Prohomelab

Предисловие

В homelabbing есть одна огромная болевая точка, с которой сталкивается почти каждый, кто поднимает себе домашний сервер. Сначала всё работает «локально»: сервисы крутятся, веб-интерфейсы открываются, всё красиво, ты всем доволен. Вроде бы. А потом хочется зайти к себе извне — и начинается цирк с конями в виде проброса портов, NAT, белых IP, динамического DNS, доменных имён и вечного ощущения, что ты где-то оставил дверь приоткрытой, куда вот-вот побежит весь интернет (кстати, если у тебя паранойя, это не значит что к весь интернет не побежит).

В этот момент на сцену выходит Pangolin.

По сути, это инструмент, который убирает из уравнения самую неприятную часть — открытые порты. Ты не лезешь в настройки роутера, не ковыряешь firewall и не думаешь: какой порт ты забыл закрыть; открыть; отключил ли ты доступ по SSH; что делать в случае компрометации твоих сервисов или «засвета» IP-адреса и так далее. Pangolin просто поднимает защищённый туннель наружу и даёт тебе доступ к сервисам так, будто они уже «снаружи», хотя физически всё остаётся у тебя дома.

И в этом его главный кайф — он снимает когнитивную нагрузку: не нужно держать в голове сетевую топологию; не нужно вспоминать, чем отличается DNAT от SNAT; не нужно переживать, что очередной сервис торчит в интернет без аутентификации или она слабая (а может не слабая, но ты не знаешь, а посоветоваться не с кем; а если есть с кем, то возможно он тебя интеллигентно послал, в смысле промолчал); что зря ты на роутере сэкономил или повелся на рекламу и так далее. С Pangolin ты описываешь, что именно хочешь открыть — вернее, какой сервис или сервер — и Pangolin делает это аккуратно и безопасно.

Отдельно хочу отметить, что наконец-то всё это не выглядит как набор костылей, который постарались впихнуть во что-то бесформенное и потому отторгающее. Есть нормальный интерфейс, понятная логика и ощущение, что это не «ещё один GitHub-проект энтузиаста для энтузиастов», а цельный и, что самое главное, стабильный инструмент. Он не пытается быть всем сразу — просто решает конкретную задачу: дать доступ к твоим сервисам без лишнего геморроя (простите за мой французский).

Фактически, Pangolin — замена Cloudflare Tunnels, только без Cloudflare. Это твоё личное приложение. Ведь суть self-hosting именно в этом, правда?

Но, конечно, за комфорт приходится платить. И тут каждый решает сам: либо ты тратишь время и нервы, вручную настраивая сеть и безопасность; тратишь время на изучение вопроса и набивание шишек (без этого никак); либо платишь за инструмент, который это уже сделал за тебя. Pangolin как раз про второй вариант.

В итоге это история не столько про технологии, сколько про удобство. Про тот момент, когда ты хочешь, чтобы всё просто работало, без танцев с бубном и вечных проверок «а точно ли я всё закрыл», открыты ли у меня только порты 80 и 443 (а в зависимости от твоего софта может быть и больше, например если речь о SIP). И если ты уже устал от этой сопутствующей нервотрёпки — скорее всего, ты поймёшь, зачем вообще существует Pangolin.

Особенности приложения

Если копнуть еще глубже, Pangolin интересен не тем, что «работает из коробки», а тем, как именно он это делает. Под капотом — понятный стек современных сетевых подходов, аккуратно собранный в одно целое.

В основе лежит идея туннелирования. Вместо того чтобы принимать входящие соединения, твой сервер сам устанавливает исходящее соединение к внешней точке. Это важный момент: исходящие соединения почти всегда разрешены в обычных файрволлах, поэтому не нужно открывать порты на роутере. Дальше весь трафик к твоим сервисам просто прокидывается через этот туннель обратно внутрь.

Поверх этого используется шифрование — как правило, на базе TLS. То есть трафик не просто «идёт через какой-то канал», а защищён от перехвата. По сути, это похоже на то, как работают VPN или решения вроде Cloudflare Tunnel: у тебя есть доверенный канал, внутри которого уже живут твои HTTP, SSH или любые другие сервисы.

Дальше включается проксирование. Pangolin выступает как обратный прокси: он принимает запросы снаружи и направляет их к нужному сервису внутри твоей сети. Это значит, что можно вешать несколько сервисов на один внешний вход, разруливать домены, пути и всё остальное, не трогая саму сеть.

Конечно, есть нормальная система аутентификации. Вместо того чтобы надеяться, что «никто не найдёт мой порт» (когда он у тебя 2222 ), Pangolin делает ставку на контроль доступа: кто может подключаться, к чему именно и при каких условиях. Это популярный zero-trust подход.

Плюс ко всему, такие решения обычно завязаны на агентную модель. У тебя есть клиент (агент), который крутится рядом с сервисами, и есть управляющая часть, которая знает, как эти сервисы опубликовать. Благодаря этому можно централизованно управлять доступом и не настраивать каждый контейнер или сервер отдельно.

В итоге Pangolin — приложение, которое одновременно интегрирует обратный прокси Traefik, протокол WireGuard, CrowdSec, а также возможность интеграции с любым известным IdP и IAM-провайдером. И как вишенка на торте — удобный Geo-Blocking, что позволяет нам заблокировать сразу входящие соединения оттуда, откуда мы их не ждем (а это практически ото всюду, кроме страны проживания, ну и еще одной, наверно, может быть, ну ты понял, да?).

По отдельности про все эти приложения я уже неоднократно рассказывал как в статьях, так и в видео на канале. Но ценность Pangolin в том, что тебе не нужно собирать этот конструктор самому из Traefik, WireGuard, Crowdsec, Authelia/Authentik и ещё пары компонентов. Всё уже собрано и работает как единая система.

Цена развертывания сервиса

С Pangolin есть один нюанс, который многие пропускают на старте: он кажется «простым», пока не начинаешь разворачивать его правильно. Потому что сам по себе он работает из коробки, но чтобы он работал стабильно, безопасно и без сюрпризов — нужно соблюсти несколько базовых условий.

1. Во-первых, тебе нужен сервер, который будет постоянно доступен из интернета. Это может быть VPS или любой внешний хост с белым IP. Именно туда Pangolin будет поднимать туннели, и именно эта точка станет «входом» в твой homelab. Без этого вся магия просто не сложится. В идеале — аренда VPS.

2. Дальше — домен. Можно, конечно, жить и без него, но нормальная работа с HTTPS, удобные адреса сервисов и в целом адекватный UX начинаются именно с домена. Плюс тебе придётся настроить DNS так, чтобы он указывал на внешний сервер.

3. Следующий момент — сертификаты. Pangolin работает через защищённые соединения, поэтому TLS здесь не опция, а необходимый элемент. Хорошая новость в том, что чаще всего это автоматизируется через Let’s Encrypt, и руками почти ничего делать не нужно — главное, чтобы DNS был настроен правильно.

4. На стороне твоего домашнего сервера всё гораздо проще. Там достаточно запустить агент Pangolin, который установит исходящее соединение. И вот здесь ключевой плюс: никаких открытых портов, никаких изменений в роутере. Главное, чтобы сервер мог выходить в интернет.

5. Менее очевидная часть — сеть и DNS внутри твоей инфраструктуры. Если ты хочешь, чтобы всё выглядело красиво и работало без костылей, стоит продумать, как сервисы будут резолвиться, как ты будешь разделять внутренний и внешний доступ и не возникнет ли конфликтов между ними.

6. Конечно, базовая безопасность. Даже если Pangolin сам по себе закрывает много дыр, это не повод запускать всё с дефолтными настройками. Пароли, доступы, ограничения — всё это по-прежнему важно. Zero trust — это не только про инструмент, но и про то, как ты его используешь.

В итоге правильное развёртывание Pangolin — это не про «запустил контейнер, пользуйся и забыл про настройки». Это про связку из внешнего сервера, домена, нормального TLS и аккуратной, точечной настройки доступа. Если это всё есть, дальше он действительно начинает ощущаться как супер-приложение, которое снимает многие проблемы.

Как работает Pangolin

Основные шаги

Архитектура системы Pangolin

Pangolin состоит из нескольких ключевых компонентов, которые взаимодействуют друг с другом, обеспечивая безопасный удалённый доступ к сервисам без необходимости открывать порты.

Требования к установке и установка Pangolin

Процесс подготовки VPS

1
adduser youruser
2
usermod -aG sudo youruser

1
su - youruser
2
sudo whoami

1
sudo nano /etc/ssh/sshd_config

1
Port 2222  (ставить такой порт это большая ошибка)
2
PermitRootLogin no

1
PasswordAuthentication no

1
sudo apt update
2
sudo apt install -y ufw

1
sudo ufw allow номерпортадляssh,еслитыневключилдоступтолькопоключам/tcp
2
sudo ufw allow 80/tcp
3
sudo ufw allow 443/tcp
4
sudo ufw allow 51820/udp
5
sudo ufw allow 21820/udp

1
sudo ufw enable
2
sudo ufw status

1
sudo systemctl restart ssh

1
ssh youruser@your_ip -p номерпортадляssh,еслитыневключилдоступтолькопоключам

Вам потребуется создать записи типа A (или AAAA для IPv6), указывающие на IP-адрес вашего VPS.

Это позволит любому поддомену (например, app.example.com, api.example.com) указывать на ваш VPS.

Эта запись нужна только в том случае, если вы хотите использовать example.com (а не только поддомены).

Процесс установки

1
 curl -fsSL https://static.pangolin.net/get-installer.sh | bash

1
sudo ./installer

1
Для завершения первоначальной настройки перейдите по адресу:
2

3
`https://pangolin.твойдомен.com/auth/initial-setup`