Инженер облачных технологий для безопасности Cloudflare ZTNA на развертывании Coolify на серверах Hetzner Bare-Metal

Цель

Мы ищем опытного облачного инженера для проектирования, развертывания, обеспечения безопасности и документирования двух окружений на базе Coolify на сервере Hetzner с выделенным оборудованием.
Основное внимание уделяется полной блокировке серверов от Интернета и предоставлению доступа только через Cloudflare Tunnel (Zero Trust), с аутентификацией через Microsoft Entra ID (Azure AD) SSO и агенты Cloudflare WARP, установленные на устройствах сотрудников.

Видеоурок по передаче знаний и видеозвонок на 1 час завершат проект, чтобы обеспечить плавное внутреннее внедрение.

Объем работы

1. Обеспечение инфраструктуры (Hetzner)

• Настройка сервера
  Развернуть два сервера Hetzner с выделенным оборудованием:

  1. Основной сервер (Центральная система Coolify) – работающий с панелью управления и оркестрацией Coolify.

  2. Вторичный сервер (VPN и услуги) – работающий с Dockerized WireGuard (WG-Easy или эквивалент) для доступа к корпоративному VPN и для размещения дополнительных услуг в будущем.

• Конфигурация брандмауэра Hetzner

  • Использовать беспроводной брандмауэр Hetzner Robot для обоих серверов.

  • По умолчанию: все входящие соединения заблокированы, если не разрешено явно

  • Настроить упорядоченные наборы правил (макс. 10 на направление) с протоколом, IP, портом и действием

  • Разрешить обратный трафик через TCP ACK эфемерные порты 32768–65535

  • Разрешить исходящий трафик, необходимый для Cloudflare Tunnel и обновлений.

2. Установка и защита Coolify

• Развернуть последнюю версию Coolify с самохостингом, используя Docker на Основном сервере.

• Во время настройки открыть необходимые порты (22 SSH, 80/443 для выдачи SSL, 8000/6001/6002 для начального интерфейса), затем закрыть их после настройки.

• Убедиться, что обход NAT Docker учтен: ограничить доступ с помощью брандмауэра Hetzner.

• Интегрировать услуги Coolify с Cloudflare Tunnel, чтобы предоставить доступ только через Zero Trust.

3. Интеграция Cloudflare Tunnel и Zero Trust

• Развернуть cloudflared на обоих серверах.

• Настроить исходящие правила для разрешения порта 7844 TCP/UDP – необходимого для Cloudflare Tunnel.

• Привязать туннели к Cloudflare Zero Trust, обеспечивая, чтобы не осталось открытых входящих портов.

• Настроить политики Zero Trust, ограничивающие доступ для сотрудников компании, аутентифицированных с помощью Microsoft Entra ID (Azure AD) SSO.

• Интегрировать Entra ID в качестве поставщика идентификации: предоставить идентификатор приложения, идентификатор арендатора и секрет, и настроить в панели управления Cloudflare.

4. Развертывание VPN (Вторичный сервер)

• Развернуть WG-Easy (Dockerized WireGuard UI):

  • Обеспечивает веб-управление для WireGuard VPN.

  • Упрощает создание/отзыв пользователей VPN и настройку устройств.

• Открыть UDP порт WireGuard (51820/51821) только через Cloudflare Tunnel.

• Убедиться, что доступ к VPN связан с политиками идентификации и устройства Zero Trust.

5. Документация и обучение

• Предоставить всеобъемлющий записанный видеопутеводитель, охватывающий:

  • Правила брандмауэра и конфигурацию Hetzner Robot.

  • Установку Coolify, развертывание приложений и добавление/удаление серверов.

  • Конфигурацию Cloudflare Tunnel и политики Zero Trust.

  • Управление VPN с WG-Easy.

• Провести видеозвонок на 1 час для:

  • Ответов на вопросы.

  • Проверки внутреннего понимания.

  • Обеспечения того, чтобы организация могла работать и расширять настройку самостоятельно.

Результаты

1. Руководство по развертыванию и демонстрационное видео, показывающее:

   • Два сервера Hetzner с выделенным оборудованием, настроенные:

     • Центральная система Coolify (основная).

     • Система VPN/Услуг (вторичная).

   • Интеграция Cloudflare Tunnel Zero Trust:

     • Microsoft Entra ID (Azure AD) SSO.

     • Принуждение на основе устройства WARP.

   • Dockerized WireGuard VPN (WG-Easy) развернут и защищен.

   • Правила брандмауэра задокументированы и прописаны для воспроизводимости.

2. Учебный пакет:

   • Сессия вопросов и ответов на один час.

Требования к кандидату

• Доказанный опыт работы с развертыванием серверов Hetzner с выделенным оборудованием.

• Глубокие знания конфигурации брандмауэра Hetzner Robot.

• Сильный опыт работы с Linux, Docker и Coolify.

• Доказанный опыт работы с Cloudflare Tunnel, Zero Trust, WARP и Microsoft Entra ID (Azure AD) SSO.

• Опыт развертывания VPN WireGuard / WG-Easy.

• Отличные навыки документирования и коммуникации.

Внешние ресурсы:

Брандмауэр Hetzner: docs.hetzner.com

Брандмауэр Coolify: coolify.io

Cloudflare Tunnel с брандмауэром: developers.cloudflare.com

Microsoft Entra ID: developers.cloudflare.com

Как установить Wg-Easy: docs.vultr.com