Главная / Заметки

DevOps · Cloudflare · Zero Trust

Zero Trust для homelab: Cloudflare Tunnel и Access вместо открытых дашбордов

Внутренний дашборд был доступен публично через поддомен. Вот как я закрыл его с помощью Cloudflare Tunnel, Cloudflare Access и Tailscale.

Сергей Заболотный · 18.10.2026

• Cloudflare Tunnel
• Zero Trust
• Cloudflare Access
• Tailscale
• Proxmox
• Homelab

Исходная ситуация

В моём homelab (Proxmox VE с LXC-контейнерами) работает дашборд со списком всех сервисов. Он был публично доступен через поддомен — без логина. Это типичная дыра в self-hosting: сервис удобен, но любой, кто угадает или найдёт адрес, видит всю картину.

Решение из четырёх блоков

1. Cloudflare Tunnel как единственный вход. Туннель устанавливает исходящее соединение с Cloudflare. Поэтому на роутере не нужен проброс портов, снаружи нет открытых портов.
2. Cloudflare Access как слой Zero Trust. Перед дашбордом стоит политика Access: войти может только мой e-mail, вход — по одноразовому PIN-коду.
3. Tailscale для всего приватного. Сервисы, которые никогда не должны быть публичными (например, управление фото), доступны только через сеть Tailscale на базе WireGuard.
4. Регулярно проверять, что опубликовано. Настоящим поводом стала забытая публикация.

Как я проверяю, что на самом деле публично

Главный вывод: важен не только сам сервис, но и то, что публикуют DNS и туннель. Мой чек-лист:

• В панели Cloudflare, раздел Zero Trust → Tunnels: какие Public Hostnames прописаны?
• В Access → Applications: есть ли политика у каждого публичного хоста?
• В DNS-записях: нет ли старых CNAME-записей на сервисы, которых уже не существует?

cloudflared tunnel list
cloudflared tunnel info <tunnel-name>

Результат

Дашборд теперь доступен только после логина, на роутере не открыт ни один порт, а приватные сервисы целиком находятся в сети Tailscale. Одним дашбордом, выдающим внутреннюю инфраструктуру, стало меньше.

Читать дальше