Доступ · Безопасность · Бэкап
Безопасный доступ и бэкапы домашнего сервера: Tailscale, Cloudflare Tunnel, vzdump
Домашний сервер хорош ровно настолько, насколько хороши его доступ и бэкапы. Мой принцип: никакого проброса портов, каждый доступ — осознанное решение, бэкап каждый день.
Кто и откуда получает доступ?
| Кто / что | Решение |
|---|---|
| Только я, приватно и в дороге | Tailscale (VPN на WireGuard) |
| Только я, в браузере без VPN | Cloudflare Tunnel + Access (вход по одноразовому PIN) |
| Другие люди | Туннель с двухфакторной аутентификацией или надёжным паролем |
| Чувствительные данные (например, фото) | Только через Tailscale, никогда публично |
Cloudflare Tunnel устанавливает исходящее соединение, поэтому на роутере не нужно открывать ни одного порта. Как я закрыл с его помощью открытый дашборд — в заметке Zero Trust для homelab.
Защита в повседневной работе
- Fail2ban блокирует адреса после повторных неудачных попыток входа.
- AdGuard фильтрует рекламу и трекеры через DNS во всей сети.
- Uptime Kuma сообщает, когда сервис перестаёт отвечать; Glances показывает нагрузку на хост.
- Регулярно проверяйте, что на самом деле публикуют DNS и туннель.
Бэкапы с vzdump
Proxmox делает бэкап целых контейнеров через vzdump. У меня это происходит ежедневно на отдельный диск с хранением 7 ежедневных, 4 еженедельных и 3 ежемесячных копий:
vzdump <CTID> --storage <backup-storage> --mode snapshot \
--prune-backups keep-daily=7,keep-weekly=4,keep-monthly=3Важно: второй диск в том же устройстве защищает от выхода диска из строя, но не от кражи, пожара или скачка напряжения. По правилу 3-2-1 хотя бы одна копия должна лежать в другом месте — и бэкап считается бэкапом, только когда вы проверили восстановление.
Чек-лист
- Никакого проброса портов на роутере
- Слой входа для каждого публичного сервиса
- Приватные сервисы только через VPN
- Ежедневный бэкап на отдельный диск плюс копия в другом месте
- Регулярно проверять восстановление
- Мониторинг с уведомлениями
Читать дальше
Self-hosting · Homelab · Приватность
Уход из облака: домашний сервер вместо Google, iCloud и других
Дома у меня работает сервер на Proxmox с 15+ сервисами. Здесь — какие облачные сервисы он заменяет, чего это стоит (времени) и где лучше остаться в облаке.
Proxmox · LXC · Homelab
Proxmox и LXC в homelab: какие контейнеры я запускаю и зачем
Четыре контейнера, четыре роли: как устроен мой домашний сервер, какие программы где работают и как я распределил хранилище.
Homelab · Бэкап · Proxmox
Бэкап по 3-2-1 и тест восстановления: бэкап считается бэкапом, только если его удалось восстановить
Большинство историй про бэкапы заканчиваются одинаково: копия делалась, но никто не проверял, можно ли её восстановить. Вот как я бэкаплю свой хост Proxmox и как проверяю восстановление, не рискуя ничем рабочим.
DevOps · Cloudflare · Zero Trust
Zero Trust для homelab: Cloudflare Tunnel и Access вместо открытых дашбордов
Внутренний дашборд был доступен публично через поддомен. Вот как я закрыл его с помощью Cloudflare Tunnel, Cloudflare Access и Tailscale.
Ещё из моего homelab
Вся серия, другие заметки и кейсы — здесь.
Все заметки Кейс MeisterMeld Кейс PflegeOasis Кейс Kernbohr-Expert На главную
Комментарии
Присоединяйтесь к обсуждению: комментарии работают через GitHub Discussions (вход через аккаунт GitHub). Контент GitHub/giscus загружается только после клика. Конфиденциальность