Hostuj anonimowo stronę z domu na Raspberry Pi

Prowadzenie publicznej strony na Raspberry Pi w sieci domowej może ujawnić więcej niż jeden adres IP. Ta konfiguracja praktycznie ogranicza to ryzyko:

• Ukryj domowy adres IP za węzłem wyjściowym VPN, by uniemożliwić powiązanie ruchu Raspberry Pi z Twoją lokalizacją.
• Usuń przekierowanie portów przychodzących, bo Raspberry Pi utrzymuje tylko wychodzące połączenia Cloudflare Tunnel.
• Pozwól Cloudflare obsługiwać TLS, cache i ochronę przed DDoS, a źródło Raspberry Pi pozostanie prywatne.
• Zachowaj niskie koszty i elastyczność samodzielnego hostingu Raspberry Pi bez wynajmu osobnego serwera.

Ten projekt Raspberry Pi wykorzystuje pojedynczą ścieżkę wychodzącą i wyraźne strefy zaufania, dzięki czemu źródło nigdy nie jest publicznie dostępne:

1. Odwiedzający rozwiązują domenę w DNS Cloudflare, a HTTPS kończy się na krawędzi Cloudflare.
2. Na Raspberry Pi działa cloudflared, który utrzymuje tunel wychodzący tylko do Cloudflare.
3. Raspberry Pi wymusza ruch tunelu przez interfejs VPN, więc Cloudflare widzi tylko adres IP wyjścia VPN.
4. Serwer webowy na Raspberry Pi odpowiada, a odpowiedzi wracają przez VPN i krawędź Cloudflare.

Ponieważ Raspberry Pi łączy się tylko wychodząco, router nie otwiera portów do internetu, co znacznie zmniejsza powierzchnię ataku w domu.

Zbierz poniższy sprzęt i konta, zanim zamienisz Raspberry Pi w prywatny serwer domowy za Cloudflare Tunnel:

• Raspberry Pi 4 lub nowszy z minimum 4 GB RAM, stabilnym zasilaniem i wytrzymałą kartą microSD lub dyskiem SSD.
• Raspberry Pi OS Lite z włączonym SSH i podstawowym zabezpieczeniem systemu.
• Konto Cloudflare z zarządzaną domeną w DNS Cloudflare.
• Dostęp do panelu Cloudflare Zero Trust do tworzenia tuneli i polityk.
• Dostawca VPN bez logów, obsługujący konfiguracje WireGuard lub OpenVPN.
• Opcjonalnie: reverse proxy jak Nginx, Caddy lub Traefik do routingu i nagłówków.

Polecany zestaw startowy Raspberry Pi

Wybór sprzętu

Zestaw startowy Raspberry Pi 4

Kompaktowy zestaw z płytką, zasilaczem i pamięcią pozwala szybko uruchomić anonimowy hosting.

Kup na Amazon

Jeśli potrzebujesz VPN zorientowanego na prywatność, sprawdzeni dostawcy tacy jak Proton VPN lub NordVPN obsługują WireGuard na Raspberry Pi i oferują kontrolę kill switch.

Wzmocnij system Raspberry Pi, by pozostał stabilny, gdy strona stanie się publicznie dostępna przez Cloudflare:

1. Zaktualizuj system operacyjny poleceniem sudo apt update oraz sudo apt full-upgrade, następnie uruchom ponownie.
2. Utwórz użytkownika bez uprawnień root z sudo i wyłącz logowanie SSH na hasło.
3. Włącz automatyczne aktualizacje, by łatki bezpieczeństwa instalowały się same.
4. Zastosuj reguły zapory, które zezwalają tylko na niezbędny ruch wychodzący do VPN i Cloudflare.
5. Zabezpiecz SSH logowaniem tylko na klucze i włącz fail2ban lub CrowdSec przeciw atakom brute force.
6. Uruchom stos webowy Raspberry Pi pod systemd, aby usługi automatycznie się restartowały po awariach.

Następnie upewnij się, że tunel Raspberry Pi łączy się z internetem tylko przez zaszyfrowaną ścieżkę VPN:

1. Wygeneruj profile WireGuard lub OpenVPN od dostawcy VPN. WireGuard zwykle działa szybciej na Raspberry Pi.
2. Zaimportuj konfigurację. Dla WireGuard umieść ją w /etc/wireguard/wg0.conf.
3. Uruchom VPN i ustaw interfejs VPN jako domyślną trasę dla ruchu wychodzącego z Raspberry Pi.
4. Włącz automatyczny start przy uruchomieniu systemu przez systemd networkd lub NetworkManager.
5. Wdróż kill switch za pomocą iptables lub nftables, by cloudflared nie łączył się bez VPN.
6. Potwierdź adres IP wyjścia za pomocą curl https://ifconfig.me aby mieć pewność, że Cloudflare widzi tylko adres VPN.

Z aktywnym VPN utwórz na Raspberry Pi tunel Cloudflare, który przekazuje żądania HTTPS do lokalnego serwera webowego:

1. Zainstaluj cloudflared z oficjalnego repozytorium lub użyj samodzielnego pliku binarnego.
2. Zaloguj się przez cloudflared tunnel login aby połączyć konto.
3. Utwórz tunel o nazwie, np. cloudflared tunnel create anonymous-site i zapisz UUID.
4. Napisz /etc/cloudflared/config.yml z regułami ingress mapującymi nazwę hosta na usługę webową działającą na Raspberry Pi.
5. Wymuś korzystanie z VPN przez tunel, utrzymując domyślną trasę na interfejsie VPN i egzekwując reguły kill switch.
6. Utwórz usługę systemd, aby tunel startował przy uruchomieniu i restartował się po awariach.
7. Utwórz rekord DNS Cloudflare (CNAME) wskazujący nazwę hosta na UUID tunelu w cfargotunnel.com.

Po tym użytkownicy łączą się przez Cloudflare, a źródło na Raspberry Pi pozostaje prywatne i niedostępne dla bezpośrednich skanów.

Przejrzyj oficjalną dokumentację Cloudflare Tunnel, by poznać szczegóły polityk.

Wielowarstwowa ochrona zapewnia odporność hostingu Raspberry Pi, nawet gdy jedno zabezpieczenie zawiedzie:

• Chroń wrażliwe ścieżki za pomocą polityk Cloudflare Zero Trust lub tokenów usług.
• Włącz reguły WAF, ochronę przed botami i ograniczenia szybkości, by zmniejszyć nadużycia.
• Używaj certyfikatów origin ograniczonych do tunelu i wymuszaj HTTPS end-to-end.
• Uruchom fail2ban lub CrowdSec na Pi, by blokować powtarzające się próby logowania.
• Oddziel publiczne treści od paneli administracyjnych i chroń prywatne narzędzia Cloudflare Access.
• Wysyłaj oczyszczone logi do zdalnego kolektora przez VPN, by ograniczyć ujawnianie metadanych.

Monitoruj każdą warstwę Raspberry Pi, by awarie nie spowodowały przypadkowego wycieku IP źródła:

• Uruchom cloudflared tunnel info aby potwierdzić, że łącznik działa poprawnie.
• Sprawdź DNS za pomocą dig +short i upewnij się, że zwraca adresy IP Cloudflare edge.
• Sprawdź interfejs VPN poleceniem wg show lub openvpn --status aby potwierdzić, że szyfrowanie jest aktywne.
• Monitoruj CPU, pamięć, stan dysku i przepustowość Raspberry Pi za pomocą Netdata, Prometheus Node Exporter lub Grafana Agent.
• Zaplanuj kontrole dostępności, by szybko otrzymywać powiadomienia o przerwach w tunelu lub VPN.
• Analizuj statystyki Cloudflare pod kątem nagłych wzrostów, blokad i wzorców wskazujących na skanowanie.

Strona hostowana na Raspberry Pi może dobrze się pozycjonować, jeśli dostarczanie jest szybkie i stabilne:

• Włącz cache i funkcje wydajności Cloudflare, by zasoby ładowały się szybko na całym świecie.
• Używaj Brotli i HTTP/3, by zmniejszyć opóźnienia między odwiedzającymi a Cloudflare edge.
• Przenieś statyczne zasoby do Cloudflare Workers lub Pages, a logikę dynamiczną pozostaw na Raspberry Pi.
• Dodaj dane strukturalne JSON-LD, by poprawić szanse na bogate wyniki w wyszukiwarce.
• Automatyzuj wdrożenia przez tunel, by nie ujawniać portów zarządzania.
• Monitoruj Core Web Vitals za pomocą prywatnych narzędzi analitycznych i szybko naprawiaj regresje.

Oddzielając dostarczanie treści od zarządzania źródłem na Raspberry Pi, zyskujesz globalną wydajność bez utraty prywatności.

Zgłębiaj temat dzięki tym zasobom o prywatności i bezpieczeństwie: