LINUX.ORG.RU
Форум — General  

Локальный Web Server и cgit в мир, вопросы безопасности.

 , , ,


0

1

Привет, ЛОР. У меня сейчас есть личные сервисы развернутые локально (NAS, Git-Server, CalDAV), для доступа к ним за пределами локальной сети используется WireGuard (сервером выступает роутер Keenetic). Однако, возникла потребность вывесить наружу сервисы, которые должны быть доступны всем (Простой Web Server с одностраничным сайтом, cgit с репозиториями). У меня в принципе жуткое непринятие стандартных решений и вся моя инфраструктура self-hosted, насколько возможно. В роли сервера будет выступать мини-пк, который работает 24/7 с Ubuntu Server на борту, доменное имя есть, статический IP тоже, вопрос в следующем: Насколько безопасно торчать всему этому в мир и какие правила безопасности обязательно стоит соблюсти?

★★★★★
← Как лучше сконфигурировать диски для машины с панелью ISPConfig
Для чего нужен и какую роль играет тип ФС носителя? →
Ответ на: комментарий от Bfgeshka

Благодарю за ответы, почитаю документацию.

Jefail ★★★★★
() автор топика
Ответ на: комментарий от Bfgeshka

iptables, очевидно.

Уже не модно. Надо nftables

Shprot ★★
()

Я смотрю f2b никто ещё не советовал

Shprot ★★
()

  1. Не запускать сервисы под рутом, как вариант можно запускать их в виде контейнеров в rootless Podman.

  2. Если хочется остаться на Linux хосте, то настроить LSM (например, AppArmor), упрощённо можно в Firejail.

  3. Если уж очень хочется безопасности, то проще таки установить это на OpenBSD.

sanyo1234 ★
()

unattended-updates поставь.

Harliff ★★★★★
()

можно ещё в сторону Port knocking посмотреть

z0idator ★
()
Ответ на: комментарий от sanyo1234

Я для контейнеров планировал Docker использовать, подумал сейчас, мне в мир надо 4 сервиса вытащить: Web Server со страницей, cgit, maven репозиторий и API своего приложения. Все остальное, что крутится на локальном сервере должно быть полностью закрыто от внешнего мира и недоступно в любом виде.

Jefail ★★★★★
() автор топика
Ответ на: комментарий от Jefail

Вам нужен reverse proxy: traefik, caddy. Можно использовать nginx, если вы с ним знакомы. Так же можно рассмотреть nginx-proxy-manager если нужно упростить настройку nginx.

anonymous
()

Главная проблема публично доступного сервера дома: заддосят. Домашние провайдеры не любят таких умников и в случае проблем посылают тебя лесом, либо требуют перейти на тариф для юр.лиц. Все остальное решаемо виртуализацией, разумными настройками и периодическими проверками/техобслуживанием.

Khnazile ★★★★★
()
Ответ на: комментарий от Jefail

закрыто от внешнего мира

файрволом

и недоступно в любом виде.

OpenBSD pf, работающий на перешитом старом MIPS роутере.

sanyo1234 ★
()
Для того чтобы оставить комментарий войдите или зарегистрируйтесь.
← Как лучше сконфигурировать диски для машины с панелью ISPConfig
General
Для чего нужен и какую роль играет тип ФС носителя? →