VPS-бастион: доступ к домашнему серверу без белого IP

• Российские одноплатники. Repka Pi или Элтай ЭсСи (Eltay SC) от новосибирской компании «Элрон» на базе процессора «Скиф». Прямые аналоги Raspberry Pi на отечественной элементной базе.
  
• Китайские одноплатники. Orange Pi, Banana Pi, Radxa. Доступны, имеют активные русскоязычные сообщества, часто предлагают лучшие характеристики за меньшие деньги.
  
• Старый ноутбук или ПК. Самый народный путь. Мощности даже 10–15-летнего устройства с избытком хватит для домашнего сервера. У меня старенький, 14-летний Acer, рука не поднялась выбросить, поцарапанный, со сколами, но старый конь борозды не портит.

• Дисковое пространство. На домашнем сервере у вас может быть терабайт фотографий, фильмов и музыки. VPS с таким объёмом диска стоит совсем других денег.
  
• Локальный доступ без интернета. Home Assistant продолжит управлять умным домом, даже если интернет пропадет. А Jellyfin будет раздавать кино по локальной сети без задержек и без расхода трафика.
  
• Приватность. Данные лежат у вас дома, а не в дата-центре. Для кого-то это важно, в том числе для меня.
  
• Производительность. Старый ноутбук с i5 может быть мощнее бюджетного VPS с одним vCPU.

• Не нужно открывать порты на роутере.
  
• Трафик между вами и домом шифруется.
  
• Работает с любым провайдером, даже если используется CGNAT.
  
• Мы не зависим от сторонних сервисов (будь то заблокированный Cloudflare или отечественные решения вроде DDoS-Guard или Qrator Labs) и полностью контролируем свои данные.

ssh -R 8123:localhost:8123 tunneluser@vps_ip

Клиент → VPS:порт 8123 → SSH-туннель → Домашний сервер:порт 8123

sudo nano /etc/ssh/sshd_config

GatewayPorts yes
AllowTcpForwarding yes

Настройка sshd_config в редакторе nano

Настройка sshd_config: разрешаем проброс портов на все сетевые интерфейсы

sudo systemctl restart sshd

sudo adduser tunneluser --disabled-password
sudo passwd tunneluser

ssh-copy-id -i ~/.ssh/id_ed25519.pub tunneluser@<IP_VPS>

ssh tunneluser@<IP_VPS> hostname

sudo usermod -s /usr/sbin/nologin tunneluser

echo /usr/sbin/nologin | sudo tee -a /etc/shells

sudo su - tunneluser -s /bin/bash
mkdir -p ~/.ssh
chmod 700 ~/.ssh
exit

Создание каталога .ssh для пользователя tunneluser

Переключаемся в окружение tunneluser, создаём каталог .ssh и выставляем права 700

Match User tunneluser
    PasswordAuthentication no

sudo systemctl restart sshd

sudo apt install -y psmisc

Установка пакета psmisc и управление паролем tunneluser

Устанавливаем psmisc (нужен для утилиты fuser) и задаём временный пароль

ssh-keygen -t ed25519 -a 100 -C "home-to-vps-tunnel"

sudo apt update
sudo apt install -y autossh

sudo nano /etc/sshtunnels/services.conf

# Home Assistant
8123:8123
# Jellyfin
8096:8096
# code-server
8443:8443
# SSH на домашний сервер (нестандартный порт, чтобы не мешать VPS)
2222:22

sudo nano /usr/local/bin/tunnel-manager.sh

#!/bin/bash
REMOTE_USER="tunneluser"
REMOTE_HOST="123.123.123.123"         # ваш IP VPS
SSH_KEY="/home/pi/.ssh/id_ed25519"    # путь к приватному ключу
SSH_PORT="22"
CONFIG_FILE="/etc/sshtunnels/services.conf"
FORWARD_OPTS=""
while IFS=: read -r remote_port local_port; do
    # Пропускаем пустые строки и комментарии
    [[ -z "$remote_port" || "$remote_port" =~ ^# ]] && continue
    # Убиваем старые процессы на удалённом порту, если туннель упал и порт остался занят
    ssh -p "$SSH_PORT" -i "$SSH_KEY" "$REMOTE_USER@$REMOTE_HOST" \
        "command -v fuser && fuser -k ${remote_port}/tcp 2>/dev/null || true"
    FORWARD_OPTS="$FORWARD_OPTS -R ${remote_port}:localhost:${local_port}"
done < "$CONFIG_FILE"
echo "Запускаем туннели к $REMOTE_HOST с параметрами: $FORWARD_OPTS"
exec autossh -M 0 \
    -o "ServerAliveInterval=30" \
    -o "ServerAliveCountMax=3" \
    -o "ExitOnForwardFailure=yes" \
    -o "StrictHostKeyChecking=no" \
    -o "GatewayPorts=yes" \
    -N -T \
    -i "$SSH_KEY" \
    -p "$SSH_PORT" \
    $FORWARD_OPTS \
    "$REMOTE_USER@$REMOTE_HOST"

Скрипт запуска туннеля tunnel-manager.sh

Полный код скрипта tunnel-manager.sh. В строках REMOTE_HOST и SSH_KEY замените значения на свои.

• command -v fuser && fuser -k ... || true — сначала проверяем, есть ли fuser на VPS. Если нет, ничего не делаем, и код возврата всегда нулевой. Иначе скрипт мог бы упасть при отсутствии fuser.
  
• ExitOnForwardFailure=yes — если по какой-то причине не удалось пробросить хотя бы один порт, SSH немедленно завершится. Тогда systemd зафиксирует падение и перезапустит скрипт.
  
• StrictHostKeyChecking=no — отключает проверку отпечатка ключа хоста. Мы доверяем своему VPS, иначе при первом подключении система спросила бы подтверждение и скрипт завис. Если хотите усилить безопасность, выполните на домашнем сервере ssh-keyscan -H <IP_VPS> >> ~/.ssh/known_hosts и замените StrictHostKeyChecking=no на StrictHostKeyChecking=accept-new. В этом случае туннель примет только сохранённый отпечаток.
  
• GatewayPorts=yes — на всякий случай дублирует глобальную настройку, гарантируя, что проброшенные порты будут слушать все интерфейсы.
  
• -N — не выполнять никаких команд на удалённой стороне, только проброс портов.
  
• -T — не выделять псевдотерминал, что уменьшает накладные расходы.
  
• ServerAliveInterval=30 и ServerAliveCountMax=3 — каждые 30 секунд SSH отправляет keepalive-пакет. Если три пакета подряд не получат ответа, соединение считается разорванным, и autossh инициирует переподключение.
  
• -M 0 — отключает встроенный мониторинговый порт autossh. Мы полагаемся на механизмы keepalive самого SSH и перезапуск через systemd.

sudo chmod +x /usr/local/bin/tunnel-manager.sh

[boot]
systemd=true

sudo nano /etc/systemd/system/autossh-tunnel.service

[Unit]
Description=Persistent SSH Reverse Tunnel to VPS
After=network-online.target
Wants=network-online.target
[Service]
Type=exec
ExecStart=/usr/local/bin/tunnel-manager.sh
Restart=always
RestartSec=20
StartLimitIntervalSec=0
Environment="AUTOSSH_GATETIME=0"
Environment="AUTOSSH_POLL=60"
[Install]
WantedBy=multi-user.target

Файл службы

Содержимое unit-файла для автоматического запуска и перезапуска туннеля

• After=network-online.target — служба стартует только после полной инициализации сети.
  
• Restart=always — перезапускать при любом завершении, кроме явной остановки через systemctl stop.
  
• RestartSec=20 — ждать 20 секунд перед повторной попыткой. Небольшая пауза полезна, чтобы не заддосить VPS при быстро повторяющихся ошибках.
  
• AUTOSSH_GATETIME=0 — считать первое соединение успешным сразу, без задержки.
  
• AUTOSSH_POLL=60 — интервал, с которым autossh опрашивает состояние соединения (в дополнение к ServerAliveInterval).

sudo ufw allow 8123/tcp
sudo ufw allow 8096/tcp
sudo ufw allow 8443/tcp
sudo ufw allow 2222/tcp
sudo ufw enable

sudo systemctl daemon-reload
sudo systemctl enable autossh-tunnel
sudo systemctl start autossh-tunnel

sudo systemctl status autossh-tunnel

Доступ к домашнему серверу через мобильную сеть

Доступ с телефона через мобильную сеть

ss -tulpn | grep 8123

• Убедитесь, что на домашнем сервере сервис действительно слушает нужный порт: ss -tulpn | grep 8123. Если ss отсутствует, используйте netstat -tulpn | grep 8123 или lsof -i :8123.
  
• Проверьте, не занят ли этот порт на самом VPS каким-то процессом: ss -tulpn | grep 8123.
  
• Возможно, на VPS включен файрвол ufw, и порты закрыты. Разрешите их, как описано выше.
  
• Если на VPS не найдена утилита fuser, установите её: sudo apt install -y psmisc. Она нужна скрипту для очистки портов после обрыва туннеля.

sudo ufw allow from <ваш_статический_IP> to any port 8123

sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list
sudo apt update
sudo apt install caddy

hass.my-domain.ru {
    reverse_proxy localhost:8123
}
jellyfin.my-domain.ru {
    reverse_proxy localhost:8096
}
code.my-domain.ru {
    reverse_proxy localhost:8443
}

Конфигурация Caddy для HTTPS и обратного прокси

Пример Caddyfile с поддоменами для Home Assistant, Jellyfin и code-server

:80 {
    reverse_proxy localhost:8080
}

sudo systemctl restart caddy

curl -I http://localhost:80

Проверка работы Caddy

Ответ curl -I http://localhost:80 подтверждает, что Caddy проксирует запросы (HTTP 200 OK)

sudo ufw delete allow 8123/tcp
sudo ufw delete allow 8096/tcp
sudo ufw delete allow 8443/tcp

sudo apt install apache2-utils
htpasswd -c /etc/caddy/.htpasswd username

hass.my-domain.ru {
    basicauth {
        username $2a$14$...
    }
    reverse_proxy localhost:8123
}