Öffentliche und teilweise öffentliche Dienste

Ein Dienst kann auf Netzwerkebene öffentlich erreichbar sein und trotzdem eine Authentifizierung verlangen. Er kann auch nur über eine Zugriffsrichtlinie oder ein privates Netzwerk erreichbar sein. Legen Sie das Zugriffsmodell fest, bevor Sie die Zertifikatsmethode auswählen.

Vergleich

Methode	Öffentliche URL	Clientinstallation	Hauptabhängigkeit	Geeignet für
Direkte Veröffentlichung	Eigene Domain	Nein	Firewall, Router und Zertifikatsautomatisierung	Öffentliche Websites und Webhooks
Reverse-Proxy	Eigene Domain	Nein	Proxy-Host und Zertifikatsautomatisierung	Einen kontrollierten Zugangspunkt für mehrere Dienste
Cloudflare Tunnel	Eigene Domain	Nein	Cloudflare-Konto und Connector	Privater Ursprung mit Browserzugriff und optionalen Access-Richtlinien
ngrok	ngrok- oder konfigurierte Domain	Nein	ngrok-Konto und Agent	Entwicklung, Demonstrationen und ausgewählte öffentliche Dienste
Tailscale Serve	Tailnet-Name	Ja	Tailscale-Clients und Tailnet	Privater Zugriff für bekannte Geräte
Tailscale Funnel	Öffentlicher Tailscale-Name	Für Besucher nein	Tailscale-Konto und Dienstlimits	Kleine öffentliche Dienste mit eigener Authentifizierung

Direkte Veröffentlichung

Bei direkter Veröffentlichung gibt es die wenigsten Vermittler, aber der Server erhält Internetverkehr. Verwenden Sie Firewall, aktuelle Software, Rate-Limiting und einen automatisierten Zertifikatserneuerungsprozess. DNS-01 erlaubt die Erneuerung ohne geöffneten Port 80; HTTP-01 benötigt den auf der Seite Let's-Encrypt-Zertifikat anfordern beschriebenen erreichbaren Validierungspfad.

Reverse-Proxy

Ein Reverse-Proxy beendet HTTPS und leitet Anfragen an den privaten Server weiter. Er kann Zertifikate, Zugriffsrichtlinien und Protokollierung zentralisieren. Konfigurieren Sie die weitergeleiteten Header und die externe sichtbare URL des Servers, damit erzeugte Links und Weiterleitungen die öffentliche Adresse verwenden.

Verwaltete Tunnel

Cloudflare Tunnel und ngrok verwenden einen ausgehenden Connector, sodass am Ursprung kein eingehender Port erforderlich ist. Prüfen Sie Identität des Anbieters, Zugriffsrichtlinie, Datenverarbeitung, Rate-Limits und Verfügbarkeit, bevor Sie den Dienst für Kundendaten einsetzen.

Tailscale Funnel eignet sich für einen kleinen öffentlichen Dienst mit Tailscale-Adresse. Es ist keine allgemeine Lösung für kundeneigene Domains und darf nicht mit dem privaten Serve-Modus verwechselt werden.

Selektive Veröffentlichung

Verwenden Sie für eine teilweise öffentliche Installation getrennte Hostnamen oder explizite Routen für öffentliche und private Dienste. Schützen Sie Administrationspfade mit einer Zugriffsrichtlinie, halten Sie Verwaltungsoberflächen privat und verlangen Sie Anwendungsauthentifizierung, auch wenn der Anbieter bereits Benutzer authentifiziert.

Weitere Informationen

Anbieterdokumentation finden Sie für Cloudflare Tunnel, ngrok und Tailscale Funnel.