Хмарний інженер для безпеки Cloudflare ZTNA на розгортанні Coolify на серверах Hetzner Bare-Metal

Мета

Ми шукаємо досвідченого Cloud Engineer, щоб спроектувати, розгорнути, забезпечити безпеку та задокументувати два середовища на базі Coolify на сервери Hetzner без гіпервізора.
Основна мета - повністю закрити сервери від Інтернету та надати доступ тільки через Cloudflare Tunnel (Zero Trust), з автентифікацією через Microsoft Entra ID (Azure AD) SSO та агенти Cloudflare WARP, встановлені на пристроях співробітників.

Відео-інструкція з передачі та 1-годинний відеозв'язок завершать проект, щоб забезпечити плавне внутрішнє впровадження.

Обсяг роботи

1. Постачання інфраструктури (Hetzner)

• Налаштування серверів
  Розгорнути два сервери без гіпервізора Hetzner:

  1. Основний сервер (Coolify Central System) – працює з панеллю управління Coolify та оркестрацією.

  2. Вторинний сервер (VPN & Сервіси) – працює з Dockerized WireGuard (WG-Easy або еквівалент) для доступу до корпоративного VPN та для розміщення додаткових сервісів у майбутньому.

• Конфігурація брандмауера Hetzner

  • Використовувати брандмауер без стану Hetzner Robot для обох серверів.

  • За замовчуванням: весь вхідний трафік заблоковано, якщо не дозволено явно

  • Налаштувати упорядковані набори правил (макс. 10 на напрямок) з протоколом, IP, портом та дією

  • Дозволити повернення трафіку через TCP ACK епhemeral порти 32768–65535

  • Дозволити вихідний трафік, необхідний для Cloudflare Tunnel та оновлень.

2. Встановлення та зміцнення Coolify

• Розгорнути останню версію Coolify на власному сервері за допомогою Docker на Основному сервері.

• Під час налаштування відкрити необхідні порти (22 SSH, 80/443 для видачі SSL, 8000/6001/6002 для початкового інтерфейсу), а потім закрити їх після налаштування.

• Переконатися, що обхід NAT Docker враховано: обмежити експозицію за допомогою брандмауера Hetzner.

• Інтегрувати послуги Coolify з Cloudflare Tunnel, щоб надати доступ лише через Zero Trust.

3. Інтеграція Cloudflare Tunnel та Zero Trust

• Розгорнути cloudflared на обох серверах.

• Налаштувати вихідні правила для дозволу порту 7844 TCP/UDP – необхідного для Cloudflare Tunnel.

• Прив'язати тунелі до Cloudflare Zero Trust, забезпечуючи, щоб жодні вхідні порти не залишалися відкритими.

• Налаштувати політики Zero Trust, що обмежують доступ до співробітників компанії, автентифікованих через Microsoft Entra ID (Azure AD) SSO.

• Інтегрувати Entra ID як постачальника ідентичності: надати ідентифікатор програми, ідентифікатор орендаря та секрет, і налаштувати в панелі Cloudflare.

4. Розгортання VPN (Вторинний сервер)

• Розгорнути WG-Easy (Dockerized WireGuard UI):

  • Надає веб-інтерфейс для управління WireGuard VPN.

  • Спрощує створення/анулювання користувачів VPN та налаштування пристроїв.

• Надати доступ до порту WireGuard UDP (51820/51821) тільки через Cloudflare Tunnel.

• Переконатися, що доступ до VPN прив'язаний до політик ідентичності та пристроїв Zero Trust.

5. Документація та навчання

• Надати вичерпну записану відео-інструкцію, що охоплює:

  • Правила брандмауера та конфігурацію Hetzner Robot.

  • Встановлення Coolify, розгортання додатків та додавання/видалення серверів.

  • Конфігурацію Cloudflare Tunnel та політики Zero Trust.

  • Управління VPN з WG-Easy.

• Провести 1-годинний відеозв'язок для передачі для:

  • Відповісти на запитання.

  • Перевірити внутрішнє розуміння.

  • Забезпечити, щоб організація могла самостійно експлуатувати та розширювати налаштування.

Результати

1. Посібник з розгортання та демонстраційне відео, що показує:

   • Два сервери без гіпервізора Hetzner, налаштовані:

     • Центральна система Coolify (основна).

     • Система VPN/Сервіси (вторинна).

   • Інтеграція Cloudflare Tunnel Zero Trust:

     • Microsoft Entra ID (Azure AD) SSO.

     • Виконання на основі пристроїв WARP.

   • Dockerized WireGuard VPN (WG-Easy) розгорнуто та забезпечено.

   • Правила брандмауера задокументовані та написані для відтворюваності.

2. Навчальний пакет:

   • Одногодинна жива сесія запитань і відповідей.

Вимоги до кандидатів

• Доказаний досвід з розгортаннями серверів без гіпервізора Hetzner.

• Глибокі знання конфігурації брандмауера Hetzner Robot.

• Сильний досвід роботи з Linux, Docker та Coolify.

• Доказаний досвід з Cloudflare Tunnel, Zero Trust, WARP та Microsoft Entra ID (Azure AD) SSO.

• Досвід розгортання WireGuard / WG-Easy VPN.

• Відмінні навички документування та комунікації.

Зовнішні ресурси:

Брандмауер Hetzner: docs.hetzner.com

Брандмауер Coolify: coolify.io

Cloudflare Tunnel з брандмауером: developers.cloudflare.com

Microsoft Entra ID: developers.cloudflare.com

Як встановити Wg-Easy: docs.vultr.com