Suosittelisin että ajatte omaa VPN:ää, esim. WireGuardilla. Toisaalta IPv6 kiinteillä osoittelilla toimii "melkein VPN:nä", jos ja kun on kiinteät IPv6 osoitteet käytössä. Sitten voi listata että salli vain tästä rangesta tulevat yhteydet. Tietysti jos protokolla on salaamaton, niin tuohon liittyy vielä ongelmia. SMB:ssä voi kyllä heittää salauksen päälle. Mutta en missään nimessä kyllä exposettaisi IPv6:n yli SMB:tä globaalisti, vaan ehdottomasti vain muutamaan whitelistattuun osoitteeseen / rangeen.
Itsehän en ole koskaan tietenkään moisia virityksiä tehnyt, köh köh. Mutta toi menee vähän siihen harmaaseen sektoriin, että tietoturva ei oo ihan 100%, kun ei ole oma VPN ratkaisu käytössä. Mutta on 99,9% satunnaisten hyökkääjien / skannaajien osalta, jotka eivät näin ollen löydä niitä päätepisteitä, kun eivät suorita hakujaan luotetusta avaruudesta. Tosin onko tuolla sitten väliä, jos tuon range filtterin lisäksi on esim, RDP / TLS / SSH mikä tahansa muu autentikoitu ja salattu protokolla siinä päällä käytössä? Joskus tuntuu jopa hassulta, että pitäisi olla kaksin tai kolminkertainen salaus päällekäin, mitä sillä sitten oikeasti saavutetaan? Btw. toi SSH:n portti-ohjaus toimisi myös teidän tilanteessa. Mut eiks tää oo kuitenkin vähän off topic tähän asiaan. Eli yksi kone teidän verkkoon jossa on IPsec / WireGuard / SSH, mistä sitten ikinä tykkäätkin, ja sen kautta sitten jatkot sisäverkkoon, luoteteuista verkoista ja käyttäjiltä / työasemista. - Tällaisia on tullut tunkattua lukemattomia, ja näin yleensä organisoin myös itse pilvi-infrat jne. Eli on "bastion host" josta sitten liikenne välitetään eteenpäin.
Tämä setuppi löytyy myös operoimistani Tor-palvelimista, koska ne on ihan järjettömän hyökkäyksen edessä, jos ei ole tuollaisia perussuojaus ja kovetus asetuksia tehty. Nyt kukaan ei edes näe mitä hallinta protokollia / tekniikoita on sallittuna ja mistä.