Raspberry Pi ile evden anonim olarak web sitesi barındırın

Ev ağınızda Raspberry Pi’den halka açık site çalıştırmak tek IP’den çok daha fazlasını açığa çıkarabilir. Bu yapılandırma bunu pratik şekilde azaltır:

• Ev IP adresinizi VPN çıkış düğümünün arkasına gizleyin, böylece gözlemciler Raspberry Pi trafiğini konumunuzla ilişkilendiremez.
• Raspberry Pi sadece dışa Cloudflare Tunnel bağlantısı kurduğundan, gelen port yönlendirmesini kaldırın.
• Cloudflare TLS, önbellekleme ve DDoS korumasını üstlensin, Raspberry Pi kaynağı ise özel kalsın.
• Ayrı bir sunucu kiralamadan Raspberry Pi kendi kendine barındırmanın düşük maliyetini ve esnekliğini koruyun.

Bu Raspberry Pi tasarımı, tek bir dışa çıkış yolu ve net güven bölgeleri kullanır, böylece kaynağınız asla herkese açık yönlendirilebilir olmaz:

1. Ziyaretçiler alan adınızı Cloudflare DNS’de çözer ve HTTPS bağlantısını Cloudflare kenarında sonlandırır.
2. Raspberry Pi’niz cloudflared çalıştırır ve sadece dışa giden bir tünel ile Cloudflare’a bağlanır.
3. Raspberry Pi, tünel trafiğini VPN arayüzünden geçirir, böylece Cloudflare sadece VPN çıkış IP’sini görür.
4. Raspberry Pi’de çalışan web sunucusu yanıt verir, cevaplar VPN ve Cloudflare kenarı üzerinden geri döner.

Raspberry Pi sadece dışa bağlantı kurduğu için, yönlendiriciniz internete açık port açmaz ve bu da evdeki saldırı yüzeyini önemli ölçüde azaltır.

Raspberry Pi’nizi Cloudflare Tunnel arkasında özel bir ev web sunucusuna dönüştürmeden önce aşağıdaki donanım ve hesapları toplayın:

• En az 4 GB RAM’e sahip Raspberry Pi 4 veya daha yenisi, güvenilir güç kaynağı ve yüksek dayanıklılığa sahip microSD kart veya SSD.
• SSH etkinleştirilmiş ve temel sertleştirme uygulanmış Raspberry Pi OS Lite.
• Alan adınızın Cloudflare DNS’de yönetildiği bir Cloudflare hesabı.
• Tüneller ve politikalar oluşturmak için Cloudflare Zero Trust kontrol paneline erişim.
• WireGuard veya OpenVPN yapılandırma dosyalarını destekleyen kayıt tutmayan bir VPN sağlayıcısı.
• İsteğe bağlı: Yönlendirme ve başlıklar için Nginx, Caddy veya Traefik gibi bir ters proxy.

Önerilen Raspberry Pi başlangıç kiti

Donanım önerisi

Raspberry Pi 4 başlangıç kiti

Kart, güç kaynağı ve depolama içeren kompakt bir kit, anonim barındırma kurulumunu hızlıca çevrimiçi yapar.

Amazon'da Alışveriş

Gizlilik odaklı VPN ihtiyacınız varsa, denetlenen sağlayıcılar gibi Proton VPN veya NordVPN Raspberry Pi üzerinde WireGuard desteği sunar ve kill switch kontrolleri sağlar.

Web sitesi Cloudflare üzerinden herkese açık hale gelse bile Raspberry Pi temel sistemini kararlı tutacak şekilde güçlendirin:

1. İşletim sistemini güncelleyin sudo apt update ve sudo apt full-upgrade, sonra yeniden başlatın.
2. Sudo yetkilerine sahip root olmayan bir kullanıcı oluşturun ve parola ile SSH girişlerini devre dışı bırakın.
3. Güvenlik yamalarının otomatik kurulması için otomatik güncellemeleri etkinleştirin.
4. VPN ve Cloudflare için gerekli olan dışa giden trafiğe izin veren güvenlik duvarı kuralları uygulayın.
5. SSH’yi sadece anahtarla girişe izin verecek şekilde sertleştirin ve brute force saldırılarını yavaşlatmak için fail2ban veya CrowdSec’i etkinleştirin.
6. Raspberry Pi web yığını sistemini systemd altında çalıştırın, böylece hizmetler çökme sonrası otomatik yeniden başlar.

Sonra, Raspberry Pi tünelinin internete sadece şifreli bir VPN yolu üzerinden eriştiğinden emin olun:

1. VPN sağlayıcınızdan WireGuard veya OpenVPN profilleri oluşturun. WireGuard genellikle Raspberry Pi’de daha hızlıdır.
2. Yapılandırmayı içe aktarın. WireGuard için, şuraya yerleştirin /etc/wireguard/wg0.conf.
3. VPN’i başlatın ve VPN arayüzünü Raspberry Pi’den dışa giden trafiğin varsayılan yolu yapın.
4. systemd networkd veya NetworkManager kullanarak açılışta otomatik başlatmayı etkinleştirin.
5. cloudflared’ın VPN olmadan bağlanamaması için iptables veya nftables ile kill switch uygulayın.
6. Çıkış IP’sini doğrulayın curl https://ifconfig.me böylece Cloudflare’ın sadece VPN adresini göreceğini bilirsiniz.

VPN etkinken, Raspberry Pi’de HTTPS isteklerini yerel web sunucusuna ileten bir Cloudflare Tunnel oluşturun:

1. cloudflared’ı resmi depodan yükleyin veya bağımsız ikili dosyayı kullanın.
2. Şu hesapla kimlik doğrulaması yapın cloudflared tunnel login hesabınızı bağlamak için.
3. Şu isimde bir tünel oluşturun cloudflared tunnel create anonymous-site ve UUID’sini not alın.
4. Yazın /etc/cloudflared/config.yml Ana bilgisayar adınızı Raspberry Pi’de çalışan web servisine yönlendiren giriş kuralları ile.
5. Tünelin VPN yolunu kullanmasını zorlayın; VPN arayüzünde varsayılan yolu tutun ve kill switch kurallarını uygulayın.
6. Tünelin açılışta başlaması ve hata durumunda yeniden başlatılması için systemd servisi oluşturun.
7. Alan adınızı cfargotunnel.com altındaki tünel UUID’sine yönlendiren Cloudflare DNS kaydı (CNAME) oluşturun.

Bundan sonra ziyaretçiler siteye Cloudflare üzerinden ulaşır, Raspberry Pi kaynağı ise özel kalır ve doğrudan taramalara kapalı olur.

Daha detaylı politika rehberi için resmi Cloudflare Tunnel dokümantasyonunu inceleyin.

Katmanlı savunmalar, bir kontrol başarısız olsa bile Raspberry Pi ev barındırmayı dayanıklı tutar:

• Hassas yolları Cloudflare Zero Trust politikaları veya servis tokenları ile koruyun.
• Kötüye kullanımı azaltmak için WAF kuralları, bot koruması ve hız sınırlaması etkinleştirin.
• Tünelle sınırlı orijin sertifikaları kullanın ve uçtan uca HTTPS zorlayın.
• Tekrarlayan kimlik doğrulama denemelerini engellemek için Pi üzerinde fail2ban veya CrowdSec çalıştırın.
• Genel içeriği yönetici panellerinden ayırın ve özel araçları Cloudflare Access ile koruyun.
• Meta veri açığını azaltmak için temizlenmiş günlükleri VPN üzerinden uzak bir toplayıcıya gönderin.

Her Raspberry Pi katmanını izleyin, böylece kesintiler kaynak IP sızıntısına yol açmasın:

• Çalıştırın cloudflared tunnel info bağlantının sağlıklı olduğunu doğrulamak için.
• DNS sorgulaması yapın dig +short ve Cloudflare kenar IP’lerine çözüldüğünü doğrulayın.
• VPN arayüzünü kontrol edin wg show veya openvpn --status şifrelemenin aktif olduğunu doğrulamak için.
• Netdata, Prometheus Node Exporter veya Grafana Agent ile Raspberry Pi CPU, bellek, disk sağlığı ve bant genişliğini izleyin.
• Tünel veya VPN kesilirse hızlı uyarı almak için çalışma süresi kontrolleri planlayın.
• Cloudflare analizlerini, tarama belirtileri olan ani artışlar, engellemeler ve kalıplar için inceleyin.

Raspberry Pi’den sunulan bir web sitesi, teslimat hızlı ve tutarlıysa iyi sıralanabilir:

• Varlıkların dünya çapında hızlı yüklenmesi için Cloudflare önbellekleme ve performans özelliklerini etkinleştirin.
• Ziyaretçiler ile Cloudflare kenarı arasındaki gecikmeyi azaltmak için Brotli ve HTTP/3 kullanın.
• Statik içerikleri Cloudflare Workers veya Pages’e aktarırken dinamik işlemleri Raspberry Pi’de tutun.
• İlgili yerlerde zengin sonuç uygunluğunu artırmak için JSON-LD yapılandırılmış veri ekleyin.
• Yönetim portlarını açmadan dağıtımları tünel üzerinden otomatikleştirin.
• Gizliliğe duyarlı analizlerle Core Web Vitals’ı izleyin ve gerilemeleri erken düzeltin.

Teslimatı Raspberry Pi kaynak yönetiminden ayırarak gizliliği korurken küresel performans elde edersiniz.

Bu gizlilik ve güvenlik kaynaklarıyla daha derine inin: