@alsivx Ahah, “VPN?”
In questo caso cambierebbe qualcosa solo se facessi così
chiudi SSH su Internet, lo lasci ascoltare solo dentro la VPN. Fine.

Se invece metti una VPN ma SSH resta esposto, non cambia niente
i bot continuano a bussare uguale, solo che adesso hai anche una VPN da mantenere.

E anche nella versione “fatta bene” ci sono trade-off

devi sempre essere dentro la VPN per entrare

aggiungi un altro pezzo da aggiornare e monitorare

se la VPN ha problemi, ti sei auto-chiuso fuori

sposti la superficie d’attacco da SSH a VPN, non la elimini

Quindi sì, può essere una buona idea, ma è un cambio di architettura, non un cerotto.
Io ho scelto la soluzione più semplice e robusta per il mio scenario, chiavi cifrate, password off, accesso blindato. Ai bot resta solo il rumore di fondo.

Sì, intendo proprio la prima. Forse però ho dato per scontata una cosa: sei in casa o su VPS? Perché io, avendo tutto dietro al router, apro solo le porte dei servizi che voglio davvero esporre, che, tra l'altro, sono dietro reverse proxy, così da ridurle ancora. Al resto, amministrazione e intranet, accedo da VPN e se non va, quando sono a casa mi collego in locale.

Comunque usando Wireguard dovrebbe essere veloce e sicuro, potendo anche usare una chiave privata invece della password.