# Sicherheitsdokumentation

## Sicherheitsarchitektur

Die VPS nutzt mehrere Sicherheitslayer.

—

# Sicherheitskomponenten

| Komponente | Aufgabe |
|—|—|
| CrowdSec | Dynamische Angriffsblockierung |
| nftables | Paketfilterung |
| Docker Netzwerkisolierung | Segmentierung |
| WireGuard | Sicherer Fernzugriff |
| Nginx Proxy Manager | TLS Terminierung |
| authentik | Zentrale Authentifizierung |

—

# Firewall

## Aktueller Zustand

UFW ist deaktiviert.

Die VPS nutzt stattdessen:
- nftables
- Docker-verwaltete Regeln
- CrowdSec Integration

—

# Docker Isolation

Die Docker-Netzwerke sind durch nftables-Regeln segmentiert.

Vorhanden:
- RAW Regeln
- Netzwerkisolation
- Interface-basierte Filterung

—

# Öffentlich erreichbare Dienste

| Dienst | Port |
|—|—|
| NPM | 80 / 443 |
| Forgejo | 3000 |
| Forgejo SSH | 2222 |
| authentik | 9000 |
| TeamSpeak | 9987 / 10011 / 30033 |
| WireGuard | 51820 |

—

# Lokale Bindings

Folgende Dienste sind nur lokal erreichbar:

| Dienst | Binding |
|—|—|
| NPM Admin | 127.0.0.1:81 |
| Uptime Kuma | 127.0.0.1:3001 |
| AdGuard UI | 127.0.0.1:3002 |

—

# Sicherheitsbeobachtungen

## Positiv

- CrowdSec aktiv
- Docker Netzwerksegmentierung
- Localhost Bindings vorhanden
- VPN sauber getrennt
- geringe Angriffsfläche des Hosts

—

# Verbesserungspotenzial

## Hohe Priorität

- authentik nicht direkt öffentlich exposen
- Forgejo Exposure prüfen
- öffentliche Ports reduzieren

—

# Mittlere Priorität

- Compose Standards vereinheitlichen
- zentrale Loggingstrategie
- automatische Sicherheitsbenachrichtigungen

—

# Langfristige Ziele

- minimale Angriffsfläche
- vollständig dokumentierte Infrastruktur
- automatisierte Sicherheitsüberwachung
- reproduzierbare Konfiguration
- wartungsarme Architektur