SSH sense obrir el port 22: taula comparativa i ordres reals
Es pot arribar a un servidor per SSH sense obrir el port 22 a internet si els dos extrems són en una malla WireGuard. El servidor només escolta a la seva adreça privada 100.64.x.x i el router no redirigeix res. Així, els escàners d'internet no troben cap servei SSH contra el qual provar contrasenyes o llançar atacs.
Què exposa un port 22 obert en un servidor accessible des d'internet
Un port 22 redirigit al router o obert al tallafoc d'un proveïdor cloud respon a qualsevol que li enviï un paquet. El dimoni SSH ha d'acceptar la connexió TCP, negociar claus i processar l'intent d'accés abans de saber qui hi ha a l'altra banda. Això posa tres coses davant de tot internet: el codi del mateix dimoni, qualsevol compte que encara accepti contrasenyes i la constància que en aquella adreça hi ha un servidor. Canviar el port a un altre número l'amaga dels escanejos ràpids, però no canvia cap de les tres.
Com transporta prialo l'SSH per WireGuard sense ports d'entrada
A prialo, cada dispositiu té el seu propi parell de claus WireGuard i rep una adreça fixa dins de 100.64.0.0/10, l'espai compartit de l'RFC 6598. Per això mai no xoca amb una LAN 192.168.x.x o 10.x.x.x. El client SSH es connecta a aquesta adreça i els paquets viatgen dins del túnel. Al camí de dades no hi ha usuari ni contrasenya: només claus.
Al router no s'obre res. Els dos extrems negocien un camí directe amb STUN (UDP 3478 al pla de control) i perforació de NAT. Quan això falla per un CGNAT d'operador, un NAT simètric o una altra VPN al davant, el trànsit passa per un relé a TCP 4430 que reenvia paquets que no pot desxifrar. En tots dos casos, el servidor només inicia connexions sortints.
Amb el servidor ja a la malla, sshd pot escoltar només a la seva adreça 100.64 i la redirecció del port 22 es pot eliminar. Les claus SSH i l'enduriment habitual de sshd continuen al seu lloc. La malla afegeix una capa al davant, però no substitueix l'autenticació del servidor.
Port 22 obert davant d'SSH per prialo: què queda exposat en cada cas
| Element exposat | Port 22 obert a internet | SSH per prialo amb el port 22 tancat |
|---|---|---|
| Dimoni SSH | Accessible des de qualsevol adreça d'internet | Accessible només des de dispositius donats d'alta a la malla |
| Prova de contrasenyes | Possible contra qualsevol compte que accepti contrasenyes | Sense camí: el pla de dades només usa claus WireGuard |
| Configuració del router | Cal redirecció de port o regla de tallafoc | Cap port d'entrada obert |
| Servidor darrere de CGNAT | Inaccessible sense IP pública | Camí directe o relé a TCP 4430 |
| Qui s'hi pot connectar | Qualsevol que superi l'accés SSH | Dispositius aprovats amb claus vàlides, amb registre d'auditoria |
Donar d'alta un servidor Linux a prialo pas a pas
- Crear una clau d'alta: genera a l'administració una clau d'un sol ús que caduqui. També pot ser reutilitzable, i sempre és revocable.
- Instal·lar el node com a root: executa l'ordre de sota amb l'adreça del servidor, el relé i l'empremta SPKI del teu pla de control.
- Comprovar el canal de control: prialo status ha de mostrar 'Control: tls, pinned' i una IP dins de 100.64.0.0/10. prialo ip imprimeix aquesta adreça.
- Provar des del portàtil: prialo ping <host-or-ip> confirma el camí. Després, connecta't per ssh a l'adreça 100.64.
- Tancar el port 22 cap a internet: elimina la redirecció del router o la regla del tallafoc i limita sshd a l'adreça de la malla.
sudo PRIALO_AUTH_KEY='<enrolment key>' prialo install --server=control.example.com:50051 --relay=control.example.com:4430 --tls-pin=sha256:<fingerprint>Un node rebutja el servidor de control que no presenti la clau fixada, de manera que cap autoritat de certificació no forma part del model de confiança. L'aprovació de dispositius i el registre d'auditoria de cada esdeveniment administratiu deixen constància de qui va afegir el servidor i quan. Per a diversos clients, el flux de treball d'un MSP és a SSH i RDP a servidors de clients.
Què continua exposat quan el pla de control de prialo és autoallotjat
Tancar el port 22 a tots els servidors concentra la superfície pública en una sola màquina. El paquet autoallotjat executa tres contenidors amb Docker Compose: servidor de coordinació, relé i PostgreSQL. Publica gRPC a TCP 50051, STUN a UDP 3478 i el relé a TCP 4430. L'API d'administració del port 8080 no es publica mai a internet i al tauler s'hi arriba amb un túnel SSH. Per això, aquesta màquina necessita el seu propi accés SSH ben protegit. Les claus i la base de dades es queden al servidor del client, i Sinergia no accedeix a aquesta instància. Els ports i les còpies es detallen a el pla de control autoallotjat.
Trànsit de relé i quota per a sessions SSH a prialo
L'SSH per relé consumeix força menys d'1 MB per hora. Una sessió interactiva gairebé no compta davant dels 10 GB mensuals de trànsit per relé del pla Free o dels 100 GB per persona del pla Teams (5 EUR per persona al mes, IVA no inclòs). L'escriptori remot és una altra cosa: de 0,5 a 1 GB per hora. Reenviar una trama costa uns 23 ns i no depèn de quants clients hi hagi connectats. En un relé propi, PRIALO_MESH_QUOTA_BYTES limita el trànsit de sortida per malla i mes. Superat el límit, les trames es descarten i es compten, sense desconnectar ningú.
El que prialo encara no permet per a SSH des de mòbils i Windows
A 17 d'octubre de 2026, les apps de Mac i iPhone són a la cua de revisió d'Apple i encara no es poden descarregar. Android està en preparació, i el client de Windows és una versió primerenca sense instal·lador ni signatura. El client de terminal per a Linux i macOS i el paquet autoallotjat ja funcionen. Un client SSH com Termi1 per a iPhone i iPad només podrà arribar a una adreça 100.64 quan l'app d'iPhone estigui disponible. Els mòbils i Windows tampoc no accepten rutes de subxarxa encara, i només Linux pot fer de router.
Preguntes freqüents
És segur l'SSH per prialo amb el port 22 tancat al router?
L'SSH per prialo amb el port 22 tancat treu el servidor dels escanejos públics i de la prova de contrasenyes des d'internet. Només els dispositius donats d'alta amb claus WireGuard arriben a la seva adreça 100.64. L'autenticació SSH continua aplicant-se, així que convé mantenir l'accés només amb claus.
Funciona l'SSH a través de prialo darrere d'un CGNAT d'operador?
L'SSH a través de prialo funciona darrere d'un CGNAT d'operador. Els nodes intenten primer un camí directe amb STUN i perforació de NAT. Si el CGNAT o un NAT simètric ho impedeixen, el trànsit passa pel relé a TCP 4430, que no el pot desxifrar. El servidor no necessita IP pública.
Quant trànsit de relé consumeix una sessió SSH a prialo?
Una sessió SSH per relé a prialo consumeix força menys d'1 MB per hora. El pla Free inclou 10 GB de trànsit per relé al mes per a fins a 10 dispositius, i Teams n'inclou 100 GB per persona al mes. Si només s'usa per a SSH, rarament s'acosta a aquests límits.
Cal obrir algun port per autoallotjar el pla de control de prialo?
Autoallotjar el pla de control de prialo obliga a publicar en aquell servidor TCP 50051 per a gRPC, UDP 3478 per a STUN i TCP 4430 per al relé. L'API d'administració del port 8080 no es publica i al tauler s'hi entra per túnel SSH. Els nodes no obren cap port d'entrada.
Prefereixes el teu propi servidor? Guia del paquet autoallotjat de prialo