Inicio Explorar Axuda
Iniciar sesión
docker
/
ohmu
2
0
Fork 0
Ficheiros Incidencias 0 Pull Requests 0 Wiki
Árbore: 5d2586d5ee
Ramas Etiquetas
ohmu
/
LOEMIND_turvalisus.md

LOEMIND_turvalisus.md 3.2 KB
Histórico Raw

Turvalisus — ohmu (2026-09-26)

Rünnakupind

  • ohmu on NAT-i taga (LAN 192.168.68.114, WAN 84.50.228.95); avalikud domeenid (see1.ee, odamus.com, nuuditalu.ee jm) → 188.166.84.16 = edge (avalik VM), mitte ohmu.
  • ohmu Caddy kuulab ainult 100.87.1.24:443 (tailnet). Internetist otsest ligipääsu pole (ruuteril pole forwardi — kinnitatud).
  • Rünnakupind = LAN (192.168.68.0/24) + Tailscale'i tailnet.

UFW

  • Põhimõte: deny incoming.
  • Lubatud: 22/tcp kõikjalt; 100.64.0.0/10 (tailnet); 192.168.0.0/16 (LAN); 172.18/20.0.0/16 (docker).

  • LAN-blokeering host-protsessidele (Tailscale'ile ja loopbackile jääb alles):

    ufw insert 1 deny from 192.168.0.0/16 to any port 8070 proto tcp   # llama-server
ufw insert 1 deny from 192.168.0.0/16 to any port 8123 proto tcp   # Home Assistant
ufw insert 1 deny from 192.168.0.0/16 to any port 11434 proto tcp  # ollama
ufw insert 1 deny from 192.168.0.0/16 to any port 18555 proto tcp  # go2rtc (HA)

  • 22000/tcp (Syncthing) jäetud avatuks (peer-sync).

Docker: pordid loopback + Tailscale

Kõik avalikult (0.0.0.0) avaldatud Docker-pordid viidud ainult 127.0.0.1 + 100.87.1.24: tika:9998, anythingllm:3002, mcp-filesystem-sse:3100 (ainult loopback), liiklusatlas:8074, reranker:8082, flaresolverr:8191, clickstack:18080/4317/4318, clickstack-proxy:8124, n8n:5678, playwright:3003, jupyter:8887, openclaw:3978. Varem juba: postgres:5432, mariadb:3306, open-webui:3010, portainer:8000/9000/9443, clickhouse:8125/9004, nutikodu:8095. NB: Docker möödub ufw-st (DOCKER-USER tühi) — seetõttu on ainus kaitse sidumine õige liidesega. mcp-filesystem-sse on nüüd ainult 127.0.0.1; opencode MCP URL → http://127.0.0.1:3100/sse.

Saladused

  • Compose'ist .env-i (gitignore'tud, chmod 600): main/.env (postgres/mariadb/jupyter) ja third/n8n/.env (TS_AUTHKEY, N8N_RUNNERS_AUTH_TOKEN, N8N_ENCRYPTION_KEY).
  • Tähelepanu: saladused jäid giti ajalukku (/opt/docker-compose auto-commit). Kaaluda rotatsiooni ja/või ajaloo puhastust.

SSH

  • PasswordAuthentication yes (jäetud teadlikult); root ainult võtmega; fail2ban aktiivne.

Muud leiud (teadvustatud)

  • portainer, dozzle, mcp-terminal omavad docker.sock-i (root-ekvivalent) — portainer on tailnet-only.
  • cadvisor privileged; homeassistant host-network.
  • Tailscale: kogu tailnet on ufw-s lubatud; palju seadmeid (sh tagged-devices). Soovitus: Tailscale ACL-d.

Varukoopiad & rollback

  • Baseline: /home/ardo/security_backup_2026-09-26/.
  • Tar: /media/ardo/merkuur/backup-2026-09-26/ (liiklusatlas.tgz, openclaw.tgz, prod.tgz, docker-compose-configs.tgz).
  • Rollback: git -C /opt/docker-compose revert <commit> + docker compose up -d (või tar-i taastamine mitte-git kaustadele: /data/docker/liiklusatlas, /data/docker/openclaw).
  • Muudatused commitites: 6ad290b (saladused .env), 2d5b876 (Docker-pordid).

Alles / edasi

  • Salajaste rotatsioon (nt kuuhoolduse käigus) — alusta madala riskiga.
  • UFW 192.168.0.0/16 kitsendamine (kui LAN pole üldse vajalik) — eraldi otsus.
  • Tailscale ACL-d (väljaspool ohmu).
  • SSH parool-auth (teadlikult jäetud).