使用VPN (Wireguard)通过SSH登录远程服务器。是万无一失吗？

Question

我有一个远程服务器，我通过ssh登录到该服务器。在这个服务器上，我设置了一个Wireguard，我的主机连接到这个VPN上。ssh服务器(ssh守护进程)侦听私有IP接口(服务器的Wireguard接口)。在我看来，进入我的远程服务器(甚至尝试)的唯一方法是让我的Wireguard连接文件(包括共享密码和私有密码)+拥有我的私有SSH密钥+(我认为，如果攻击者要达到这个目的，这是很容易的部分)知道私有接口的IP。

哦，还有另一个细节，我只允许私有VPN IP地址通过防火墙到达SSH端口。

所以我想知道-这个方法是万无一失的还是我可能遗漏了什么？在我看来，即使我允许空密码，如果没有我与服务器的Wireguard连接，攻击者仍然无法进入我的远程服务器。

如果我的主机的Wireguard conf和SSH私钥没有被破坏(我认为只有SSH密钥上的密码才能阻止攻击者)

谢谢!

Answer 1

从某种意义上说，只有当某人拥有您的凭据或Wireguard中存在漏洞时，才能获得访问权限，这是万无一失的。但在同样的意义上，公开SSH服务器是万无一失的。这个设置最吸引人的地方可能是Wireguard暴露了比SSH更小的攻击面。

这是否是一个好的架构取决于您的确切目标和您的威胁模型。虽然必须通过两个独立的系统(Wireguard和SSH)登录并减少攻击表面可以提高安全性，但它也会降低安全性方面，例如可用性:现在有两个关键系统而不是一个，如果配置错误，就会拒绝您的访问。对于客户端系统上的凭据可能受到危害的威胁，您正确地分析了添加Wireguard不会增加安全性。

不应假定攻击者需要知道特定的IP地址才能增加任何安全性(参见:安全性由默默无闻，Kerckhoff的原则)。