mTLS ve Cloudflare Tunnel ile Kendi Sunucularını Güvenli Açmak

Kendi sunucularında çalıştırdığın uygulamaları internete açmak güvenlik açısından riskli. mTLS (mutual TLS) ve Cloudflare Tunnel birleşimi, hem şifrelemeyi hem de kimlik doğrulamayı sağlayarak bu riski önemli ölçüde azaltıyor.

mTLS, istemci ve sunucu arasında çift yönlü sertifika doğrulaması yapıyor. Yani sadece sunucu değil, istemci de sertifikasını göstermek zorunda. Böylece sadece yetkili cihazlar uygulamalarına erişebiliyor. Cloudflare Tunnel ise sunucunun gelen bağlantıları dinlemesine gerek kalmadan, giden bir tünel üzerinden trafiği iletebiliyor. Bu sayede port açmak ve DDoS riskiyle uğraşmak zorunda kalmazsın.

Bu yaklaşımın avantajı basitliği. Traefik gibi ters proxy'leri sıfırdan kurmak ve sertifikaları yönetmek karmaşık olabilir. Cloudflare'in arayüzü ve otomasyonu sayesinde kurulum çok daha hızlı. Sertifikaları Cloudflare tarafında oluşturuyor, güncelleme ve yenileme otomatik oluyor.

Praktik olarak yapman gereken şey: Cloudflare hesabında mTLS sertifikası oluştur, Tunnel'ı konfigüre et, sunucunda Cloudflare ajan (cloudflared) çalıştır. Ajan, sunucundaki uygulamaya (örneğin Vaultwarden, Bitwarden) yerel ağ üzerinden erişir ve trafiği Cloudflare Tunnel'ına iletir. İstemci tarafında da mTLS sertifikasını yükle; artık sadece bu sertifikaya sahip cihazlar bağlanabiliyor.

Cloudflare'e güvenmek istemiyor ve tamamen DIY yapmak tercihiyse Traefik + Let's Encrypt yolu var ama daha fazla ayar gerektirir. Ancak Cloudflare'in altyapısı ve güvenlik özellikleri kullanmak istiyorsan bu kombinasyon hızlı ve etkili.