortGuard Server, modified from fwknop, configures your server's firewall to block all inbound traffic to your service port. The service appears completely offline to the public. When an authorized user needs access, they use PortGuard Client with their unique cryptographic key to send a fwknop-compatible Single Packet Authorization (SPA) packet. Once verified, the server dynamically whitelists their current IP address for a brief period.
¿Cómo garantizar seguridad y privacidad en un NAS expuesto a Internet sin filtrar datos?
Exponer el NAS directamente a Internet es muy arriesgado por los sondeos constantes de botnets y escáneres. En general, hay dos opciones seguras:
- Opción 1: Cloudflare Zero Trust (Tunnels) Enruta el tráfico del NAS por la red de Cloudflare sin abrir puertos entrantes. Ventajas: configuración sencilla, no requiere IP pública y añade una capa WAF. Desventajas: el tráfico pasa por servidores de terceros, por lo que dependes de la política de privacidad de Cloudflare. Además, la velocidad suele verse limitada en el plan gratuito, algo poco ideal para streaming de archivos grandes.
- Opción 2: IP pública propia + Port Knocking con fwknop Abres un puerto en el router, pero protegido con fwknop (SPA). El puerto permanece invisible para Internet pública y solo se abre cuando envías un paquete de acceso válido y firmado criptográficamente. Ventajas: mayor privacidad de datos al no pasar por terceros y velocidad máxima de hardware al ser conexión directa. Desventajas: necesitas una IP pública real y una configuración inicial algo más técnica.
¿fwknop PortGuard reduce la velocidad después de abrir el puerto?
No. The fwknop-compatible PortGuard Server only handles the initial authorization packet. Once the firewall rule is dynamically created and your IP is authorized, your connection via SSH, WireGuard, or directly to your NAS operates directly between your client and the server at full line speed.
Trusted by DevOps and Security Experts Worldwide
Official Contact
Need help with PortGuard?
For purchase recovery, activation issues, deployment questions, or security reports, contact the official PortGuard support mailbox.
[email protected]