给内网电脑开 SSH 的方案

[xuegy]

家庭使用，请问这个方案的安全性如何？
互联网->路由器端口转发->NAS->Caddy(docker)反向代理->FRP(docker)->电脑 SSH(禁用密码)
还有哪个环节可以加强？

[xpzouying]

直接用 tailscale 即可，

https://www.haha.ai/derper

速度有问题的话，可以自建 DERP 加速。

[AkinoKaedeChan]

当然是 Internet <-> WAF <-> SSH

[e3c78a97e0f8]

我是直接暴露 SSH ，要求密钥＋密码双重验证

[mozhizhu]

我是直接在代理软件上分流内网 IP 走反代家里的节点（国内机器 ss2022 协议）访问，不直接做任何映射；

[totoro625]

实际上 ssh 22 端口 禁止密码登录就已经是最安全的
但是不排除手抖添加了一个简单的用户
所以我的 frp 服务端加了 ip 白名单，电脑上跑一个 ddns ，服务器从 ddns 获取白名单 ip

[luodan]

电脑上装个 tailscale 就完事。

[supermama]

现在有些路由内置了 vpn ，直接用 vpn 就好了。

[7ullSt4ck]

easytier

[anubu]

不认为这么长的一个链条，对安全性有什么帮助，徒增维护复杂度。公网--路由端口转发--内网 SSH 仅密钥认证，这个简单的链条安全性足够了。非要想折腾，fail2ban,MFA 配置一下，稍微增加点复杂度，但对安全性至少是有帮助的。

[mendax2019]

一个强密码足够

[ar16]

SSH 禁止密码登陆就足够安全了

[yulgang]

当然是 互联网 - VPN - SSH 最安全

[Chengnan049]

只有自己访问的最优解：Tailscale