Доступ · Безпека · Бекап
Безпечний доступ і бекапи домашнього сервера: Tailscale, Cloudflare Tunnel, vzdump
Домашній сервер хороший рівно настільки, наскільки хороші його доступ і бекапи. Мій принцип: жодного прокидання портів, кожен доступ — свідоме рішення, бекап щодня.
Хто і звідки отримує доступ?
| Хто / що | Рішення |
|---|---|
| Лише я, приватно й у дорозі | Tailscale (VPN на WireGuard) |
| Лише я, у браузері без VPN | Cloudflare Tunnel + Access (вхід за одноразовим PIN) |
| Інші люди | Тунель із двофакторною автентифікацією або надійним паролем |
| Чутливі дані (наприклад, фото) | Лише через Tailscale, ніколи публічно |
Cloudflare Tunnel встановлює вихідне з’єднання, тому на роутері не потрібно відкривати жодного порту. Як я закрив із його допомогою відкритий дашборд — у нотатці Zero Trust для homelab.
Захист у повсякденній роботі
- Fail2ban блокує адреси після повторних невдалих спроб входу.
- AdGuard фільтрує рекламу й трекери через DNS у всій мережі.
- Uptime Kuma повідомляє, коли сервіс перестає відповідати; Glances показує навантаження на хост.
- Регулярно перевіряйте, що насправді публікують DNS і тунель.
Бекапи з vzdump
Proxmox робить бекап цілих контейнерів через vzdump. У мене це відбувається щодня на окремий диск зі зберіганням 7 щоденних, 4 щотижневих і 3 щомісячних копій:
vzdump <CTID> --storage <backup-storage> --mode snapshot \
--prune-backups keep-daily=7,keep-weekly=4,keep-monthly=3Важливо: другий диск у тому самому пристрої захищає від виходу диска з ладу, але не від крадіжки, пожежі чи стрибка напруги. За правилом 3-2-1 принаймні одна копія має лежати в іншому місці — і бекап вважається бекапом, лише коли ви перевірили відновлення.
Чек-лист
- Жодного прокидання портів на роутері
- Шар входу для кожного публічного сервісу
- Приватні сервіси лише через VPN
- Щоденний бекап на окремий диск плюс копія в іншому місці
- Регулярно перевіряти відновлення
- Моніторинг зі сповіщеннями
Читати далі
Self-hosting · Homelab · Приватність
Вихід із хмари: домашній сервер замість Google, iCloud та інших
Вдома в мене працює сервер на Proxmox із 15+ сервісами. Тут — які хмарні сервіси він замінює, чого це коштує (часу) і де краще залишитися в хмарі.
Proxmox · LXC · Homelab
Proxmox і LXC у homelab: які контейнери я запускаю і навіщо
Чотири контейнери, чотири ролі: як влаштований мій домашній сервер, які програми де працюють і як я розподілив сховище.
Homelab · Бекап · Proxmox
Бекап за 3-2-1 і тест відновлення: бекап — це бекап, лише якщо його вдалося відновити
Більшість історій про бекапи закінчуються однаково: копія робилася, але ніхто не перевіряв, чи можна її відновити. Ось як я бекаплю свій хост Proxmox і як перевіряю відновлення, не ризикуючи нічим робочим.
DevOps · Cloudflare · Zero Trust
Zero Trust для homelab: Cloudflare Tunnel і Access замість відкритих дашбордів
Внутрішній дашборд був публічно доступний через піддомен. Ось як я закрив його за допомогою Cloudflare Tunnel, Cloudflare Access і Tailscale.
Ще з мого homelab
Уся серія, інші нотатки та кейси — тут.
Усі нотатки Кейс MeisterMeld Кейс PflegeOasis Кейс Kernbohr-Expert На головну
Коментарі
Долучайтеся до обговорення: коментарі працюють через GitHub Discussions (вхід через акаунт GitHub). Вміст GitHub/giscus завантажується лише після кліку. Конфіденційність