Рекомендации по защите

Интерфейс управления контролирует DNS, сертификаты и порты, поэтому рекомендуется настроить его по следующему списку.

Интерфейс управления

• [ ] Сменить пароль администратора после первого входа
• [ ] Включить двухфакторную аутентификацию (TOTP) или зарегистрировать passkey
• [ ] Если членам семьи или коллегам нужно только смотреть, создать для них учётную запись только для чтения, не передавая пароль администратора
• [ ] Задать секретный путь входа, чтобы интерфейс был доступен только по собственному пути
• [ ] Включить «Только из локальной сети»; для управления извне заходить через VPN (например, Tailscale)
• [ ] Включить HTTPS для интерфейса, если вы заходите из недоверенных сетей
• [ ] Для скриптов автоматизации и командной строки / MCP использовать API-токены с минимальными правами и сроком действия, не передавая пароль администратора
• [ ] Задать пароль шифрования для резервных копий конфигурации и включить резервное копирование по расписанию
• [ ] Настроить в разделе Уведомления оповещения по шаблонам «Безопасность и входы», «Изменения конфигурации» и «Критические сбои»
• [ ] Если интерфейс управления опубликован через обратный прокси на этом же хосте, убедиться, что журнал аудита фиксирует реальный источник; для входов через проброс портов включить протокол PROXY
• [ ] После загрузки новой версии проверить подписи по инструкции Проверка релизов
• [ ] Отключить неиспользуемые модули в разделе «Настройки → Модули», чтобы сократить число слушающих служб и доступных конечных точек
• [ ] В fnOS включать «Вход через fnOS» только если вы доверяете каждой учётной записи администратора fnOS; после включения компрометация учётной записи администратора fnOS означает компрометацию администратора Gately

Внешние сервисы

• При публикации внутренних сервисов через Веб-службы включайте HTTPS и добавляйте базовую аутентификацию, веб-аутентификацию или стороннюю авторизацию;
• для публичных сайтов включайте WAF: сначала в режиме «только обнаружение», чтобы оценить ложные срабатывания, затем в режиме «блокировка»;
• ограничивайте источники белыми и чёрными списками IP, фильтрацией по странам через GeoIP и автоблокировкой при неудачной аутентификации.

Docker

Монтирование docker.sock равнозначно выдаче root-доступа к хосту. Если управление Docker не нужно, уберите это монтирование.

Веб-терминал

Локальный Shell по умолчанию отключён. Включайте его только при необходимости и убедитесь, что для интерфейса управления включена двухфакторная аутентификация.

Резервное копирование конфигурации

Поместите каталог конфигурации в приватный git-репозиторий или регулярно копируйте его. В ssl.json находятся закрытые ключи сертификатов, храните его бережно.