Building a Zero-Trust Homelab: My Journey to Secure My Digital Home

As someone who designs Zero-Trust security architectures for a living, I wanted to create a similar setup for my homelab. I know it sounds like a daunting task, but I believe that with the right tools and a bit of creativity, we can achieve a high level of security without sacrificing usability.

What is a Zero-Trust Homelab?

A Zero-Trust homelab is a network setup that assumes that all traffic, whether it’s coming from inside or outside the network, is untrusted. This means that every request must be authenticated and authorized before it can access any resources on the network. It’s a bit like having a bouncer at a club who checks everyone’s ID before letting them in, regardless of whether they’re a regular or not.

My Goals

When I set out to build my Zero-Trust homelab, I had a few key goals in mind. First, I wanted to create a system that would keep my admin planes (like my hypervisor and backup server) off the public internet. I also wanted to put all my internet-facing apps behind a secure gateway that would require authentication and authorization before granting access. And finally, I wanted to make sure that my setup was simple to operate and maintain, with good audit logs to keep track of everything that’s happening on my network.

How I Built My Zero-Trust Homelab

To achieve my goals, I used a combination of tools and services, including Cloudflare Access, Authentik, YubiKey, and Tailscale. Cloudflare Access provides a secure gateway for my internet-facing apps, while Authentik handles authentication and authorization. YubiKey adds an extra layer of security with hardware-backed authentication, and Tailscale provides a secure VPN for accessing my admin planes.

Here’s a high-level overview of how my setup works:

• Cloudflare DNS handles all my public subdomains and routes traffic to my cloudflared tunnel VM.
• The cloudflared tunnel VM routes hostnames to internal services, which are only accessible through the tunnel.
• Cloudflare Access apps use OIDC to authenticate with Authentik, which enforces WebAuthn with YubiKey.
• Sensitive admin services (like my hypervisor and backup server) are not published and can only be accessed through Tailscale.

Why This Setup?

I chose this setup because it provides a clean separation between my public and admin planes. My public apps are gated by Cloudflare Access and OIDC, which ensures that only authorized users can access them. My admin planes, on the other hand, are not exposed to the public internet at all and can only be accessed through Tailscale.

This setup also provides an extra layer of security with hardware-backed authentication using YubiKey. And with Cloudflare Access and Authentik, I can easily add new apps and services without having to worry about security.

What I’ve Learned

Building a Zero-Trust homelab is not as complicated as it sounds. With the right tools and a bit of creativity, you can create a secure and usable setup that will keep your digital home safe from unauthorized access. The key is to focus on simplicity and ease of operation, while also providing a high level of security and audit logging.

One of the most important things I’ve learned is the importance of separating public and admin planes. By keeping these two planes separate, you can ensure that your sensitive admin services are not exposed to the public internet and can only be accessed through a secure VPN.

Conclusion

Building a Zero-Trust homelab is a great way to secure your digital home and protect your sensitive data. With the right tools and a bit of creativity, you can create a setup that is both secure and usable. I hope that my journey to building a Zero-Trust homelab has inspired you to take a closer look at your own network security and consider implementing similar measures to protect your digital home.

Zbudowanie Zero-Trust Homelab: Moja Podróż do Zabezpieczenia Mojego Cyfrowego Domu

Jako osoba, która projektuje architektury bezpieczeństwa Zero-Trust dla pracy, chciałem stworzyć podobny zestaw dla swojego homelabu. Wiem, że to brzmi jak trudne zadanie, ale uważam, że z odpowiednimi narzędziami i odrobiną kreatywności, możemy osiągnąć wysoki poziom bezpieczeństwa bez poświęcania użyteczności.

Czym jest Zero-Trust Homelab?

Zero-Trust homelab to zestaw sieciowy, który zakłada, że wszystkie dane, czy to pochodzące z sieci, czy z zewnątrz, są niezaufane. Oznacza to, że każdy dostęp musi być uwierzytelniony i autoryzowany, zanim będzie mógł uzyskać dostęp do jakichkolwiek zasobów w sieci. To trochę jak mieć ochroniarza w klubie, który sprawdza każdego przed wejściem, niezależnie od tego, czy jest to stały bywalec, czy nie.

Moje Cele

Kiedy zacząłem budować swój Zero-Trust homelab, miałem kilka kluczowych celów. Po pierwsze, chciałem stworzyć system, który utrzyma moje płaszczyzny administracyjne (takie jak mój hipernadzorca i serwer kopii zapasowych) poza publicznym internetem. Chciałem również umieścić wszystkie aplikacje dostępne przez internet za zabezpieczoną bramą, która wymaga uwierzytelnienia i autoryzacji przed udzieleniem dostępu. I wreszcie, chciałem upewnić się, że mój zestaw jest prosty w obsłudze i konserwacji, z dobrymi logami audytowymi, aby śledzić wszystko, co dzieje się w mojej sieci.

Jak Zbudowałem Mój Zero-Trust Homelab

Aby osiągnąć moje cele, użyłem kombinacji narzędzi i usług, w tym Cloudflare Access, Authentik, YubiKey i Tailscale. Cloudflare Access zapewnia zabezpieczoną bramę dla moich aplikacji dostępnych przez internet, podczas gdy Authentik obsługuje uwierzytelnianie i autoryzację. YubiKey dodaje dodatkową warstwę zabezpieczeń z uwierzytelnianiem opartym na sprzęcie, a Tailscale zapewnia zabezpieczony VPN do dostępu do moich płaszczyzn administracyjnych.

Oto ogólny przegląd, jak działa mój zestaw:

• Cloudflare DNS obsługuje wszystkie moje publiczne poddomeny i kieruje ruch do mojego tunelu cloudflared VM.
• Tunel cloudflared VM kieruje nazwy hostów do usług wewnętrznych, które są dostępne tylko przez tunel.
• Aplikacje Cloudflare Access używają OIDC do uwierzytelniania z Authentik, który wymusza WebAuthn z YubiKey.
• Wrażliwe usługi administracyjne (takie jak mój hipernadzorca i serwer kopii zapasowych) nie są publikowane i mogą być dostępne tylko przez Tailscale.

Dlaczego Ten Zestaw?

Wybrałem ten zestaw, ponieważ zapewnia czyste rozdzielenie między moimi publicznymi i administracyjnymi płaszczyznami. Moje aplikacje publiczne są ograniczone przez Cloudflare Access i OIDC, co gwarantuje, że tylko autoryzowani użytkownicy mogą do nich uzyskać dostęp. Moje płaszczyzny administracyjne, z drugiej strony, nie są narażone na publiczny internet i mogą być dostępne tylko przez Tailscale.

Ten zestaw zapewnia również dodatkową warstwę zabezpieczeń z uwierzytelnianiem opartym na sprzęcie za pomocą YubiKey. I z Cloudflare Access i Authentik, mogę łatwo dodawać nowe aplikacje i usługi bez martwienia się o zabezpieczenia.

Czego Nauczyłem Się

Budowanie Zero-Trust homelabu nie jest tak skomplikowane, jak się wydaje. Z odpowiednimi narzędziami i odrobiną kreatywności, możemy stworzyć zabezpieczony i użyteczny zestaw, który utrzyma nasz cyfrowy dom bezpieczny przed nieautoryzowanym dostępem. Kluczem jest skoncentrowanie się na prostocie i łatwości obsługi, a także zapewnienie wysokiego poziomu zabezpieczeń i logowania audytowego.

Wnioski

Budowanie Zero-Trust homelabu jest doskonałym sposobem, aby zabezpieczyć swój cyfrowy dom i chronić wrażliwe dane. Z odpowiednimi narzędziami i odrobiną kreatywności, możemy stworzyć zestaw, który jest zarówno zabezpieczony, jak i użyteczny. Mam nadzieję, że moja podróż do budowania Zero-Trust homelabu zainspirowała was do przyjrzenia się własnemu bezpieczeństwu sieci i rozważenia wdrożenia podobnych środków, aby chronić swój cyfrowy dom.