Домашний сервер без белого IP: безопасная публикация сервисов через VPS, обратный SSH-туннель и Caddy

Пользователь
   │
   │ HTTPS :443
   ▼
VPS с публичным IP
   │
   │ Caddy reverse proxy / TLS termination
   ▼
127.0.0.1:11000 на VPS
   │
   │ Reverse SSH tunnel
   ▼
Домашний сервер
   │
   ▼
Nextcloud / Home Assistant / Jellyfin / code-server / другой сервис

• домен вида cloud.example.com;
  
• HTTPS через Caddy;
  
• домашний сервис за NAT/CGNAT;
  
• reverse SSH tunnel через VPS;
  
• автозапуск туннеля через systemd;
  
• автоматическое восстановление соединения через autossh;
  
• backend-порты, закрытые от прямого доступа из интернета.

Пользователь → HTTPS → VPS/Caddy → 127.0.0.1 на VPS → SSH-туннель → домашний сервер

Домашний сервер → исходящее SSH-соединение → VPS
VPS: 127.0.0.1:11000 → SSH-туннель → домашний сервер: 127.0.0.1:8080
Интернет → https://cloud.example.com → Caddy на VPS → 127.0.0.1:11000

• HOME_SERVER — домашний Linux-сервер, мини-ПК, Raspberry Pi, NAS или иной узел за NAT/CGNAT;
  
• VPS — внешний сервер с публичным IPv4/IPv6-адресом;
  
• tunneluser — ограниченная учётная запись на VPS только для remote port forwarding;
  
• OpenSSH — транспортный уровень и механизм ssh -R;
  
• autossh — автоматическое восстановление SSH-сессии;
  
• systemd — запуск и удержание туннеля как службы;
  
• Caddy — reverse proxy, TLS-терминация и маршрутизация HTTP(S);
  
• UFW — базовый firewall на VPS.

VPS: Ubuntu Server 24.04 LTS
Домашний сервер: Debian/Ubuntu-подобная Linux-система
SSH: OpenSSH из системного репозитория
Reverse proxy: Caddy 2
Firewall: UFW
Автовосстановление туннеля: autossh
Supervisor: systemd

• имя SSH-службы: ssh или sshd;
  
• способ установки Caddy;
  
• расположение конфигурационных файлов;
  
• правила firewall;
  
• версия OpenSSH и поддержка отдельных параметров authorized_keys.

• публичный IPv4 или IPv6;
  
• административный доступ по SSH;
  
• домен или поддомен, указывающий на IP-адрес VPS;
  
• Linux-система, например Ubuntu Server 22.04/24.04 или Debian 12;
  
• права root либо пользователь с sudo;
  
• открытые порты 80/tcp и 443/tcp для Caddy;
  
• доступный SSH-порт для администрирования.

• Linux-система с исходящим доступом в интернет;
  
• установленный OpenSSH-клиент;
  
• сервис, который нужно опубликовать через VPS;
  
• возможность установить autossh;
  
• локальная доступность публикуемого сервиса.

curl -I http://127.0.0.1:8080

curl -I http://localhost:8080

Домашний сервер → VPS

VPS: локальный порт → SSH-туннель → домашний сервис

ssh -N \
  -R 127.0.0.1:11000:127.0.0.1:8080 \
  tunneluser@203.0.113.10

-R 127.0.0.1:11000:127.0.0.1:8080
   │         │     │         │
   │         │     │         └─ порт сервиса на домашнем сервере
   │         │     └────────── адрес сервиса на домашнем сервере
   │         └──────────────── порт, создаваемый на VPS
   └────────────────────────── адрес прослушивания на VPS

127.0.0.1:11000

127.0.0.1:8080

ssh root@203.0.113.10

apt update && apt upgrade -y

apt install -y curl wget git ufw htop nano ca-certificates gnupg lsb-release

lsb_release -a

curl -4 ifconfig.me && echo

adduser --disabled-password --gecos "" tunneluser

mkdir -p /home/tunneluser/.ssh
chmod 700 /home/tunneluser/.ssh
chown -R tunneluser:tunneluser /home/tunneluser/.ssh

usermod -s /usr/sbin/nologin tunneluser

getent passwd tunneluser

/usr/sbin/nologin

ssh-keygen -t ed25519 -f ~/.ssh/vps_reverse_tunnel_ed25519 -C "home-server-to-vps-reverse-tunnel"

ls -la ~/.ssh/vps_reverse_tunnel_ed25519*

vps_reverse_tunnel_ed25519
vps_reverse_tunnel_ed25519.pub

cat ~/.ssh/vps_reverse_tunnel_ed25519.pub

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAI... home-server-to-vps-reverse-tunnel

nano /home/tunneluser/.ssh/authorized_keys

chmod 600 /home/tunneluser/.ssh/authorized_keys
chown tunneluser:tunneluser /home/tunneluser/.ssh/authorized_keys

ls -la /home/tunneluser/.ssh

drwx------ 2 tunneluser tunneluser 4096 ... .
-rw------- 1 tunneluser tunneluser  120 ... authorized_keys

nano /etc/ssh/sshd_config.d/90-reverse-tunnel.conf

# The tunnel account is permitted to create remote port forwards only.
# Interactive access and unrelated forwarding mechanisms are disabled.
Match User tunneluser
    AllowTcpForwarding remote
    GatewayPorts no
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no
    PermitTunnel no
    PasswordAuthentication no
    PubkeyAuthentication yes

• AllowTcpForwarding remote — разрешает только remote forwarding (ssh -R), без local forwarding;
  
• GatewayPorts no — удерживает remote forwarding на loopback-интерфейсах и не позволяет открыть проброшенный порт на внешних интерфейсах VPS;
  
• PermitTTY no — запрещает интерактивный терминал;
  
• X11Forwarding no — отключает X11 forwarding;
  
• AllowAgentForwarding no — запрещает проброс SSH-agent;
  
• PermitTunnel no — запрещает TUN/TAP-туннели;
  
• PasswordAuthentication no — запрещает парольную аутентификацию для этого пользователя;
  
• PubkeyAuthentication yes — оставляет аутентификацию по публичному ключу.

sshd -t

systemctl restart ssh

systemctl restart sshd

systemctl status ssh --no-pager

ssh-keyscan -H 203.0.113.10 >> ~/.ssh/known_hosts

ssh -i ~/.ssh/vps_reverse_tunnel_ed25519 tunneluser@203.0.113.10

This account is currently not available.

ssh -N \
  -i ~/.ssh/vps_reverse_tunnel_ed25519 \
  -o ExitOnForwardFailure=yes \
  -o ServerAliveInterval=30 \
  -o ServerAliveCountMax=3 \
  -o StrictHostKeyChecking=yes \
  -R 127.0.0.1:11000:127.0.0.1:8080 \
  tunneluser@203.0.113.10

ssh root@203.0.113.10

ss -tulpn | grep 11000

tcp LISTEN 0 128 127.0.0.1:11000 ... sshd

curl -I http://127.0.0.1:11000

sudo apt update
sudo apt install -y autossh

autossh -V

sudo nano /etc/systemd/system/reverse-tunnel.service

[Unit]
Description=Reverse SSH tunnel to VPS
After=network-online.target
Wants=network-online.target
[Service]
User=andrei
Environment="AUTOSSH_GATETIME=0"
Environment="AUTOSSH_PORT=0"
ExecStart=/usr/bin/autossh -M 0 -N \
  -i /home/andrei/.ssh/vps_reverse_tunnel_ed25519 \
  -o ExitOnForwardFailure=yes \
  -o ServerAliveInterval=30 \
  -o ServerAliveCountMax=3 \
  -o StrictHostKeyChecking=yes \
  -R 127.0.0.1:11000:127.0.0.1:8080 \
  tunneluser@203.0.113.10
Restart=always
RestartSec=10
[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable reverse-tunnel.service
sudo systemctl start reverse-tunnel.service

systemctl status reverse-tunnel.service --no-pager

journalctl -u reverse-tunnel.service -f

sudo nano /etc/systemd/system/reverse-tunnel@.service

[Unit]
Description=Reverse SSH tunnel to VPS for %i
After=network-online.target
Wants=network-online.target
[Service]
User=%i
Environment="AUTOSSH_GATETIME=0"
Environment="AUTOSSH_PORT=0"
ExecStart=/usr/bin/autossh -M 0 -N \
  -i /home/%i/.ssh/vps_reverse_tunnel_ed25519 \
  -o ExitOnForwardFailure=yes \
  -o ServerAliveInterval=30 \
  -o ServerAliveCountMax=3 \
  -o StrictHostKeyChecking=yes \
  -R 127.0.0.1:11000:127.0.0.1:8080 \
  tunneluser@203.0.113.10
Restart=always
RestartSec=10
[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable reverse-tunnel@andrei.service
sudo systemctl start reverse-tunnel@andrei.service

ss -tulpn | grep 11000

127.0.0.1:11000

curl -I http://127.0.0.1:11000

ufw default deny incoming
ufw default allow outgoing

ufw allow 22/tcp

ufw allow 2222/tcp

ufw allow 80/tcp
ufw allow 443/tcp

ufw enable

ufw status verbose

22/tcp   ALLOW IN
80/tcp   ALLOW IN
443/tcp  ALLOW IN

apt install -y debian-keyring debian-archive-keyring apt-transport-https curl
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | tee /etc/apt/sources.list.d/caddy-stable.list
apt update
apt install -y caddy

caddy version

systemctl status caddy --no-pager

Type: A
Name: cloud
Value: 203.0.113.10

Type: AAAA
Name: cloud
Value: 2001:db8::10

dig +short cloud.example.com

nslookup cloud.example.com

nano /etc/caddy/Caddyfile

cloud.example.com {
    reverse_proxy 127.0.0.1:11000
}

caddy validate --config /etc/caddy/Caddyfile

caddy fmt --overwrite /etc/caddy/Caddyfile

systemctl reload caddy

systemctl status caddy --no-pager

curl -I https://cloud.example.com

cloud.example.com {
    encode zstd gzip
    header {
        Strict-Transport-Security "max-age=31536000; includeSubDomains"
        X-Content-Type-Options "nosniff"
        X-Frame-Options "SAMEORIGIN"
        Referrer-Policy "strict-origin-when-cross-origin"
        Permissions-Policy "geolocation=(), microphone=(), camera=()"
    }
    reverse_proxy 127.0.0.1:11000
}

Nextcloud       127.0.0.1:8080
Home Assistant  127.0.0.1:8123
Jellyfin        127.0.0.1:8096

ExecStart=/usr/bin/autossh -M 0 -N \
  -i /home/andrei/.ssh/vps_reverse_tunnel_ed25519 \
  -o ExitOnForwardFailure=yes \
  -o ServerAliveInterval=30 \
  -o ServerAliveCountMax=3 \
  -o StrictHostKeyChecking=yes \
  -R 127.0.0.1:11000:127.0.0.1:8080 \
  -R 127.0.0.1:18123:127.0.0.1:8123 \
  -R 127.0.0.1:18096:127.0.0.1:8096 \
  tunneluser@203.0.113.10

cloud.example.com {
    reverse_proxy 127.0.0.1:11000
}
home.example.com {
    reverse_proxy 127.0.0.1:18123
}
media.example.com {
    reverse_proxy 127.0.0.1:18096
}

caddy validate --config /etc/caddy/Caddyfile
systemctl reload caddy

-R 127.0.0.1:11000:127.0.0.1:11000

cloud.example.com {
    reverse_proxy 127.0.0.1:11000
}

docker exec -u www-data nextcloud php occ config:system:set trusted_domains 1 --value=cloud.example.com

docker exec -u www-data nextcloud php occ config:system:set overwriteprotocol --value=https

docker exec -u www-data nextcloud php occ config:system:get trusted_domains

nano /home/tunneluser/.ssh/authorized_keys

no-pty,no-agent-forwarding,no-X11-forwarding,permitlisten="127.0.0.1:11000" ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAI... home-server-to-vps-reverse-tunnel

no-pty,no-agent-forwarding,no-X11-forwarding,permitlisten="127.0.0.1:11000",permitlisten="127.0.0.1:18123",permitlisten="127.0.0.1:18096" ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAI... home-server-to-vps-reverse-tunnel

systemctl status reverse-tunnel.service --no-pager

journalctl -u reverse-tunnel.service -f

ss -tulpn | grep 11000

127.0.0.1:11000

0.0.0.0:11000

curl -I http://127.0.0.1:11000

systemctl status caddy --no-pager

journalctl -u caddy -f

caddy validate --config /etc/caddy/Caddyfile

dig +short cloud.example.com

curl -Iv https://cloud.example.com

DNS → Caddy/TLS → локальный endpoint на VPS → SSH-туннель → backend на домашнем сервере

remote port forwarding failed for listen port 11000

ss -tulpn | grep 11000

curl -I http://127.0.0.1:11000

journalctl -u reverse-tunnel.service -n 100 --no-pager

ssh -vvv -N \
  -i ~/.ssh/vps_reverse_tunnel_ed25519 \
  -R 127.0.0.1:11000:127.0.0.1:8080 \
  tunneluser@203.0.113.10

dig +short cloud.example.com

chmod 700 ~/.ssh
chmod 600 ~/.ssh/vps_reverse_tunnel_ed25519
chmod 644 ~/.ssh/vps_reverse_tunnel_ed25519.pub

chmod 700 /home/tunneluser/.ssh
chmod 600 /home/tunneluser/.ssh/authorized_keys
chown -R tunneluser:tunneluser /home/tunneluser/.ssh

apt update && apt upgrade -y
apt install -y ufw fail2ban unattended-upgrades

dpkg-reconfigure --priority=low unattended-upgrades

ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable

ufw status verbose

sshd -t

ss -tulpn

8080
8096
8123
11000
18123
18096

-R 127.0.0.1:12222:127.0.0.1:22

ssh -p 12222 homeuser@127.0.0.1

-R 0.0.0.0:2222:127.0.0.1:22

Администратор → SSH на VPS → SSH через 127.0.0.1:12222 → домашний сервер

Internet
  │
  │ HTTPS
  ▼
VPS: Caddy :443
  │
  │ reverse_proxy to loopback
  ▼
VPS: 127.0.0.1:11000
  │
  │ reverse SSH tunnel
  ▼
Home Server: 127.0.0.1:8080

• туннель слушает только 127.0.0.1 на VPS;
  
• внешний HTTPS принимает Caddy;
  
• backend-порты не публикуются в интернет;
  
• tunneluser ограничен до remote forwarding;
  
• SSH-ключ используется только для туннеля;
  
• StrictHostKeyChecking включён;
  
• GatewayPorts не разрешает публикацию remote forwards на внешних интерфейсах VPS;
  
• firewall разрешает только необходимые входящие порты;
  
• systemd обеспечивает автозапуск и перезапуск туннеля;
  
• Caddy автоматически управляет TLS-сертификатами.

apt update && apt upgrade -y
apt install -y curl wget git ufw htop nano ca-certificates gnupg lsb-release
adduser --disabled-password --gecos "" tunneluser
mkdir -p /home/tunneluser/.ssh
chmod 700 /home/tunneluser/.ssh
chown -R tunneluser:tunneluser /home/tunneluser/.ssh
usermod -s /usr/sbin/nologin tunneluser

nano /etc/ssh/sshd_config.d/90-reverse-tunnel.conf

Match User tunneluser
    AllowTcpForwarding remote
    GatewayPorts no
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no
    PermitTunnel no
    PasswordAuthentication no
    PubkeyAuthentication yes

sshd -t
systemctl restart ssh

ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable
ufw status verbose

ssh-keygen -t ed25519 -f ~/.ssh/vps_reverse_tunnel_ed25519 -C "home-server-to-vps-reverse-tunnel"
cat ~/.ssh/vps_reverse_tunnel_ed25519.pub

nano /home/tunneluser/.ssh/authorized_keys

chmod 600 /home/tunneluser/.ssh/authorized_keys
chown tunneluser:tunneluser /home/tunneluser/.ssh/authorized_keys

ssh-keyscan -H 203.0.113.10 >> ~/.ssh/known_hosts
sudo apt update
sudo apt install -y autossh

sudo nano /etc/systemd/system/reverse-tunnel.service

[Unit]
Description=Reverse SSH tunnel to VPS
After=network-online.target
Wants=network-online.target
[Service]
User=andrei
Environment="AUTOSSH_GATETIME=0"
Environment="AUTOSSH_PORT=0"
ExecStart=/usr/bin/autossh -M 0 -N \
  -i /home/andrei/.ssh/vps_reverse_tunnel_ed25519 \
  -o ExitOnForwardFailure=yes \
  -o ServerAliveInterval=30 \
  -o ServerAliveCountMax=3 \
  -o StrictHostKeyChecking=yes \
  -R 127.0.0.1:11000:127.0.0.1:8080 \
  tunneluser@203.0.113.10
Restart=always
RestartSec=10
[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable reverse-tunnel.service
sudo systemctl start reverse-tunnel.service
systemctl status reverse-tunnel.service --no-pager

apt install -y debian-keyring debian-archive-keyring apt-transport-https curl
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | tee /etc/apt/sources.list.d/caddy-stable.list
apt update
apt install -y caddy

nano /etc/caddy/Caddyfile

cloud.example.com {
    reverse_proxy 127.0.0.1:11000
}

caddy validate --config /etc/caddy/Caddyfile
caddy fmt --overwrite /etc/caddy/Caddyfile
systemctl reload caddy

sshd -t

ufw status verbose

ss -tulpn

systemctl status reverse-tunnel.service --no-pager

journalctl -u reverse-tunnel.service -n 50 --no-pager

systemctl status caddy --no-pager

curl -I http://127.0.0.1:11000

curl -I https://cloud.example.com

Домашний сервер инициирует исходящее SSH-соединение.
VPS предоставляет только локальный tunnel endpoint.
Caddy принимает внешний HTTPS-трафик.
Firewall не публикует backend-порты.
SSH-пользователь ограничен задачей remote forwarding.