Hosta en webbplats anonymt hemifrån med Raspberry Pi

Att köra en offentlig webbplats från en Raspberry Pi i ditt hemnätverk kan avslöja mer än bara en IP-adress. Denna lösning minskar exponeringen på praktiska sätt:

• Dölj hem-IP bakom en VPN-utgångspunkt så att observatörer inte kan koppla Raspberry Pi-trafik till din plats.
• Ta bort inkommande portvidarebefordran eftersom din Raspberry Pi endast upprätthåller utgående Cloudflare Tunnel-anslutningar.
• Låt Cloudflare hantera TLS, caching och DDoS-skydd medan Raspberry Pi-ursprunget förblir privat.
• Behåll den låga kostnaden och flexibiliteten med Raspberry Pi självhosting utan att hyra en separat server.

Denna Raspberry Pi-design använder en enda utgående väg och tydliga betrodda zoner så att ditt ursprung aldrig blir offentligt routbart:

1. Besökare löser din domän i Cloudflare DNS och avslutar HTTPS vid Cloudflare edge.
2. Din Raspberry Pi kör cloudflared som upprätthåller enbart en utgående tunnel till Cloudflare.
3. Raspberry Pi tvingar tunneltrafiken genom ett VPN-gränssnitt så att Cloudflare bara ser VPN-utgångens IP.
4. Webbservern på Raspberry Pi svarar och svaren skickas tillbaka via VPN och Cloudflares edge-nätverk.

Eftersom Raspberry Pi endast ansluter utåt exponerar din router inga öppna portar mot internet, vilket kraftigt minskar attackytan hemma.

Samla följande hårdvara och konton innan du förvandlar din Raspberry Pi till en privat webbserver hemma bakom Cloudflare Tunnel:

• En Raspberry Pi 4 eller nyare med minst 4 GB RAM, stabil strömförsörjning och ett högpresterande microSD-kort eller SSD.
• Raspberry Pi OS Lite med SSH aktiverat och grundläggande säkerhetsförstärkning.
• Ett Cloudflare-konto med din domän hanterad i Cloudflare DNS.
• Tillgång till Cloudflare Zero Trust-instrumentpanelen för att skapa tunnlar och policyer.
• En loggfri VPN-leverantör som stödjer WireGuard eller OpenVPN konfigurationsfiler.
• Valfritt: en reverse proxy som Nginx, Caddy eller Traefik för routing och headers.

Rekommenderat Raspberry Pi-startkit

Hårdvarutips

Raspberry Pi 4-startkit

Ett kompakt kit med kort, strömförsörjning och lagring hjälper dig att snabbt få igång anonym hosting.

Handla på Amazon

Om du behöver en integritetsfokuserad VPN, granskade leverantörer som Proton VPN eller NordVPN stöder WireGuard på Raspberry Pi och erbjuder kill switch-kontroller.

Förstärk Raspberry Pi:s basystem så att det förblir stabilt även när webbplatsen blir offentligt tillgänglig via Cloudflare:

1. Uppdatera operativsystemet med sudo apt update och sudo apt full-upgrade, starta sedan om.
2. Skapa en icke-root-användare med sudo-rättigheter och inaktivera lösenordsbaserade SSH-inloggningar.
3. Aktivera automatiska uppdateringar så att säkerhetspatchar installeras automatiskt.
4. Applicera brandväggsregler som endast tillåter nödvändig utgående trafik för VPN och Cloudflare.
5. Förstärk SSH med endast nyckel-inloggningar och aktivera fail2ban eller CrowdSec för att bromsa brute force-attacker.
6. Kör din Raspberry Pi-webbstack under systemd så att tjänster startar om automatiskt efter krascher.

Nästa steg är att säkerställa att Raspberry Pi-tunneln endast når internet via en krypterad VPN-väg:

1. Generera WireGuard- eller OpenVPN-profiler från din VPN-leverantör. WireGuard är oftast snabbare på en Raspberry Pi.
2. Importera konfigurationen. För WireGuard, placera den i /etc/wireguard/wg0.conf.
3. Starta VPN och gör VPN-gränssnittet till standardväg för all utgående trafik från Raspberry Pi.
4. Aktivera automatisk start vid boot med systemd networkd eller NetworkManager.
5. Implementera en kill switch med iptables eller nftables så att cloudflared inte kan ansluta utan VPN.
6. Bekräfta utgångs-IP med curl https://ifconfig.me så att du vet att Cloudflare endast ser VPN-adressen.

Med VPN aktivt, skapa en Cloudflare Tunnel på Raspberry Pi som proxyar HTTPS-förfrågningar till den lokala webbservern:

1. Installera cloudflared från den officiella repot eller använd den fristående binären.
2. Autentisera med cloudflared tunnel login för att koppla ditt konto.
3. Skapa en namngiven tunnel som cloudflared tunnel create anonymous-site och notera UUID:n.
4. Skriv /etc/cloudflared/config.yml med ingressregler som kopplar ditt domännamn till webbservern som körs på Raspberry Pi.
5. Tvinga tunneln att använda VPN-vägen genom att behålla standardrutten på VPN-gränssnittet och upprätthålla kill switch-reglerna.
6. Skapa en systemd-tjänst så att tunneln startar vid boot och startar om vid fel.
7. Skapa Cloudflare DNS-posten (CNAME) som pekar ditt värdnamn till tunnelns UUID under cfargotunnel.com.

Efter detta når besökare sidan via Cloudflare medan Raspberry Pi:s ursprung förblir privat och otillgängligt för direkta skanningar.

Granska den officiella Cloudflare Tunnel-dokumentationen för djupare policyvägledning.

Flerlagersskydd gör att Raspberry Pi-hosting hemma är robust även om en kontroll misslyckas:

• Skydda känsliga vägar med Cloudflare Zero Trust-policyer eller servicetoken.
• Aktivera WAF-regler, bot-skydd och hastighetsbegränsning för att minska missbruk.
• Använd ursprungscertifikat begränsade till tunneln och tvinga HTTPS från början till slut.
• Kör fail2ban eller CrowdSec på Pi för att blockera upprepade autentiseringsförsök.
• Separera offentligt innehåll från administrationspaneler och skydda privata verktyg med Cloudflare Access.
• Skicka sanerade loggar till en fjärrsamlarenhet över VPN för att minimera metadataexponering.

Övervaka varje lager på Raspberry Pi så att avbrott aldrig orsakar oavsiktliga IP-läckor från ursprunget:

• Kör cloudflared tunnel info för att bekräfta att anslutningen är frisk.
• Fråga DNS med dig +short och verifiera att det pekar på Cloudflares edge-IP:er.
• Kontrollera VPN-gränssnittet med wg show eller openvpn --status för att bekräfta att kryptering är aktiv.
• Övervaka Raspberry Pi:s CPU, minne, diskhälsa och bandbredd med Netdata, Prometheus Node Exporter eller Grafana Agent.
• Schemalägg tillgänglighetskontroller så att du snabbt får aviseringar om tunneln eller VPN kopplas ner.
• Granska Cloudflare-analys för toppar, blockeringar och mönster som tyder på sondering.

En webbplats som körs på en Raspberry Pi kan ändå ranka bra om leveransen är snabb och stabil:

• Aktivera Cloudflares cache och prestandafunktioner så att resurser laddas snabbt globalt.
• Använd Brotli och HTTP/3 för att minska fördröjning mellan besökare och Cloudflare edge.
• Flytta statiska resurser till Cloudflare Workers eller Pages samtidigt som dynamisk logik körs på Raspberry Pi.
• Lägg till JSON-LD strukturerad data för att förbättra möjligheten till rika resultat där det är relevant.
• Automatisera distributioner över tunneln så att du undviker att exponera administrationsportar.
• Övervaka Core Web Vitals med integritetsvänlig analys och åtgärda regressionsproblem tidigt.

Genom att separera leverans från Raspberry Pi-ursprunget får du global prestanda utan att kompromissa med integriteten.

Fördjupa dig med dessa resurser om integritet och säkerhet: