Анонимный хостинг сайта дома на Raspberry Pi

Публичный сайт на Raspberry Pi в домашней сети раскрывает больше, чем просто IP. Эта схема минимизирует риски на практике:

• Скрывайте домашний IP за VPN-выходом, чтобы никто не мог связать трафик Raspberry Pi с вашим местоположением.
• Откажитесь от перенаправления входящих портов — Raspberry Pi поддерживает только исходящие соединения Cloudflare Tunnel.
• Доверьте Cloudflare управление TLS, кэшированием и защитой от DDoS, а исходный Raspberry Pi останется приватным.
• Сохраняйте низкую стоимость и гибкость самостоятельного хостинга на Raspberry Pi без аренды отдельного сервера.

Дизайн Raspberry Pi использует единственный исходящий путь и чёткие зоны доверия, чтобы исходник не был публично доступен:

1. Посетители разрешают домен через Cloudflare DNS и завершают HTTPS на стороне Cloudflare.
2. На Raspberry Pi запущен cloudflared, поддерживающий только исходящий туннель к Cloudflare.
3. Raspberry Pi направляет трафик туннеля через VPN-интерфейс, чтобы Cloudflare видел только IP выхода VPN.
4. Веб-сервер на Raspberry Pi отвечает, а ответы возвращаются через VPN и Cloudflare edge.

Поскольку Raspberry Pi подключается только исходящим трафиком, ваш роутер не открывает порты в интернет, что значительно снижает риск атак на домашнюю сеть.

Подготовьте следующее оборудование и аккаунты перед настройкой Raspberry Pi как приватного домашнего веб-сервера за Cloudflare Tunnel:

• Raspberry Pi 4 или новее с минимум 4 ГБ ОЗУ, стабильным питанием и высоконадежной microSD или SSD.
• Raspberry Pi OS Lite с включённым SSH и базовой защитой.
• Аккаунт Cloudflare с управлением доменом через Cloudflare DNS.
• Доступ к панели Cloudflare Zero Trust для создания туннелей и политик.
• VPN-провайдер без логов, поддерживающий конфигурации WireGuard или OpenVPN.
• Опционально: обратный прокси (Nginx, Caddy, Traefik) для маршрутизации и заголовков.

Рекомендуемый стартовый комплект Raspberry Pi

Выбор оборудования

Стартовый комплект Raspberry Pi 4

Компактный комплект с платой, питанием и накопителем помогает быстро запустить анонимный хостинг.

Покупать на Amazon

Если нужен VPN с акцентом на конфиденциальность, проверенные провайдеры, такие как Proton VPN или NordVPN поддерживают WireGuard на Raspberry Pi и предлагают управление kill switch.

Укрепите базовую систему Raspberry Pi, чтобы она оставалась стабильной даже при публичном доступе к сайту через Cloudflare:

1. Обновите ОС с помощью sudo apt update и sudo apt full-upgrade, затем перезагрузите.
2. Создайте пользователя без root с sudo и отключите вход по паролю в SSH.
3. Включите автоматические обновления для установки патчей безопасности.
4. Настройте фаервол, разрешающий только необходимый исходящий трафик для VPN и Cloudflare.
5. Укрепите SSH, разрешив вход только по ключам, и включите fail2ban или CrowdSec для защиты от перебора.
6. Запускайте веб-стек Raspberry Pi под управлением systemd для автоматического перезапуска сервисов после сбоев.

Далее убедитесь, что туннель Raspberry Pi выходит в интернет только через зашифрованный VPN-канал:

1. Создайте профили WireGuard или OpenVPN у вашего VPN-провайдера. WireGuard обычно быстрее на Raspberry Pi.
2. Импортируйте конфигурацию. Для WireGuard поместите её в /etc/wireguard/wg0.conf.
3. Запустите VPN и сделайте его интерфейс маршрутом по умолчанию для исходящего трафика Raspberry Pi.
4. Включите автозапуск при загрузке через systemd networkd или NetworkManager.
5. Реализуйте kill switch с iptables или nftables, чтобы cloudflared не подключался без VPN.
6. Проверьте выходной IP с помощью curl https://ifconfig.me чтобы убедиться, что Cloudflare видит только VPN-адрес.

С активным VPN создайте Cloudflare Tunnel на Raspberry Pi, который проксирует HTTPS-запросы к локальному веб-серверу:

1. Установите cloudflared из официального репозитория или используйте автономный бинарник.
2. Авторизуйтесь через cloudflared tunnel login для подключения аккаунта.
3. Создайте именованный туннель, например cloudflared tunnel create anonymous-site и запишите UUID.
4. Напишите /etc/cloudflared/config.yml с правилами ingress, сопоставляющими ваш домен с веб-сервисом на Raspberry Pi.
5. Принудительно направьте туннель через VPN, сохраняя маршрут по умолчанию на VPN-интерфейсе и применяя правила kill switch.
6. Создайте systemd-сервис для автозапуска туннеля и перезапуска при сбоях.
7. Создайте DNS-запись Cloudflare (CNAME), указывающую ваш хост на UUID туннеля в cfargotunnel.com.

После этого посетители заходят через Cloudflare, а исходный Raspberry Pi остаётся приватным и недоступным для прямого сканирования.

Изучите официальную документацию Cloudflare Tunnel для подробных рекомендаций по политикам.

Многоуровневая защита обеспечивает устойчивость домашнего хостинга на Raspberry Pi даже при сбое одного из элементов:

• Защищайте чувствительные пути с помощью политик Cloudflare Zero Trust или сервисных токенов.
• Включите правила WAF, защиту от ботов и ограничение скорости для снижения злоупотреблений.
• Используйте сертификаты origin, ограниченные туннелем, и обеспечьте HTTPS от начала до конца.
• Запустите fail2ban или CrowdSec на Pi для блокировки повторных попыток аутентификации.
• Разделяйте публичный контент и админ-панели, защищая приватные инструменты через Cloudflare Access.
• Отправляйте очищенные логи на удалённый сборщик через VPN, чтобы минимизировать утечку метаданных.

Отслеживайте каждый уровень Raspberry Pi, чтобы сбои не приводили к случайной утечке IP-адреса источника:

• Запустите cloudflared tunnel info для проверки работоспособности коннектора.
• Проверьте DNS с помощью dig +short и убедитесь, что он разрешается в IP Cloudflare edge.
• Проверьте VPN-интерфейс с помощью wg show или openvpn --status для подтверждения активного шифрования.
• Отслеживайте загрузку CPU, память, состояние диска и трафик Raspberry Pi с помощью Netdata, Prometheus Node Exporter или Grafana Agent.
• Настройте проверки доступности, чтобы быстро получать уведомления при падении туннеля или VPN.
• Анализируйте данные Cloudflare на предмет всплесков, блокировок и подозрительной активности.

Сайт на Raspberry Pi может хорошо ранжироваться при быстрой и стабильной доставке контента:

• Включите кэширование и оптимизации Cloudflare для быстрой загрузки по всему миру.
• Используйте Brotli и HTTP/3 для снижения задержек между посетителями и Cloudflare edge.
• Перенесите статические ресурсы на Cloudflare Workers или Pages, оставив динамическую логику на Raspberry Pi.
• Добавьте структурированные данные JSON-LD для улучшения отображения в расширенных результатах.
• Автоматизируйте деплой через туннель, чтобы не открывать управляющие порты.
• Отслеживайте Core Web Vitals с помощью приватной аналитики и своевременно исправляйте проблемы.

Разделяя доставку контента и управление Raspberry Pi, вы обеспечиваете глобальную производительность без ущерба для конфиденциальности.

Углубитесь с помощью этих ресурсов по конфиденциальности и безопасности: