27、端口敲门与单包授权技术解析及fwknop应用指南

端口敲门与单包授权技术解析及fwknop应用指南

1. 单包授权（SPA）在短连接场景的局限与应对策略

在默认丢弃规则下，即便最初允许会话建立的规则被移除，连接仍可能保持打开状态。对于长时间运行的 TCP 会话，使用连接跟踪机制来保持已建立的 TCP 连接是一种不错的解决方案。然而，对于短连接，如 Web 上传输 HTTP 数据或邮件服务器之间传输 SMTP 数据的连接，SPA 技术存在一定局限性。

用户每点击一个网页链接都生成一个新的 SPA 数据包会很不方便，而且每个链接都是通过单独的 TCP 连接传输的，这使得问题更加复杂。总体而言，SPA 不太适合保护这类服务。

为解决这个问题，有以下几种策略：
-延长客户端 IP 地址的超时时间：例如将超时时间延长至一小时，这样在这段时间内无需新的 SPA 数据包。不过，这会在一定程度上降低 SPA 的有效性，但如果 Web 服务器运行着关键应用且安全是首要考虑因素，这种做法可能是合理的。
-缓存加密密码自动生成 SPA 数据包：让 SPA 客户端通过在本地文件系统中缓存加密密码来自动生成 SPA 数据包。但一般来说，将加密密码放在文件系统中不是个好主意，因为这可能会削弱 GnuPG 私钥的安全性。
-加强 SPA 客户端与客户端程序的集成：尽可能将 SPA 客户端与更多客户端程序紧密集成。

2. 端口敲门和 SPA 是否属于模糊安全技术的探讨

端口敲门或 SPA 是否属于模糊安全技术一直是个热门的争议话题。当提出一种新的安全技术时，全球的