家庭服务器公网服务全新解决思路

[sadfQED2]

首先，我这里说的公网服务包括 http,ftp,smb 等等。

目前来说，这些服务直接暴露到公网，安全问题都是小事，更关键的是 v2er 都提醒又被断网的风险。因此对应的办法:

1，只对外开放一个微屁嗯，需要访问服务的时候都通过微屁嗯连回家里的网络使用。缺点:需要安装微屁嗯客户端，而且这类客户端基本上都被墙了，在一些公共电脑上装一次客户端就得搞半天

2，通过代理服务器，比如 frc ngrok 花生壳这类，原理是客户端和代理服务器通讯，代理服务器通过 tcp 长连接和你家里服务器通讯。这样你家的服务器没有开放任何端口，但是！这样缺点也很明显，经过代理，速度太慢了。我家可是千兆宽带，经过代理能跑到 10 兆就很不错了。

所以，最近我有了一个全新的解决思路，首先我在路由器上面禁掉所有外网 ip 访问，然后，我家里路由器和我一台公网服务器保持通讯，当我需要访问家里服务器的时候，我先请求公网服务器，公网服务器发送消息给家里路由器，然后路由器仅对我当前 ip 开放访问权限。这时，我就可以直接访问我家的服务器了，而且中间没有代理，保证速度。另外，由于家里路由器平时是关闭所有外网 ip 请求的，这样也就解决了安全性以及被断网的风险。

最后，调研了实现方案，路由器上面可以使用 go 语言开发，控制访问只需要编辑 iptables 的规则即可。

目前方案还没实现，先写个思路出来，各位大佬 review 下看看还有没有什么漏洞？

[sadfQED2]

@stille 那当你某个时候需要用公用电脑登录的时候呢

[GreatHumorist]

人楼主的意思其实是白名单机制吧……

[cest]

不就是 ssh port knock
监听特定 port
然後开放 ssh port 给特定 ip

[Muniesa]

@jiangzm mac 地址在公网获取不了吧

[whileFalse]

部署一个 shadow server，然后用比如 surge 之类能自己写规则的客户端搞定

[lsylsy2]

port knocking，安全方面是比较成熟的技术，但无法避免断网风险

[ferock]

@sadfQED2 #20

并不担心

[sadfQED2]

@GreatHumorist 是的，本质就是白名单，但是要想办法如何在任意一台公共电脑上修改白名单

[coolcoffee]

vpn 客户端先下载下来放到某个国内网盘不可以吗？拨号之后走的内网访问，比直接在公网上白名单安全多了，而且还不用一个个设置转发规则。

另外，你设置白名单 ip 是属于掩耳盗铃的，电信还是能知道你在家宽上搭建网站。

[cjpjxjx]

类似于。。。进京证？

[sadfQED2]

@coolcoffee iptables 上面我把请求丢掉还能知道我达了 web 服务？

[Semidio]

家里 ss-server 开在不常见端口，客户端内网网段走 ss 即可

[yujiang]

蒲公英，他家 VPN 大流量走的是 p2p

[0gys]

双向 ddns,哈哈

[silencefly]

DDNS

[devlnt]

蒲公英或者直接 ipsec 的 vpn 。移动端上系统自带客户端，完美解决

[dullwit]

我的方案是 ddns 加 wireguard （只开一个 peer ），wg 配置文件存云盘，换设备也方便导入

[mxT52CRuqR6o5]

ddns+v2ray，v2ray 的路由规则配置能力挺强的，访问不同服务器可以自动选择不同的线路

[kennylam777]

IPSec 的 IKEv2 或 IKE v1 xAuth 都不用安裝 app

[yzwduck]

漏洞？很多。
这个方案必须完全信任运营商：1 ）不会被动嗅探你的 http 流量； 2 ）不会伪造 IP 主动探测你的服务； 3 ）不会乱改接入端的 IP 地址。
否则：1 ）以违背用户协议之名，禁掉你的网络； 2 ）伪造你的身份，访问你的网络； 3 ）让你连不通自己的网络。