post/homelab-journey-architecture/

[giscus[bot]]

post/homelab-journey-architecture/

Homepage and Blog of ECWU

https://ecwuuuuu.com/post/homelab-journey-architecture/

[TerenceLiu98]

po 主这个系列好好！学习到了很多 Homelab 的知识 :)

[calvin-cao]

博主好！非常有趣的文章，学习了！非科班出身的HomeLaber，刚刚发现您的Site，有很多共同爱好前排学习！尝试搭建了Authentik, Gitea, Plex, Guacamole, Portainer, TrueNAS, pfSense, Caddy 等服务 (全部部署在家里1台自建服务器)，要是早点找到这里就好了😅 目前正在研究怎样保护面向公网的服务，主要在用fail2ban和crowdsec来做隔离但目前在这方面还是纯小白，纯靠YouTube教程摸索，所以还不太敢直接对公网完全开放...感觉国内由于备案规则导致很少有人讲这一块。看过您讲公网服务的文章，还想问问您在保护服务安全方面有什么建议，比如如何使用watchtower自动更新docker服务？Gitea如果对公网开放，仅使用Authentik OIDC是否足够安全？期待您新的文章，keep labbing!

[ecwu]

1. 如果服务只是自己使用的话，我并不建议直接将服务暴露到公网，使用WireGuard/Tailscale组网访问是一个更安全的选择；或者使用 Cloudflare Tunnel 只将必要服务暴露出来，并且按需配置访问的许可（Zero Trust）。
2. Watchtower 部署时需要映射宿主机的 docker.sock 到容器内，它具体的工作形式是持续检测服务的新版本，如果发现了新版本则用 docker.sock 来将旧版本服务停掉然后启动新版本的服务。你可以直接参考项目首页的指引运行：https://github.com/containrrr/watchtower
3. 合理实现的 OIDC 登录是安全的。往往安全短板容易出现在 Gitea 和 Authentik 两边。记得定期更新最新的软件避免严重的漏洞，Authentik 启用除了密码外的 MFA 验证。Gitea 要求用户使用 SSH Key，避免使用密码。

[calvin-cao]

好的，看起来Watchtower实现起来比较容易，这个周末我来试试！感谢关于公网/OIDC的评论 - 我目前虽然只有个位数用户，但需要同时在国外及国内访问，所以目前使用wireguard把两台EC2和家里主机组网实现外网访问，配合Authentik Proxy Auth/OIDC + Crowdsec (给Coder和Plex）看起来暂时还足够安全。下一步就是希望把Gitea对公服务建立起来，会用您的推荐用强制SSH Key + WatchTower自动更新，可能再套一层CF Tunnel或者AWS CloudFront，应该足够应对日常简单的Bots攻击。希望能在下个月内搞定！

[TerenceLiu98]

可以先把 EC2 的防火墙配置好，只暴露有需求的端口比如只开放 http/https/ssh/wg。如果访问的客户端相对固定，可以只允许特定的 CIDR 访问，这样应该是最安全的，毕竟 AWS 的防火墙是最坚固的防线。