如何安全地将局域网内的 http 服务暴露在公网？

[dangyuluo]

我在局域网内搭建了一个 Frigate （ object detection)服务，用来做一些家庭自动化。Frigate 提供了一个 web 接口，监听在 10.0.0.200:5000 上。为了在外访问，我把路由器开放了一个端口转发。但是 Frigate 本身既不提供 https，也不提供鉴权，因此我需要配置一些安全措施。

我可以另外搭建一个 nginx 作为 https 反向代理，但是鉴权的话现在只能想到 https basic authenticate 。请问有没有更安全、简单的做法呢？

[wangsongyan]

vpn，不过我还没倒腾清楚

[dangyuluo]

@wangsongyan 是想要安全暴露在公网，不是安全地访问内网

[Pastsong]

https basic authentication 挺安全的，只要做好爆破处理

[wangsongyan]

@dangyuluo #2 没有认真审题🥵

[40EaE5uJO3Xt1VVa]

如果这个局域网内的 http 服务 只有你自己访问.

你可以用 frp 的 stcp 模式，把这个内网 http 服务通过 frp 绑定到你的固定访问的设备端口上.具体你看看 frp 的 stcp 模式怎么用的.

固定访问的设备访问自己的 127.0.0.1:5000,就会被 frp 转发请求到局域网的 http 上.

这样既没有公开暴露，frp 自带的加密和身份验证也能保证安全

[hackyuan]

可以使用 SSH 隧道的端口转发，我最近整理了下 https://docs.shanyuhai.top/os/linux/ssh-makes-your-server-more-secure.html#ssh-%E9%9A%A7%E9%81%93

[dingwen07]

HTTPS Client Authentication

[plko345]

自己访问的话可以做证书双向验证

[LeeReamond]

用过的方案楼上都说了，tls+basic auth 的方法是没问题的，只不过要防爆破需要一个强密码。sftp 的安全性也可以，这么长时间没听说过什么出问题的新闻

[matrix67]

https basic authenticate + fail2ban

重要的就是防止爆破，或者不是用密码认证。

[hanguofu]

请问 https basic authenticate 是不是需要 域名 和 TLS 证书啊 ？把域名 指向自己的内网服务器 犯法吗 ？需要到当地公安局 报备 icp 证书吗 ？需要备案吗 ？

[dangyuluo]

@hanguofu 你的口气很奇怪。我回头问问 Palo Alto police department

[NewYear]

https 双向认证