Incus OS ile tek dizüstü bilgisayarda güvenli sunucu altyapısı kuruldu
Öne çıkanlar
- Altyapı yönetimi SSH anahtarları yerine Incus API ve sertifika doğrulamasıyla yapılıyor.
- Yapılan her değişiklikte Ubuntu sistem kapsayıcıları OpenTofu tarafından silinip baştan oluşturuluyor.
- İnternet trafiği haproxy, nftables ve CrowdSec ile filtrelenerek Caddy proxy sunucusuna aktarılıyor.
- Yönetim arayüzlerine erişim yalnızca Tailscale tabanlı VPN ağı üzerinden sağlanıyor.
Eski Qubes OS çekirdek ekibi üyesi ve OpenBSD geliştiricisi Solène Rapenne, yedi aylık çalışmanın ardından evindeki tek bir dizüstü bilgisayar üzerinde çalışan güvenli ve otomatik bir sunucu altyapısı kurduğunu açıkladı. SecNumCloud ve ISO 27001 güvenlik standartlarından esinlenen sistem, değişmez işletim sistemi Incus OS temelinde inşa edildi. Altyapı, Nextcloud, Forgejo, Immich, PeerTube ve Vaultwarden gibi yirmiye yakın hizmeti barındırıyor.
Sistem mimarisinde tüm bileşenler OpenTofu ve cloud-init aracılığıyla kod olarak tanımlanıyor. Yapılan herhangi bir yapılandırma değişikliğinde OpenTofu ilgili Ubuntu sistem kapsayıcısını tamamen silip sıfırdan kuruyor, böylece yapılandırma sapmaları engelleniyor. Uygulamalar bu sistem kapsayıcılarının içinde Podman ile quadlet servisleri olarak çalışıyor ve veriler ayrılmış Incus disk alanlarında saklanıyor. Sunucu yönetimi SSH yerine doğrudan Incus API üzerinden yürütülüyor.
Ağ güvenliği varsayılan olarak tüm trafiği engelleyen Incus ACL kurallarıyla sağlanıyor. İnternet trafiği ilk olarak nftables ve CrowdSec korumalı bir haproxy sanal makinesine ulaşıyor, ardından PROXY protokolüyle Caddy ters proxy katmanına aktarılıyor. Hassas yönetim panelleri yalnızca Tailscale VPN üzerinden erişilebilir durumda tutuluyor ve yedekler istemci tarafında şifrelenerek S3 deposuna gönderiliyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.