Руководство
Рецепты, рассчитанные на локальную сеть: чего они лишаются, не будучи опубликованными, и почему обычно это более безопасный размен.
Не публиковать сервис — не компромисс. Это снимает сертификат, домен, обратный прокси, перебор паролей на форме входа и большую часть того, от чего рецепту иначе пришлось бы защищаться. Когда все, кто пользуется сервисом, находятся в одном доме, границу держит сеть — работу, которую на публичном адресе пришлось бы делать одной лишь аутентификации.
Практическая форма приватности — VPN в дом, а не проброшенный на роутере порт. WireGuard на роутере или на сервере даёт каждому телефону ту же картину сети, что и дома, и сервисы с этой страницы даже не замечают, что что-то изменилось. Проброшенный порт, наоборот, превращает каждое приложение в то, что должно в одиночку пережить открытый интернет.
Этого перестаёт хватать там, где начинается обмен с людьми вне дома: ссылка, которую откроет родственник, страница статуса для кого-то ещё. В этот момент стоит прочитать на странице приложения уровень установки «для VPS» — он прямо перечисляет, чего рецепту ещё не хватает: домена, HTTPS через обратный прокси и резервной копии, уезжающей с сервера.
Подборки
Это сумма минимумов, заявленных перечисленными ниже рецептами. Нижняя граница, а не рекомендация: оставьте запас на систему, резервные копии и рост данных.
Почему он здесь: Самый очевидный случай: резолвер существует, чтобы отвечать устройствам вашей сети, а DNS-сервер, доступный из интернета, — это открытый резолвер, который обязательно используют для атак с усилением.
Почему он здесь: Устройства находят друг друга напрямую, публиковать нечего. В сети, которой вы управляете, это самое простое здесь приложение для приватной работы.
Почему он здесь: Музыкальной библиотеке в локальной сети не нужны ни сертификат, ни домен, а мобильные клиенты продолжают работать через VPN, когда вы не дома.
Почему он здесь: Локальное воспроизведение — то, в чём Jellyfin лучше всего. Публикация означает домен, сертификат и продуманную аутентификацию; VPN даёт тот же результат без всего этого.
Почему он здесь: Единственный сервис в списке, который обязан работать, когда не работает интернет. Локальное управление — весь смысл, и рецепт написан именно под это.
Почему он здесь: Загрузка с телефона и так происходит в той сети, где вы проводите большинство вечеров. Оставить библиотеку приватной — значит включать VPN в поездках и убрать самую большую поверхность атаки в каталоге.