PortGuard: mantenha seus servicos invisiveis para scanners
PortGuard combines a modified fwknop-based server with a cross-platform client that supports the fwknop SPA protocol. Ports stay closed by default and open temporarily only after a valid AES/GPG-signed packet is verified.
Quick Server Install
Installs the latest open-source package built by GitHub Actions from the PortGuard server repository.
curl -fsSL https://portguard.net/install.sh | sudo bash
Modo de exposicao tradicional (Risco)
- ✕Ports remain open all day and are continuously probed by global scanners.
- ✕Exposed services face brute-force attempts and exploit attacks directly.
- ✕Firewall allowlists become complex to maintain and lack dynamic flexibility.
Modo PortGuard (Solucao)
- ✓Negar por padrao: Ports are completely invisible before authorization (stealth).
- ✓Autenticacao SPA: Only specially formatted encrypted single packets can trigger access.
- ✓Acesso dinamico: Temporarily allow only the source IP, then close automatically.
Recursos principais
Recursos centrais de seguranca
Strong defaults for teams that want SSH, admin panels, and private services to disappear until authorization is intentional.
Comunicacao SPA eficiente
Send fwknop-compatible single-packet authorization without TCP handshake overhead, with strong stealth.
AES/GPG + HMAC
Integrated SHA256 integrity checks ensure commands are authentic and untampered.
Sigilo total de portas
Default DROP behavior makes services appear unreachable to scanners.
Resistencia a ataques de replay
Time-window validation plus integrity checks quickly invalidates old packets.
Tutorial do PortGuard
A cleaner fwknop-compatible client for every device.
PortGuard Client supports the fwknop SPA protocol. Profiles, one-tap SPA, QR import, encrypted export, and activation stay compatible with fwknopd and PortGuard Server workflows.
Como funciona
Fluxo de seguranca
PortGuard runs at the firewall edge of protected servers. It continuously inspects network traffic for authorization packets without exposing service handshakes externally.
Gerar pacote de autorizacao
The client uses keys and a timestamp to generate an encrypted single packet.
Entrega sem handshake
The packet is sent via UDP and similar methods, making handshake-based probing ineffective.
Abertura dinamica
After validation, the server temporarily allows the source IP and then automatically removes the rule.
Casos de uso
Operacoes remotas SSH
Protect port 22 and make it visible only briefly after an admin sends SPA.
Seguranca multicloud
Unified access control across AWS/Azure and more to reduce exposure.
Gerenciamento de dispositivos IoT
Protect IoT control interfaces and avoid direct public exposure.
Automacao de ACL
Combine scripts and rule cycles to automate temporary authorization.
Downloads e instalacao
Suporta clientes multiplataforma e pacotes de servidor
Server Packages
Install PortGuard Server on Debian, Ubuntu, Rocky, CentOS, and OpenWrt
Use the quick installer for supported Linux servers, or download the latest package generated from the open-source GitHub Actions release pipeline.
Quick Install
One command server setup
curl -fsSL https://portguard.net/install.sh | sudo bash
The script detects the operating system, selects the matching package from the GitHub release manifest, verifies SHA256, installs dependencies, and leaves fwknopd ready for configuration export to PortGuard Client.
Open Source Release
Packages synced from GitHub
These packages are built automatically by GitHub Actions from the public PortGuard server source code.
| System | Version | Architecture | Package | Download |
|---|---|---|---|---|
| Loading packages from GitHub release... | ||||
Related Products
Product
OpenAT
Secure, time-locked data storage powered by drand's mathematical certainty. Encrypt your future today without a central authority.
Visit website
Product
Lockmem
End-to-end encrypted personal media vault for your NAS. Privacy-first management for your self-hosted infrastructure.
Visit websiteFAQ e casos de uso
Última atualização:
What is the relationship between PortGuard and fwknop?
PortGuard is built around the fwknop SPA protocol. PortGuard Client is a cross-platform client that sends fwknop-compatible SPA packets, while PortGuard Server is a modified server based on the upstream fwknop project. Compared with traditional sequence-based port knocking, this single encrypted packet model is faster, stealthier, and resistant to replay attacks.
Posso gerar um perfil e usar uma batida para permitir que um IP específico acesse cada porta de serviço?
Sim. Configure a sub-rotina de acesso do servidor com OPEN_PORTS ANY e use um perfil do cliente com ACCESS ANY. O perfil pode ser gerado e importado uma vez e depois reutilizado. Cada batida válida cria uma regra de IP de origem temporária que permite que o IP selecionado por ALLOW_IP alcance todas as portas de serviço TCP e UDP até que FW_TIMEOUT expire. Após o vencimento, envie uma nova batida. Este é um modo de alto privilégio: use um tempo limite curto, proteja o perfil e as chaves e lembre-se de que firewalls de nuvem upstream, regras de roteador e autenticação de serviço ainda se aplicam.
Como o fwknop se compara ao tnock?
Ambos buscam ocultar portas de rede, mas o fwknop é uma solução SPA mais avançada. O tnock e daemons semelhantes baseados em sequência detectam um padrão específico de tentativas de conexão em várias portas fechadas, o que é mais lento e vulnerável a replay. O fwknop resolve isso com um único payload assinado criptograficamente e com timestamp. Vantagens: segurança significativamente maior, resistência a replay e integração suave com firewalls modernos.
Como posso deixar meu site ou serviço privado acessível apenas para pessoas específicas?
By default, PortGuard Server, modified from fwknop, configures your server's firewall to block all inbound traffic to your service port. The service appears completely offline to the public. When an authorized user needs access, they use PortGuard Client with their unique cryptographic key to send a fwknop-compatible Single Packet Authorization (SPA) packet. Once verified, the server dynamically whitelists their current IP address for a brief period.
Como garantir segurança e privacidade de um NAS exposto à rede pública sem vazamento de dados?
Expor seu NAS diretamente à internet é muito arriscado devido a botnets e varreduras constantes. Em geral, há duas soluções seguras:
- Plano 1: Cloudflare Zero Trust (Tunnels) Roteia o tráfego do NAS pela rede da Cloudflare sem abrir portas de entrada. Prós: muito fácil de configurar, não exige IP público e adiciona camada extra de WAF. Contras: o tráfego passa por servidor de terceiros, então você depende da política de privacidade da Cloudflare; a velocidade costuma ser limitada no roteamento do plano grátis, pouco ideal para streaming de mídia grande.
- Plano 2: IP público próprio + Port Knocking com fwknop Você abre uma porta no roteador, mas protege com fwknop (SPA). A porta permanece invisível na internet pública e só abre quando você envia um pacote de acesso válido assinado criptograficamente. Prós: máxima privacidade de dados sem terceiros e velocidade máxima de hardware com conexão direta (ótimo para vídeo). Contras: exige IP público real e uma configuração inicial um pouco mais técnica.
O fwknop PortGuard reduz minha velocidade depois que a porta é aberta?
No. The fwknop-compatible PortGuard Server only handles the initial authorization packet. Once the firewall rule is dynamically created and your IP is authorized, your connection via SSH, WireGuard, or directly to your NAS operates directly between your client and the server at full line speed.
Trusted by DevOps and Security Experts Worldwide
Official Contact
Need help with PortGuard?
For purchase recovery, activation issues, deployment questions, or security reports, contact the official PortGuard support mailbox.
[email protected]