Вопрос про port-knocking

[GreatFoolDad]

Добрый день

Появилась насущная необходимость высунуть 1с-ный сервер (веб сервер на Ubuntu сервере 18.04) в интернет.

Чешу голову (уже и волос не осталось почти - все вычесал) - чем и как его получше защитить.
Удаленные клиенты непонятно с каких адресов будут заходить, весьма возможно, что с каких-нить даже клиентских пулов всяких билайнов и прочих.
Хочу в качестве первого элемента защиты сделать порт-нокинг (port-knocking). То есть, чтобы сервер просто так не торчал в инете, а только после комбинации из пингов и прочего, что подскажет фантазия, да еще с ежедневным обновлением этих комбинаций.

Собственно, вопрос в студию - скажите, насколько эта технология - port-knocking - юзабельна именно в плане безопасности? Если устарела, то чем заменить?

[F12]

в качестве первого элемента защиты сделать порт-нокинг (port-knocking)

- а просто использовать VPN, не вариант?..

[AlexDem]

Не надо мудрить, сделай через VPN.

[F12]

- да и вообще,port knocking, далеко не самый безопасный способ получить доступ...

[GreatFoolDad]

Port-knocking не является заменой для ВПН. Скорее, они друг друга могут дополнять
Пользователь добавил сообщение 28 Августа 2022, 21:49:17:

- да и вообще,port knocking, далеко не самый безопасный способ получить доступ...

Вот я и спрашиваю - какой безопаснее? Из общедоступных, разумеется

[F12]

Вот я и спрашиваю ...

- о какой безопасности можно вообще говорить, когда в момент доступа клиента к серверу,  все кто находятся на одном с ним IP (например, когда клиент находится в публичной сети, или за NAT провайдера) могут без проблем тоже получить на какое-то время доступ к серверу?

       ... кроме того, если задаться целью, то слушая определенные порты, можно достаточно быстро определить нужную последовательность "ноков" и затем воспользоваться ею для получения доступа к серверу с любого другого IP, именно из-за этого port knocking и не рекомендуется для использования на постоянной основе при организации ограниченного доступа к сетевым ресурсам   

[AnrDaemon]

чем и как его получше защитить.

Вариант первый, простой и надёжный: клиентские сертификаты.
Вариант второй, простой и надёжный: OpenVPN, по сертификатам проще с точки зрения минимизации головняка, но можно и без.

[GreatFoolDad]

Спасибо всем отвечавшим.
Я нашел ответ на свой вопрос.