Хочу поднять тему про раскрытие своего домена. Сейчас у меня настроена схема с “невидимостью” локальных сервисов для внешнего мира (по методу разделения портов, как в видео ProHomelab).
На роутере внешние порты 80/443 проброшены на нестандартные порты обратного прокси (81/444). На самом обратном прокси настроены Entrypoints:
80/443 — для локальных сервисов.
81/444 — для того, что реально должно торчать наружу.
Итог: Даже зная домен, из интернета невозможно попасть на локальные сервисы.
Суть вопроса: Стоит ли при такой защите бояться раскрывать само доменное имя?
Является ли это реальной угрозой безопасности, если порты сервисов надежно закрыты схемой выше?
Или “прятать домен” — это уже излишняя паранойя, которая не дает реальной защиты?
А может вовсе наоборот не скрывать и например на корне домена сделать сервис-визитку (типа LinkStack), чтобы давать ссылку людям.
Что в вашем понимании есть раскрытие доменного имени?
Визитку можно повесить, все равно версисы на поддоменах.
В данной схеме разделение портов чисто формальное, с тем же успехом можно по IP адресам сделать фильтр доступа, в целом, это защита на уровне конфигурации, которую надо проверять т.к. человеческий фактор никто не исключал
если твой днс указывает на локальные ип, то без знания домена нельзя попасть в сервис
менять порты смысла нет, как и открывать их на роутере
обратный прокси нужен только если надо на одной машине иметь кучу сервисов и чтобы доступ был по стандартным портам без дописывания их к адресу
если у тебя 3.5 сервиса, то прокси не нужен
все заморочки с проксями и скрытием своего адреса нужны как раз для доступа извне
но это особого смысла не имеет, т.к. твой ип и так скрыт натом, а вот если это белый ип на хостинге, то его лучше скрыть за доменом при помощи cloudflare, чтобы ддос атак не было
То есть разделение портов и доступ по whitelist уже достаточная мера для защиты локальных сервисов.
Тогда почему многие блогеры скрывают своё доменное имя ?
Некоторые хомлаберы скрывают свои локальные IP адреса, тут скорее паранойя + надо понимать, что есть сканеры в интернете, они сканируют порты открытые, репозитории на github на предмет ключей и т.д.
Тут скорее некоторая боязнь того, что конкуренты/спецслужбы начнут массовую охоту на этот домен, не только на уровне сети, но и на уровне
поиска CVE для тех сервисов, которые по данным доменам засветились в видео
отправки блогеру писем с XSS атаками на сервис
целенаправленных DDoS атак на адрес
попыток украсть домен
писать в личку: я пробил по твоему домену IP адрес и еду к тебе