PortGuard: mantieni i tuoi servizi invisibili agli scanner
PortGuard combines a modified fwknop-based server with a cross-platform client that supports the fwknop SPA protocol. Ports stay closed by default and open temporarily only after a valid AES/GPG-signed packet is verified.
Quick Server Install
Installs the latest open-source package built by GitHub Actions from the PortGuard server repository.
curl -fsSL https://portguard.net/install.sh | sudo bash
Modalita di esposizione tradizionale (Rischio)
- ✕Ports remain open all day and are continuously probed by global scanners.
- ✕Exposed services face brute-force attempts and exploit attacks directly.
- ✕Firewall allowlists become complex to maintain and lack dynamic flexibility.
Modalita PortGuard (Soluzione)
- ✓Nega per impostazione predefinita: Ports are completely invisible before authorization (stealth).
- ✓Autenticazione SPA: Only specially formatted encrypted single packets can trigger access.
- ✓Accesso dinamico: Temporarily allow only the source IP, then close automatically.
Funzionalita principali
Funzionalita di sicurezza principali
Strong defaults for teams that want SSH, admin panels, and private services to disappear until authorization is intentional.
Comunicazione SPA efficiente
Send fwknop-compatible single-packet authorization without TCP handshake overhead, with strong stealth.
AES/GPG + HMAC
Integrated SHA256 integrity checks ensure commands are authentic and untampered.
Stealth totale delle porte
Default DROP behavior makes services appear unreachable to scanners.
Resistenza agli attacchi replay
Time-window validation plus integrity checks quickly invalidates old packets.
Tutorial PortGuard
A cleaner fwknop-compatible client for every device.
PortGuard Client supports the fwknop SPA protocol. Profiles, one-tap SPA, QR import, encrypted export, and activation stay compatible with fwknopd and PortGuard Server workflows.
Come funziona
Flusso di sicurezza
PortGuard runs at the firewall edge of protected servers. It continuously inspects network traffic for authorization packets without exposing service handshakes externally.
Genera pacchetto di autorizzazione
The client uses keys and a timestamp to generate an encrypted single packet.
Consegna senza handshake
The packet is sent via UDP and similar methods, making handshake-based probing ineffective.
Apertura dinamica
After validation, the server temporarily allows the source IP and then automatically removes the rule.
Scenari d'uso
Operazioni remote SSH
Protect port 22 and make it visible only briefly after an admin sends SPA.
Sicurezza multi-cloud
Unified access control across AWS/Azure and more to reduce exposure.
Gestione dispositivi IoT
Protect IoT control interfaces and avoid direct public exposure.
Automazione ACL
Combine scripts and rule cycles to automate temporary authorization.
Download e installazione
Supporta client multipiattaforma e pacchetti server
Server Packages
Install PortGuard Server on Debian, Ubuntu, Rocky, CentOS, and OpenWrt
Use the quick installer for supported Linux servers, or download the latest package generated from the open-source GitHub Actions release pipeline.
Quick Install
One command server setup
curl -fsSL https://portguard.net/install.sh | sudo bash
The script detects the operating system, selects the matching package from the GitHub release manifest, verifies SHA256, installs dependencies, and leaves fwknopd ready for configuration export to PortGuard Client.
Open Source Release
Packages synced from GitHub
These packages are built automatically by GitHub Actions from the public PortGuard server source code.
| System | Version | Architecture | Package | Scaricamento |
|---|---|---|---|---|
| Loading packages from GitHub release... | ||||
Related Products
Product
OpenAT
Secure, time-locked data storage powered by drand's mathematical certainty. Encrypt your future today without a central authority.
Visit website
Product
Lockmem
End-to-end encrypted personal media vault for your NAS. Privacy-first management for your self-hosted infrastructure.
Visit websiteFAQ e casi d'uso
Ultimo aggiornamento:
What is the relationship between PortGuard and fwknop?
PortGuard is built around the fwknop SPA protocol. PortGuard Client is a cross-platform client that sends fwknop-compatible SPA packets, while PortGuard Server is a modified server based on the upstream fwknop project. Compared with traditional sequence-based port knocking, this single encrypted packet model is faster, stealthier, and resistant to replay attacks.
Posso generare un profilo e utilizzare un colpo per consentire a un IP specifico di accedere a ogni porta del servizio?
SÌ. Configurare la stanza di accesso al server con OPEN_PORTS ANY e utilizzare un profilo client con ACCESS ANY. Il profilo può essere generato e importato una volta, quindi riutilizzato. Ogni colpo valido crea una regola IP di origine temporanea che consente all'IP selezionato da ALLOW_IP di raggiungere tutte le porte di servizio TCP e UDP fino alla scadenza di FW_TIMEOUT. Dopo la scadenza, inviare un nuovo colpo. Questa è una modalità con privilegi elevati: utilizza un timeout breve, proteggi il profilo e le chiavi e ricorda che i firewall cloud upstream, le regole del router e l'autenticazione del servizio continuano a essere applicati.
Come si confronta fwknop con tnock?
Entrambi puntano a nascondere le porte di rete, ma fwknop è una soluzione SPA più avanzata. tnock e i daemon simili basati su sequenze rilevano uno schema di tentativi di connessione su più porte chiuse, richiedendo più tempo ed essendo vulnerabili al replay. fwknop risolve con un singolo payload firmato crittograficamente e con timestamp. Vantaggi: sicurezza molto più alta, resistenza al replay e integrazione fluida con firewall moderni.
Come posso rendere il mio sito o servizio privato accessibile solo a persone specifiche?
By default, PortGuard Server, modified from fwknop, configures your server's firewall to block all inbound traffic to your service port. The service appears completely offline to the public. When an authorized user needs access, they use PortGuard Client with their unique cryptographic key to send a fwknop-compatible Single Packet Authorization (SPA) packet. Once verified, the server dynamically whitelists their current IP address for a brief period.
Come garantire sicurezza e privacy di un NAS esposto alla rete pubblica senza perdita di dati?
Esporre direttamente il NAS su Internet è molto rischioso per via di botnet e scansioni continue. In genere ci sono due soluzioni sicure:
- Piano 1: Cloudflare Zero Trust (Tunnels) Instrada il traffico NAS attraverso la rete Cloudflare senza aprire porte in ingresso. Pro: facilissimo da configurare, nessun IP pubblico richiesto, livello WAF aggiuntivo. Contro: il traffico passa da terze parti, quindi dipendi dalla policy privacy di Cloudflare; la velocità è spesso limitata dal routing del piano gratuito, poco ideale per streaming di grandi file multimediali.
- Piano 2: IP pubblico self-hosted + Port Knocking fwknop Apri una porta sul router ma la proteggi con fwknop (SPA). La porta resta invisibile su Internet pubblico e si apre solo quando invii un pacchetto di accesso valido firmato crittograficamente. Pro: massima privacy dei dati senza terze parti e velocità hardware massima grazie alla connessione diretta (ottimo per video). Contro: richiede un vero IP pubblico e una configurazione iniziale un po' più tecnica.
fwknop PortGuard rallenta la connessione dopo l'apertura della porta?
No. The fwknop-compatible PortGuard Server only handles the initial authorization packet. Once the firewall rule is dynamically created and your IP is authorized, your connection via SSH, WireGuard, or directly to your NAS operates directly between your client and the server at full line speed.
Trusted by DevOps and Security Experts Worldwide
Official Contact
Need help with PortGuard?
For purchase recovery, activation issues, deployment questions, or security reports, contact the official PortGuard support mailbox.
[email protected]