DevOps · Cloudflare · Zero Trust
Zero Trust fürs Homelab: Cloudflare Tunnel und Access statt offener Dashboards
Ein internes Dashboard war über eine Subdomain öffentlich erreichbar. So habe ich es mit Cloudflare Tunnel, Cloudflare Access und Tailscale abgesichert.
Ausgangslage
In meinem Homelab (Proxmox VE mit LXC-Containern) läuft ein Dashboard, das alle Dienste auflistet. Es war über eine Subdomain öffentlich erreichbar – ohne Login. Genau so etwas ist die typische Lücke bei Self-Hosting: Der Dienst ist praktisch, aber jeder, der die Adresse errät oder findet, sieht die Übersicht.
Die Lösung in vier Bausteinen
- Cloudflare Tunnel als einziger Eingang. Der Tunnel baut eine ausgehende Verbindung zu Cloudflare auf. Am Router ist deshalb kein Port-Forwarding nötig, es gibt keine offenen Ports nach außen.
- Cloudflare Access als Zero-Trust-Schicht. Vor dem Dashboard sitzt eine Access-Policy: Nur meine E-Mail-Adresse darf rein, die Anmeldung läuft per One-Time-PIN.
- Tailscale für alles Private. Dienste, die nie öffentlich sein sollen (z. B. Foto-Verwaltung), erreiche ich ausschließlich über das WireGuard-basierte Tailscale-Netz.
- Regelmäßig prüfen, was veröffentlicht ist. Der eigentliche Auslöser war eine vergessene Veröffentlichung.
Wie ich prüfe, was wirklich öffentlich ist
Die wichtigste Lehre: nicht nur der Dienst zählt, sondern auch, was DNS und Tunnel veröffentlichen. Meine Checkliste:
- Im Cloudflare-Dashboard unter Zero Trust → Tunnels: Welche Public Hostnames sind eingetragen?
- Unter Access → Applications: Hat jeder öffentliche Hostname eine Policy?
- In den DNS-Einträgen: Gibt es alte CNAME-Einträge auf Dienste, die es nicht mehr gibt?
cloudflared tunnel list
cloudflared tunnel info <tunnel-name>Merksatz: Zero Trust heißt nicht, ein Tool einzuschalten, sondern für jeden Zugang eine bewusste Entscheidung zu haben: öffentlich mit Login, privat über Tailscale – oder gar nicht erreichbar.
Ergebnis
Das Dashboard ist nur noch nach Login erreichbar, am Router ist kein Port offen, und private Dienste liegen komplett im Tailscale-Netz. Ein Dashboard weniger, das die interne Infrastruktur verrät.
Weiterlesen
Zugriff · Sicherheit · Backup
Home-Server sicher erreichen und sichern: Tailscale, Cloudflare Tunnel, vzdump
Ein Home-Server ist nur so gut wie sein Zugang und seine Backups. Mein Prinzip: kein Port-Forwarding, jeder Zugang eine bewusste Entscheidung, jeden Tag ein Backup.
Self-Hosting · Homelab · Datenschutz
Raus aus der Cloud: Eigener Home-Server statt Google, iCloud & Co.
Ich betreibe zu Hause einen Proxmox-Server mit 15+ Diensten. Hier steht, welche Cloud-Dienste er bei mir ersetzt, was das kostet – an Zeit – und wo man besser bei der Cloud bleibt.
Proxmox · LXC · Homelab
Proxmox & LXC im Homelab: Welche Container ich betreibe und warum
Vier Container, vier Rollen: So ist mein Home-Server aufgebaut, welche Programme wo laufen und wie ich den Speicher verteilt habe.
DevOps · CI/CD · Next.js
CI/CD für Next.js 15 auf dem VPS: GitHub Actions, PM2-Reload und Caddy
Manuelle Deployments waren langsam und fehleranfällig. Heute reicht ein git push – ohne Ausfallzeit und ohne PaaS.
Mehr aus der Praxis
Weitere Notizen, Case Studies und Projekte findest du auf der Startseite.
Alle Notizen Case Study MeisterMeld Case Study PflegeOasis Case Study Kernbohr-Expert Zur Startseite
Kommentare
Diskutiere mit: Die Kommentare laufen über GitHub Discussions (Anmeldung mit GitHub-Konto). Erst mit Klick werden Inhalte von GitHub/giscus geladen. Datenschutz