Kebenaran Paket Tunggal
PortGuard
PortGuard menawarkan teknologi kebenaran paket tunggal yang mantap untuk melindungi rangkaian anda daripada akses tanpa kebenaran, termasuk ancaman pengimbasan port.
Muat turun Sekarang, GUI Berbilang Platform
GUI Berbilang Platform
Muat turun untuk Windows
fwknopc_2_6_11_x64-setup.exe
Muat turun untuk Macos
fwknopc_2_6_11_x64.pkg
Muat turun untuk Android
fwknopc_2_6_11_x64.apk
Pelayan Fwknop untuk CentOS7
| Nama Fail | Terakhir Diubah Suai | MD5 |
|---|---|---|
| fwknop-server-2.6.11-1.el7.x86_64.rpm | 2025-07-29 |
1a375f89c2aa16935ddce164ad16adad
|
| libfko-3.0.0-1.x86_64.rpm | 2025-07-29 |
7f720f1f444f1634bab7cadbbfec40b2
|
1. Mengapa Saya Membangunkan PortGuard?
Saya mula-mula belajar tentang konsep Kebenaran Paket Tunggal (SPA) semasa perbualan santai dengan rakan sekerja di tempat kerja. Sebelum itu, saya tidak mempunyai pengetahuan tentang port knocking atau SPA. Kebetulan syarikat kami memerlukan penyelesaian mengetuk pelabuhan, dan selepas meneliti dan meneroka bahan yang berkaitan, saya menemui fwknop. Konsep fwknop benar-benar mengagumkan—untuk perkhidmatan yang hanya perlu diakses oleh beberapa orang terpilih, fwknop ialah penyelesaian yang sangat baik. Kami mempertimbangkan untuk membangunkan alat kami sendiri, tetapi fwknop jauh lebih matang. Walau bagaimanapun, fwknop mempunyai kelemahannya: ia adalah kompleks, dengan keluk pembelajaran yang curam untuk pemasangan dan penggunaan, dan ia tidak mempunyai aplikasi pelanggan khusus. Ini membawa kepada penciptaan PortGuard. Matlamat PortGuard adalah untuk menyokong protokol pengetuk port arus perdana seperti fwknop dan, pada masa hadapan, tnok, sambil menyediakan klien merentas platform. Dibina sebagai lanjutan daripada fwknop dan tnok, PortGuard bertujuan untuk menjadikan teknologi SPA lebih mesra pengguna dan boleh diakses.
2. Platform Disokong Pelanggan PortGuard
Pada masa ini, PortGuard menyokong platform berikut:
- iOS
- Android
- Windows
- macOS
3. Kes Penggunaan PortGuard
Fungsi teras PortGuard adalah untuk meningkatkan keselamatan rangkaian dengan menyembunyikan port perkhidmatan (lalai ditutup), dan ia sesuai untuk senario berikut:
3.1 Lindungi Perkhidmatan Capaian Jauh (cth. SSH)
Senario: Pentadbir perlu mengakses perkhidmatan SSH dengan selamat dari lokasi yang berbeza (cth., rumah, kedai kopi, rangkaian mudah alih) tanpa mendedahkan port SSH kepada rangkaian awam.
Pelaksanaan: Gunakan fwknop atau tnok, pelanggan menghantar paket data SPA atau paket TOTP knock, dan pelayan mengesahkan dan membuka port SSH buat sementara waktu (lalai 22) selepas pengesahan.
Kelebihan: Cegah Nmap dan alat pengimbasan port lain daripada menemui perkhidmatan, mengurangkan risiko kerentanan sifar hari dieksploitasi.
Contoh: Ahli pasukan jauh menggunakan klien fwknop untuk menghantar paket data SPA pada peranti Windows atau Android, mengakses pelayan dalaman syarikat dengan selamat.
3.2 Perlindungan Perkhidmatan dalam Persekitaran Awan
Senario: Perkhidmatan dalaman (cth., pangkalan data, pelayan web) dalam AWS, Azure dan platform awan lain perlu diakses melalui rangkaian awam, tetapi port perlu dielakkan daripada terdedah secara langsung.
Pelaksanaan: PortGuard berintegrasi dengan NAT untuk membolehkan pelanggan luaran mengakses perkhidmatan dalaman dalam ruang alamat RFC 1918 melalui SPA.
Kelebihan: Menyokong topologi rangkaian yang kompleks, sesuai untuk awan hibrid dan persekitaran berbilang penyewa.
Contoh: Jalankan fwknopd pada kejadian AWS EC2, buka port MySQL (3306) secara dinamik untuk akses pengguna yang dibenarkan.
3.3 Bertahan Terhadap Pengimbasan Pelabuhan dan Brute Force
Senario: Pelayan menghadapi pengimbasan port (cth., Nmap) atau serangan brute force dan perlu menyembunyikan port perkhidmatan untuk mengurangkan permukaan serangan.
Pelaksanaan: PortGuard mengekalkan dasar penghapusan tembok api lalai, hanya membuka port selepas menerima paket data SPA yang sah.
Kelebihan: Walaupun terdapat kelemahan yang tidak ditambal, penyerang tidak dapat menemui port perkhidmatan.
Contoh: Cegah kekerasan SSH, fwknop hanya membuka port selepas mengesahkan HMAC.
3.4 Menyokong Perlindungan Pelbagai Perkhidmatan
Senario: Perusahaan perlu melindungi berbilang perkhidmatan (cth., SSH, RDP, VPN, pangkalan data) tetapi tidak mahu semua port dibuka sepanjang masa.
Pelaksanaan: fwknop menyokong mentakrifkan berbilang perkhidmatan dan port dalam access.conf, dan pelanggan boleh menentukan protokol dan port sasaran.
Kelebihan: Konfigurasi peraturan yang fleksibel, menyokong tamat masa tersuai dan strategi buka port.
Contoh: Konfigurasikan fwknop untuk melindungi kedua-dua SSH (tcp/22) dan OpenVPN (udp/1194).
3.5 Keselamatan Peranti Terbenam atau IoT
Senario: Peranti IoT atau sistem terbenam memerlukan pengurusan jauh, tetapi sumber peranti adalah terhad dan terdedah kepada serangan.
Pelaksanaan: Jalankan fwknopd atau tnokd ringan pada peranti yang dikekang sumber, kawal akses melalui SPA atau TOTP.
Kelebihan: Penggunaan sumber yang rendah, sesuai untuk peranti kecil.
Contoh: Lindungi perkhidmatan Web yang dijalankan pada Raspberry Pi.
3.6 Penyepaduan Peranti Pihak Ketiga
Senario: Perlu menyepadukan dengan peranti yang tidak menyokong fwknop asli (cth., penghala Cisco), mengawal peraturan firewall.
Pelaksanaan: Ciri perintah buka/tutup (kitaran buka/tutup) bagi fwknop membenarkan pelaksanaan skrip tersuai untuk mengubah suai ACL peranti pihak ketiga secara dinamik.
Kelebihan: Boleh dikembangkan, menyokong peranti firewall bukan standard.
Contoh: Jalankan fwknopd pada pelayan Linux, kemas kini ACL penghala Cisco melalui SSH.
3.7 Butiran Teknikal
- fwknop menyokong penentuan tamat masa (CMD_CYCLE_TIMER), port terbuka ditutup secara automatik, mengurangkan masa pendedahan.
- Boleh digabungkan dengan VPN (cth., WireGuard, OpenVPN) untuk membina rangkaian peribadi yang selamat.
- Menyokong penghuraian pengepala X-Forwarded-For, sesuai untuk SPA dalam persekitaran HTTP.
4. Sejauh manakah PortGuard selamat?
Keselamatan PortGuard bergantung terutamanya pada mekanisme kebenaran paket tunggal (SPA) fwknop, digabungkan dengan penyulitan, pengesahan dan penyepaduan tembok api, memberikan perlindungan berbilang lapisan. Berikut adalah analisis terperinci keselamatan:
4.1 Penyulitan dan Pengesahan
Penyulitan: fwknop menyokong penyulitan simetri Rijndael (AES) atau penyulitan asimetri GnuPG, dan kandungan paket data SPA tidak boleh dihuraikan secara langsung.
Pengesahan: Gunakan HMAC-SHA256 (lalai) atau versi yang lebih tinggi untuk pengesahan paket data, memastikan integriti data dan kepercayaan sumber.
Keselamatan: Cegah serangan man-in-the-middle (MITM) dan main semula, HMAC digunakan selepas penyulitan, menentang serangan oracle padding mod CBC (cth., serangan Vaudenay).
Had: Penyulitan simetri memerlukan kunci dikongsi klien dan pelayan, pengurusan kunci yang tidak betul boleh menyebabkan kebocoran; Mod GnuPG memerlukan mengekalkan cincin kekunci,
4.2 Menghalang Pengimbasan Port
Mekanisme: PortGuard menggunakan dasar penghapusan tembok api lalai, dan port perkhidmatan tidak kelihatan apabila tidak dibenarkan, jadi Nmap dan alat lain tidak dapat mengesannya.
Keselamatan: Mengurangkan permukaan serangan dengan ketara, walaupun terdapat kelemahan sifar hari, penyerang tidak dapat mengesan port perkhidmatan.
Had: Jika paket data ketukan dihidu (ketukan port tradisional lebih terdedah kepada ini), penyerang boleh cuba memainkan semula (SPA telah menyelesaikan masalah ini melalui HMAC).
4.3 Menentang Keganasan
Mekanisme: Paket data SPA perlu disulitkan dengan betul dan disahkan HMAC, kekerasan hampir mustahil (paket data dengan HMAC yang gagal dibuang terus).
Keselamatan: Berbanding dengan pengetukan port tradisional, reka bentuk paket tunggal dan mekanisme penyulitan SPA dengan ketara meningkatkan keupayaan untuk menentang kekerasan.
Had: Ralat konfigurasi (cth., kekunci lemah atau HMAC dilumpuhkan) boleh mengurangkan keselamatan.
✨ Ciri-ciri
Orang ramai ❤️ Fwknop
John
Michael
James
David
Olivia
William