边缘安全与网络
fwknop
厂商/来源:
Cipherdyne
核心功能:
“黑客眼中的黑洞”。比“修改默认 SSH 端口”高级 100 倍的防御手段，让你的设备在公网上彻底隐身。
| 适用场景 | 暴露在公网的高危管理端口保护、对抗 SSH/RDP 零日漏洞 (Zero-Day)、极高安全级别的跳板机 |
| 架构支持 | Linux (配合 iptables/firewalld) |
| 核心机制 | SPA (单包授权 Single Packet Authorization) 设备的 22 端口默认是 DROP（丢弃）。fwknop 监听到这个包并验证签名成功后，会临时为该管理员的 IP 打开 22 端口 10 秒钟。连上后端口再次关闭。 |
| 核心价值 | 降维打击扫描器：如果端口在网络层就被 iptables 丢弃了，那么即便 OpenSSH 爆出了最高危的免密登录漏洞，黑客也无法利用，因为他连网络握手都做不到。 |
| 避坑指南 | [时间漂移与 NAT 穿越] 1. NTP 时间严格同步：为了防止黑客抓包重放攻击 (Replay Attack)，SPA 敲门包里包含了严格的时间戳。如果你的边缘盒子时钟不准（偏差超过几秒），敲门包会被直接拒收，导致你自己也连不上。对策：必须确保边缘设备配置了可靠的 NTP 同步机制，或配备 RTC 时钟电池。 2. 手机端不便：管理员需要专用的 fwknop 客户端（手机端有 App，但年代久远）发送敲门包，使用门槛高于普通的账号密码登录。 |
| 推荐搭配 | [iptables 防火墙][OpenSSH Server] [GPG 密钥对] |
