家庭公网 ip 下的安全措施

This topic created in 1092 days ago, the information mentioned may be changed or developed.

宽带换成电信的也有了公网 ip
路由器拨号下接 esxi 主机虚拟化 debian windows 等直接转发的端口只有 windows 445 的 smb 端口以及为了 nat 设置了 switch 主机为 DMZ 主机
其他流量还是走 frp 腾讯云主要的一台 debian ssh 及 nextcloud 端口和 windows rdp 都在腾讯云上设置了入站 ip 限制(仅公司 ip) 其他范围端口不限制 ip

debian 目前是 root 弱密码 rdp 是强
不太懂求问这样够安全不

Supplement 1 · Jun 21, 2023

非常感谢大家的回复建议因为昨天下午没看消息今天才看到有这么多这里统一回复下
看了大家的建议我准备做如下修改
1 、路由器 ddns 端口转发 ssh debian 加用户禁 root 并强制密钥登陆并给密钥加密限制 ip 来源
2 、路由器 ddns 端口转发 rdp 强密码限制 ip 来源
3 、debian 搭 vpn 暴露端口其他流量都走 vpn
4 、不再用 frp 也能省个服务器的钱
5 、大家都提到 smb 安全性如果转发 smb 端口也存在安全隐患后面我还是走 vpn 过了

debian

端口

rdp

Windows

23 replies • 2023-06-30 12:56:43 +08:00

DonaidTrump

Jun 20, 2023

debian ssh 强制密钥登录就好了，把密码登录关掉。

Leslie5205912

Jun 20, 2023

@tulongtou 谢谢我改下

melsp

Jun 20, 2023 via Android

弱弱问一下 frp 具体干嘛，经常看到，但是没有尝试过，我和楼主挺像的，不过我是 openwrt 做了 esxi 里的主路由，装了 openvpn 再把端口做出去的

Leslie5205912

Jun 20, 2023

@melsp 我是之前没公网 ip 想内网穿透才用的（主要就 smb 备用线路、ssh 和 nextcloud ）现在虽然有公网 ip 了但是感觉用安全点毕竟多一层转发也能限 ip

dullwit

Jun 20, 2023

我采用的方式是自建 ss ，只开放 ss 端口，并且家里局域网采用冷门 ip 段。在手机和工作电脑端配置好代理软件就很方便了。

yqlian

Jun 20, 2023

Debian 新建个用户，可以给予 sudo 权限。然后 SSH 禁止 root 登录，平时用这个用户登录，需要 root 再用 su 。该用户再加上证书，禁止密码登陆，只允许证书登录。Linux 就相对安全了。

neroxps

Jun 20, 2023 via iPhone

话说 445 安全吗？感觉还是套个 vpn 或者 ss 最好吧。

goodryb

Jun 20, 2023

有公网 IP 可以不用 frp 了，我的实践经验：内网有台 Ubuntu 和一台 windows ，以及 nas 上的一堆服务。

windows rdp 端口转发，Ubuntu ssh 端口转发，访问其他服务通过 Ubuntu 走 ssh 端口代理，

ssh 密钥登录，rdp 强密码，smb 建议不要开放到公网

HFX3389

Jun 20, 2023

有公网 IP 适合打洞的话还是不要用 frp 了，frp 适合没办法打洞才做内网穿透的

vitoria

Jun 20, 2023 via iPhone

我的做法是 ssh 强制密钥登陆，rdp 不暴露到公网，通过 rdp 隧道转发访问

vitoria

Jun 20, 2023 via iPhone

@vitoria ssh 隧道，打错了

Jirajine

Jun 20, 2023

不安全。
任何暴露公网的服务都需要长期维护，别管什么协议爆出个漏洞你就得及时更新系统。
所有对外端口全部关闭，只留个 VPN ，相对是最安全的。

NicholasYX

Jun 20, 2023

建议 DDNS+Open VPN

weijancc

Jun 20, 2023

搭个 vpn

huaes

Jun 21, 2023

只要协议没漏洞 20 位以上强密码就可以了，你看着攻击记录不糟心就行

Leslie5205912

Jun 21, 2023 via iPhone

@neroxps 445 也是端口转发的考虑平时会给女朋友看剧用 vpn 会有点麻烦

terrancesiu

Jun 21, 2023

坚持一个一个原则，减少暴漏面，开放的端口越少越好，端口越高位越好，能为端口设置来源 acl 最好。如果前面做不到，就开 VPN 。或者使用 cf 的一些技术处理。我家有台机器需要长期在外使用 RDP ，如果是从单位连接，我直接做了高位端口映射和 ACL 白名单，因为单位是固定 IP 。其他位置都是通过 WG 再连接。

yqlian

Jun 21, 2023

smb 协议用来文件共享么？强烈推荐换成 WebDAV 。有几个好处：
1. 实际上底层是 https ，还可以加 https 证书，所有流量都经过证书加密，别人抓包都看不到你的内容，密码也不会泄漏。
2. 可以用 File Zilla Pro 或者 FTP Rush 等支持 WebDAV 的下载工具。速度比 FTP 还快，宽带可以跑满全速。
3. 可以用 nPlayer 之类支持 WebDAV 的在线播放工具，在外网或者公网可以直接播放视频，带字幕。
4. 可以用本站推荐的 Ever Play 直接播放内网的 MP3 ，支持歌词显示。

Leslie5205912

Jun 21, 2023

@yqlian smb 目前就是用来外网用 nplayer 看剧因为 windows 原生带这个就直接用了当时
谢谢我也准备改 webdav 了好像 win10 有自带的我试试这样端口转发暴露公网应该会更安全点也不用走 vpn 了

neroxps

Jun 22, 2023 via iPhone

话说 445 安全吗？感觉还是套个 vpn 或者 ss 最好吧。
@Leslie5205912 看剧套个 webdav 安全很多。至少只能下载不能上传啊。445 有命令通道。隔三差五会爆 0day

Leslie5205912

Jun 22, 2023 via iPhone

@neroxps 明白了已改 webdav 谢谢!!

qzwmjv

Jun 25, 2023

直接 VPN ，VPN 的成熟度和漏洞挖掘比较充分，那些野生的 docker 服务鬼知道有啥漏洞

yijiangchengming

Jun 30, 2023 via Android

有公网 IP 就不要暴露服务了，我目前使用的是 Wireguard ，暴露的微服务只允许腾讯云 Cdn 回源 IP 访问，这样也能防止运营商探测。