Cloudflare Tunnel vs presmerovanie portov – prečo by ste mali prejsť
Ak prevádzkujete domáci server – či už ide o Home Assistant, Grafanu, Nextcloud alebo čokoľvek iné – pravdepodobne k nemu chcete pristupovať na diaľku. Najčastejšia rada je presmerovať port na routeri. Funguje to, no má vážne nevýhody.
Čo presmerovanie portov v skutočnosti robí
Keď presmerujete port 8123 na Home Assistant, hovoríte routeru: „každú požiadavku prichádzajúcu zvonku na porte 8123 pošli na moje RPi”. Vaša domáca IP adresa sa stáva verejne dostupnou na danom porte.
Problém: boti nepretržite skenujú internet hľadajúc otvorené porty. Minúty po otvorení portu uvidíte v logoch neúspešné pokusy o prihlásenie. Ak má softvér zraniteľnosť, je vystavený celému internetu.
Ďalšie problémy:
- Vyžaduje statickú alebo dynamickú DNS (DuckDNS a pod.)
- Nefunguje, ak váš ISP používa CGNAT (bežné pri mobilnom pripojení)
- HTTPS treba nastaviť manuálne
- Žiadna kontrola prístupu – ktokoľvek, kto pozná IP, sa môže pokúsiť pripojiť
Ako funguje Cloudflare Tunnel
Cloudflare Tunnel funguje inak. Namiesto otvárania portu váš server vytvorí odchádzajúce spojenie do siete Cloudflare. Cloudflare potom prenáša traffic na váš server cez toto spojenie.
Zvonka nič nie je vystavené. Vaša domáca IP zostáva skrytá. Boti nemôžu skenovať vaše služby, pretože nie je žiadny otvorený port na nájdenie.
| Presmerovanie portov | Cloudflare Tunnel | |
|---|---|---|
| Odhalí domácu IP | Áno | Nie |
| Boti skenujú otvorené porty | Áno | Nie |
| HTTPS / SSL | Manuálne nastavenie | Automaticky |
| Funguje za CGNAT | Často nie | Vždy |
| Kontrola prístupu | Žiadna | E-mailové pravidlá |
| Cena | Zadarmo | Zadarmo |
Nastavenie
- Vytvorte bezplatný účet na cloudflare.com
- Pridajte svoju doménu do Cloudflare (funguje aj lacná .xyz doména)
- Prejdite na Zero Trust → Networks → Tunnels → Create a tunnel
- Spustite cloudflared konektor na serveri (najjednoduchšie cez Docker)
- Pridajte verejné hostname smerujúce na vaše lokálne služby
Celé nastavenie trvá asi 15 minút.
Kontrola prístupu cez Zero Trust
Po spustení tunela môžete pridať Cloudflare Access pravidlá. To znamená, že k vašim službám má prístup len vaša e-mailová adresa. Cloudflare pošle OTP kód na e-mail pred udelením prístupu – efektívne bezplatné 2FA pre celý domáci server.
Aj keby niekto objavil vaše URL, bez e-mailového OTP sa k vašim službám nedostane.
Záver
Presmerovanie portov je rýchle riešenie, ktoré vymieňa bezpečnosť za pohodlie. Cloudflare Tunnel dáva rovnaký vzdialený prístup s lepšou bezpečnosťou, automatickým HTTPS a funguje aj za CGNAT – všetko zadarmo.
Ak prevádzkujete akýkoľvek domáci server, prechod na Cloudflare Tunnel stojí za 15 minút potrebných na nastavenie.