Host anoniem een website vanuit huis met een Raspberry Pi

Een publieke site draaien vanaf een Raspberry Pi in uw thuisnetwerk kan veel meer onthullen dan alleen een IP-adres. Deze opzet beperkt die blootstelling op praktische wijze:

• Verberg het thuis-IP achter een VPN-uitgangsknooppunt zodat derden het Raspberry Pi-verkeer niet aan uw locatie kunnen koppelen.
• Schaf inkomende port forwarding af omdat uw Raspberry Pi alleen uitgaande Cloudflare Tunnel-verbindingen onderhoudt.
• Laat Cloudflare TLS, caching en DDoS-afweer verzorgen terwijl de Raspberry Pi als oorsprong privé blijft.
• Behoud de lage kosten en flexibiliteit van zelfhosting met Raspberry Pi zonder een aparte server te huren.

Dit Raspberry Pi-ontwerp gebruikt één uitgaand pad en duidelijke vertrouwenszones zodat uw oorsprong nooit publiekelijk bereikbaar wordt:

1. Bezoekers lossen uw domein op via Cloudflare DNS en beëindigen HTTPS op de Cloudflare edge.
2. Uw Raspberry Pi draait cloudflared, dat een uitgaande tunnel naar Cloudflare onderhoudt.
3. De Raspberry Pi dwingt tunnelverkeer via een VPN-interface zodat Cloudflare alleen het VPN-uitgangs-IP ziet.
4. De webserver op de Raspberry Pi reageert, en antwoorden reizen terug via de VPN en Cloudflare edge.

Omdat de Raspberry Pi alleen uitgaande verbindingen maakt, opent uw router geen poorten naar het internet, wat het aanvalsoppervlak thuis aanzienlijk verkleint.

Verzamel de volgende hardware en accounts voordat u uw Raspberry Pi ombouwt tot een privé webserver achter Cloudflare Tunnel:

• Een Raspberry Pi 4 of nieuwer met minimaal 4 GB RAM, betrouwbare voeding en een duurzame microSD-kaart of SSD.
• Raspberry Pi OS Lite met ingeschakelde SSH en basisbeveiliging toegepast.
• Een Cloudflare-account met uw domein beheerd in Cloudflare DNS.
• Toegang tot het Cloudflare Zero Trust dashboard om tunnels en beleidsregels aan te maken.
• Een logvrije VPN-provider die WireGuard- of OpenVPN-configuratiebestanden ondersteunt.
• Optioneel: een reverse proxy zoals Nginx, Caddy of Traefik voor routering en headers.

Aanbevolen Raspberry Pi starterskit

Hardware-tip

Raspberry Pi 4 starterskit

Een compact pakket met board, voeding en opslag helpt je het anonieme hosting‑stack snel online te krijgen.

Winkel bij Amazon

Als u een privacygerichte VPN nodig heeft, bieden geauditete providers zoals Proton VPN of NordVPN ondersteunen WireGuard op Raspberry Pi en bieden kill switch-controles.

Versterk het basis systeem van de Raspberry Pi zodat het stabiel blijft, zelfs wanneer de website via Cloudflare publiekelijk bereikbaar wordt:

1. Werk het besturingssysteem bij met sudo apt update en sudo apt full-upgrade, en herstart daarna.
2. Maak een niet-root gebruiker met sudo-rechten en schakel wachtwoordgebaseerde SSH-inlog uit.
3. Schakel automatische updates in zodat beveiligingspatches automatisch worden geïnstalleerd.
4. Pas firewallregels toe die alleen het noodzakelijke uitgaande verkeer voor VPN en Cloudflare toestaan.
5. Versterk SSH met alleen sleutel-inlog en activeer fail2ban of CrowdSec om brute force pogingen te vertragen.
6. Laat uw Raspberry Pi-webstack draaien onder systemd zodat services automatisch herstarten na crashes.

Zorg er vervolgens voor dat de Raspberry Pi-tunnel alleen via een versleuteld VPN-pad toegang tot internet heeft:

1. Genereer WireGuard- of OpenVPN-profielen van uw VPN-provider. WireGuard is meestal sneller op een Raspberry Pi.
2. Importeer de configuratie. Voor WireGuard plaatst u deze in /etc/wireguard/wg0.conf.
3. Start de VPN en stel de VPN-interface in als standaardroute voor uitgaand Raspberry Pi-verkeer.
4. Schakel automatisch starten bij opstarten in met systemd networkd of NetworkManager.
5. Implementeer een kill switch met iptables of nftables zodat cloudflared niet kan verbinden zonder VPN.
6. Bevestig het exit IP met curl https://ifconfig.me zodat u weet dat Cloudflare alleen het VPN-adres zal zien.

Met de VPN actief maakt u een Cloudflare Tunnel op de Raspberry Pi die HTTPS-verzoeken doorstuurt naar de lokale webserver:

1. Installeer cloudflared vanuit de officiële repository of gebruik de standalone binary.
2. Authenticeer met cloudflared tunnel login om uw account te verbinden.
3. Maak een benoemde tunnel zoals cloudflared tunnel create anonymous-site en noteer de UUID.
4. Schrijf /etc/cloudflared/config.yml met ingressregels die uw hostnaam koppelen aan de webservice die op de Raspberry Pi draait.
5. Dwing de tunnel om het VPN-pad te gebruiken door de standaardroute op de VPN-interface te houden en de kill switch-regels af te dwingen.
6. Maak een systemd-service zodat de tunnel bij opstarten start en bij fouten herstart.
7. Maak het Cloudflare DNS-record (CNAME) dat uw hostnaam naar de tunnel UUID onder cfargotunnel.com verwijst.

Hierna bereiken bezoekers de site via Cloudflare, terwijl de Raspberry Pi als oorsprong privé blijft en niet direct gescand kan worden.

Bekijk de officiële Cloudflare Tunnel documentatie voor uitgebreidere beleidsrichtlijnen.

Gelaagde beveiligingen zorgen dat Raspberry Pi thuishosting veerkrachtig blijft, zelfs als één controle faalt:

• Bescherm gevoelige paden met Cloudflare Zero Trust-beleid of servicetokens.
• Schakel WAF-regels, botbescherming en rate limiting in om misbruik te verminderen.
• Gebruik origin-certificaten beperkt tot de tunnel en handhaaf HTTPS end-to-end.
• Draai fail2ban of CrowdSec op de Pi om herhaalde authenticatiepogingen te blokkeren.
• Scheidt publieke content van admin dashboards en bescherm privétools met Cloudflare Access.
• Verzend geschoonde logs via de VPN naar een externe verzamelaar om metadata blootstelling te minimaliseren.

Monitor elke laag van de Raspberry Pi zodat storingen nooit leiden tot een onbedoelde lek van het oorsprong-IP:

• Voer uit cloudflared tunnel info om te bevestigen dat de connector gezond is.
• Vraag DNS op met dig +short en controleer of het naar Cloudflare edge IP's verwijst.
• Controleer de VPN-interface met wg show of openvpn --status om te bevestigen dat encryptie actief is.
• Volg CPU, geheugen, schijfstatus en bandbreedte van de Raspberry Pi met Netdata, Prometheus Node Exporter of Grafana Agent.
• Plan uptime-controles zodat u snel meldingen krijgt als de tunnel of VPN wegvalt.
• Bekijk Cloudflare-analytics voor pieken, blokkades en patronen die op scannen wijzen.

Een website die vanaf een Raspberry Pi wordt gehost, kan nog steeds goed scoren als de levering snel en consistent is:

• Schakel Cloudflare caching en prestatiefuncties in zodat assets wereldwijd snel laden.
• Gebruik Brotli en HTTP/3 om de latency tussen bezoekers en de Cloudflare edge te verminderen.
• Verplaats statische bestanden naar Cloudflare Workers of Pages en houd dynamische logica op de Raspberry Pi.
• Voeg JSON-LD gestructureerde data toe om de kans op rijke zoekresultaten te vergroten waar relevant.
• Automatiseer deployments via de tunnel om blootstelling van beheerpoorten te voorkomen.
• Monitor Core Web Vitals met privacyvriendelijke analytics en los regressies vroegtijdig op.

Door levering te scheiden van het beheer van de Raspberry Pi als oorsprong, profiteert u van wereldwijde prestaties zonder in te leveren op privacy.

Verdiep u met deze privacy- en beveiligingsbronnen: