Server & síť/Bezpečnostní audit
Co doma poslouchá a kdo se může dostat dovnitř.
Po přidání VPN jsem prošel všechno, co může někdo zvenku najít. Z internetu nic. Tři věci jsem přesto vypnul a jedno riziko zůstalo.
K čemu to je
Checklist, který si projdeš u sebe za večer
Tohle není návod na můj server. Je to pět otázek, které si můžeš položit doma, i když máš jen router a pár chytrých krabiček. Odpovědi najdeš v nastavení routeru a v účtech, které máš dávno založené.
Kdy? Poprvé hned, pak po každé větší změně: nové zařízení s přístupem zvenku, nová služba, nový router. A jednou za půl roku bez důvodu, protože „vypnuté“ má sklon se samo zase zapnout.
Proč
Je to dost bezpečné?
Nejdřív jsem postavil VPN, aby se telefon dostal k domácím službám odkudkoliv. Pak jsem přes ni pustil i celou domácí síť. Každé takové zjednodušení je zároveň nová cesta dovnitř.
Chtěl jsem vědět, kolik těch cest je, kdo po nich může jít a jestli by mi ztráta telefonu otevřela celý byt.
Jak to funguje
Checklist v pěti krocích
- Co poslouchá do internetu. Vypíšu vše, co čeká na spojení, a ptám se, na jaké adrese. Pro veřejnou adresu je správná odpověď: nic. Web jde ven tunelem, který spojení navazuje zevnitř.
- Kdo se dostane dovnitř. Rozhraní pro správu jen přes VPN. SSH jen klíčem a jen na VPN adrese. Router: vzdálená správa, UPnP a WPS vypnuté.
- Co odchází ven. Vlastní DNS vidí každý dotaz z domácnosti. Když něco mluví s neznámým serverem, uvidím to tady první.
- Účty a dvoufázové ověření. Hlavní účet, správa VPN, doména, router. Všude 2FA. Účet je dnes větší díra než port.
- Aktualizace. Kontejnery se aktualizují samy, s výjimkou DNS, u kterého chci každou změnu vidět. Systém a router ručně, ale pravidelně.
Nálezy
Co jsem našel a vypnul
Cloud přístup k Home Assistantu
Zapnutý ještě z dob před VPN. Aplikace v telefonu už jede přes VPN, tak jsem cloud vypnul. Jedna cesta dovnitř míň.
Sdílení souborů mezi zařízeními
Desktopová aplikace poslouchala na všech adresách. Použil jsem ji dvakrát. Ukončena a z autostartu pryč.
Propojení s telefonem
Služba na párování notebooku s mobilem. Poslouchá všude, nepoužívám. Vypnuto včetně autostartu.
Router
Vzdálená správa z internetu, UPnP i WPS vypnuté. Wi-Fi na WPA3 s přechodem pro starší zařízení.
Tunel a VPN
Tunel vede jen k webům, k žádné správě. VPN bez výstupního uzlu, server cizí trasy nepřijímá. Ztracené zařízení musím smazat ručně.
Zbývá: fyzické riziko
Odemčený mobil nebo počítač, případně ukradený hlavní účet, znamená přístup do celé sítě. Mitigace: 2FA, zámek obrazovky, ztracené zařízení hned odebrat z VPN.
Co jsem se naučil
Tři věci, které jsem si odnesl
Nejslabší místo je odemčený telefon
Nula veřejných portů nepomůže, když kdo drží můj odemčený mobil, je doma. Na řadě je zámek obrazovky a kratší čas do uzamčení.
Audit má smysl jako diff
Poprvé to trvalo večer. Podruhé kontroluju jen, co se změnilo od minula. Proto si stav zapisuju: co poslouchá, co je vypnuté a proč.
„Vypnuto“ musí přežít restart
Ukončit aplikaci nestačí. Dvě z vypnutých služeb měly autostart a po restartu by byly zpátky. Hotovo je, až když to ověřím po restartu.
Pro AI agenta
Postav si to u sebe
Chceš si to postavit u sebe? Zkopíruj návod a dej ho svému AI agentovi, třeba Claude Code nebo Codexu. Je v něm cíl, postup krok za krokem, pasti, na které jsem narazil, a jak ověřit, že to funguje. Adresy ani hesla v něm nejsou, ty agent doplní s tebou.
Pro zvědavé
Technické detaily
Jak jsem kontroloval čtyři otázky, žádné výstupy
- Co poslouchá
- Výpis naslouchajících soketů systémovou utilitou, seřazený podle adresy. Cokoliv s „všechny adresy“ musí mít důvod, nebo jde pryč.
- Firewall
- Stav firewallu a výchozí politika pro příchozí spojení: zamítnout. Výjimky jen pro to, co potřebuje domácnost.
- Tunel
- Konfigurace tunelu: seznam veřejných jmen a kam vedou. Hledal jsem cokoliv, co vypadá jako správa, a nenašel.
- VPN
- Stav VPN klienta: výstupní uzel, sdílení služeb ven, přijímání cizích tras, expirace klíčů. Plus pravidla, které zařízení smí do domácí sítě.
Otevřené body co ještě není dořešené
Automatické aktualizace kontejnerů běží v univerzálním čase, takže se spouštějí o dvě hodiny jindy, než si myslím. Buď nastavím časovou zónu, nebo u jedné služby zafixuju verzi místo „vždy nejnovější“. A v Home Assistantu zbývá jedna volba, která dovoluje vzdálený přístup znovu zapnout z aplikace. Vypnout, aby „vypnuto“ platilo i tam.
Dál