CrowdSec dashboard přes NetBird: privátní UI bez portu do internetu

CrowdSec umí blokovat útočníky, ale jeho vlastní přehled je jen textový výstup. Projekt crowdsec-web-ui k tomu přidává dashboard s alerty, rozhodnutími a metrikami — a díky NetBirdu se dá provozovat tak, že do internetu nekouká vůbec: žádný publikovaný port, přístup jen ze zařízení v síti.

Co to je

crowdsec-web-ui od TheDuffman85 je React a Node aplikace, která mluví na CrowdSec Local API (LAPI), svůj stav si drží v SQLite a umí notifikace. Licence AGPL-3.0, žádný účet u hostované služby. Není to oficiální nástroj — nespravuje ho CrowdSec ani NetBird, takže se u něj vyplatí sledovat vydání a historii oprav.

Proč privátní dashboard

Dashboard, který umí rušit blokace, je z principu něco, co nechcete na veřejné adrese s přihlašovací stránkou. NetBird umí publikovat službu jen do vlastní sítě (private service), takže se k ní dostanete z notebooku nebo telefonu přes tunel a z internetu není vidět.

Jak to zapojit

1. Předpoklady: funkční self-hosted NetBird s proxy a wildcard DNS, běžící Traefik a zdravé CrowdSec LAPI.
2. Web UI přidat jako další službu do stejného Compose projektu, sdílet síť s proxy.
3. V NetBird dashboardu vytvořit privátní službu a zvolit Traefik; u nové instalace se proxy i CrowdSec rovnou zapnou v průvodci.
4. Zaregistrovat UI jako machine, ne jako bouncer — potřebuje totiž API pro alerty a rozhodnutí, ne jen čtení blokací. Metriky tahá zvlášť z Promethea.
5. Heslo machine uložit do samostatného secret souboru a práva vyřešit skupinou kontejneru, ne změnou vlastníka souboru.

Na co si dát pozor

Aktualizace obrazu přepíše konfiguraci, takže vlastní změny patří do svazků, ne do kontejneru. A protože jde o komunitní projekt s přístupem k LAPI, je rozumné mu nedávat víc práv, než potřebuje — ideálně vlastní machine účet s omezenou rolí.

Pro provozovatele: tohle je vzor, který se vyplatí zobecnit. Každá administrativní služba — dashboard, správce záloh, monitoring — patří do privátní sítě, ne na veřejnou adresu s heslem. NetBird tím nahradí publikované porty i složité reverzní proxy s Basic auth.