27、端口敲门与单包授权技术解析及fwknop应用指南

端口敲门与单包授权技术解析及fwknop应用指南

1. 单包授权（SPA）在短连接场景的局限性与应对策略

在默认丢弃规则下，即便最初允许会话建立的规则被移除，连接仍可能保持打开状态。对于长时间运行的 TCP 会话，使用连接跟踪机制来保持已建立的 TCP 连接是一种不错的解决方案。然而，对于像 Web 上传输 HTTP 数据或邮件服务器之间传输 SMTP 数据这样的短连接，单包授权（SPA）就不太适用了。因为用户每点击一个网页链接都生成一个新的 SPA 包会很不方便，而且每个链接都是通过单独的 TCP 连接传输的。

为了解决这个问题，可以考虑以下几种方法：
- 延长客户端 IP 地址的超时时间 ：例如将超时时间延长到一小时，这样在这段时间内就不需要为每个请求生成新的 SPA 包。不过，这会在一定程度上降低 SPA 的有效性，但如果你的 Web 服务器运行着关键应用，且安全是首要考虑因素，这种方法可能是可行的。
- 让 SPA 客户端自动生成 SPA 包 ：可以通过在本地文件系统中缓存加密密码来实现。但一般来说，将加密密码放在文件系统中不是个好主意，因为这可能会削弱 GnuPG 私钥的安全性。
- 将 SPA 客户端与更多客户端程序深度集成 ：以 OpenSSH 为例，可参考相关的集成补丁。

2. 端口敲门和 SPA 是否属于模糊安全技术的探讨

端口敲门和 SPA 是否属于模糊安全技术一直是一个备受争议的话题。当提出一种新的安全技术时，全球的研究人员会对其架构进行审查，其中一个常见的测试就是看该技术是否存在模糊安全问题。