有公网 IP 如何保护自己的 RDP 和 nas 安全

[zyt5876]

目的地	保护措施	风险等级	风险
路由器	强密码,改端口	🌟🌟🌟🌟	应该还是比较大,但是我想不到攻击方式
PVE 的 windows 虚拟机	强密码, 拒绝 Administrator 远程登录 [[#设置账户锁定]] github 的 IPBAN 通过端口映射,域名+非 3989 实现访问	🌟🌟🌟🌟🌟	极度危险,家里所有数据都有风险,因为这个就是我的跳板机
FnOS	强密码,改端口	🌟🌟	只有 FnOS 虚拟机有危险

目前我这三个设备/软件暴露出去了。还有什么值得加固的吗？

华硕路由器自带的 wireguard 来做防护是不可以的，公司不能装 VPN 软件。

fnos 危险系数低是因为里面重要信息不多。那是我 N100 PVE 小主机里面装的 NAS ，我还有一台黑群晖有用时再通过 IOS 快捷指令开机

[hefish]

有公网 ip 就可以装堡垒机啦。Jumpserver 社区版。 咳咳。

[TsubasaHanekaw]

你既然公司使用? 为什么不 ip 白名单?

[vibbow]

限制只允许中国 IP 访问，屏蔽 阿里云/腾讯云/华为云 机房 IP

[sheayone]

有条件上堡垒机，无条件就藏到 SSH Tunnel （仅密钥/证书登录）后面

[HenryHe613]

@coldle RDP 还可以使用 Duo 进行二步验证

[yulon]

懒得转发端口了，移动端的新客户端也不怎么好用，直接用 Parsec

[billccn]

这个属于“Zero-trust access"的范畴，国外每隔一个大厂都有解决方案，Cloudflare 还是免费的。基本上都能实现服务端不用开放任何端口（使用厂家的内网转发软件），客户端可以用软件也可以用浏览器登陆远程桌面和 SSH 。

国内一些云也有的，但不可能免费了。

[wuruxu]

路由器最好使用证书通过 ssh 登录

[godall]

我是用 2 个方式，ssh 的用密钥登录，web 的用 nginx 加域名反向代理方式，这样 IP 地址不能直接访问 web ，而攻击者一般不知道你的域名是什么的。rdp 没啥好办法，因为用 frps 的话说不定 frps 本身也有漏洞

[gearfox]

为啥要直接放公网上，直接 easytier 组个网不就好了

[zhq566]

我是 RDP 和 NAS ，两个都改端口。加证书。复杂用户名和密码。

[DefoliationM]

不暴露，走 tailscale 。

[zyt5876]

@dany663399 看了日志，这个方案正在被爆破，虽然都还没有猜出我的用户名。后来加了 IPBAN(5 次失败封一天)，每天也都还有几十条日志

[guanzhangzhang]

不做端口映射暴漏，而是组网，这样只有组网鉴权后设备才能路由到内网

[zyt5876]

@yinmin 非常感谢你，学到了新知识。会按照你说的去做

[amorphobia]

@zyt5876 不知道你用的是什么端口，我以前是平移到高的 X3389 ，还是很多试图爆破，但改成一个随机的端口后，接近一年没人爆破了

[n0bin0bita]

试试开源的堡垒机，HTTPS+密码+二次认证。

[zyt5876]

@amorphobia 我就是平移到高的 X3389 XD

[n0bin0bita]

用 iPsce 或 L2TP 搭建 VPN windows 自带 VPN 可以直接拨号，不需要安装额外的 VPN 客户端，如果你们只是禁止安装 VPN 客户端而不是禁止所有 VPN 访问的话

[preach]

路由器的公网映射 用的时候打开，不用的时候关闭。
我现在这样