Pangolin на VPS: доступ к домашнему NAS без белого IP

MAATRIX · 17 октября 2026 · 8 мин чтения

Домашний сервер включён, файлы на месте, веб-интерфейс открывается из соседней комнаты. Стоит выйти из дома — и знакомый адрес перестаёт работать. Провайдер использует общий внешний адрес, а настройка проброса порта в роутере ничего не меняет: перед вашим роутером находится ещё один уровень сети, которым вы не управляете.

Для такого сценария можно использовать VPS с публичным адресом и Pangolin. Домашний узел сам устанавливает исходящее соединение, а пользователь обращается к подготовленному ресурсу через доступную внешнюю точку. Белый IP в домашней сети для этой схемы не обязателен.

Разберём доступ к одному веб-приложению на NAS. Это ограниченный и понятный первый проект. Открывать весь домашний сегмент вместе с камерами, телевизором и принтером «на всякий случай» не требуется.

Как устроен путь запроса

В схеме есть три стороны: VPS с Pangolin, коннектор внутри домашней сети и человек снаружи. Коннектор знает, как добраться до нужного локального сервиса. Pangolin управляет доступом и направляет запросы через соединение.

Для веб-приложения пользователь открывает домен вроде files.example.com, проходит предусмотренную проверку и получает страницу сервиса. Для других типов ресурсов может потребоваться клиент и отдельная конфигурация. Различия описаны в руководстве ресурсов Pangolin.

Не путайте эту задачу с полным выходом домашней сети в интернет через VPN. Здесь нужен доступ к определённому сервису. Загрузка видео на телевизоре и соединения всех телефонов не обязаны идти через VPS.

Шифрованный туннель не делает старое приложение безопасным автоматически. Обновления NAS, собственная авторизация сервиса и ограничения доступа остаются нужны. Если открытая веб-панель умеет менять всё хранилище, она требует гораздо более строгого подхода, чем страница семейного календаря.

Что подготовить до установки

Понадобятся домен, VPS с доступным публичным адресом и постоянно работающий узел дома, на котором можно запустить коннектор. Это может быть сам NAS с поддерживаемым контейнерным окружением или отдельный небольшой компьютер.

С домашнего узла проверьте доступ к целевому приложению по локальному адресу. Если он сам не может открыть страницу, внешний туннель эту проблему не исправит. Запишите IP, порт, протокол и требуемое имя хоста приложения.

Зафиксируйте адрес домашнего сервиса через DHCP reservation или другой управляемый способ. Иначе после перезагрузки роутера ресурс может получить другой IP, а Pangolin будет добросовестно обращаться к пустому адресу.

Для небольшого пилота можно рассмотреть MAATRIX Uab Start с 2 vCPU и 4 GB памяти. Если трафика мало, конфигурацию можно уточнить после проверки. При передаче больших файлов важны также скорость домашнего исходящего канала, маршрут до VPS и ограничения клиента. Порт сервера в один гигабит не ускорит домашнюю линию с меньшей отдачей.

Развёртываем внешнюю точку

Используйте поддерживаемую Ubuntu и официальную инструкцию установки Pangolin. Состав компонентов и сетевые требования проекта меняются, поэтому готовую конфигурацию берите для выбранной версии, а не из старой статьи с другим выпуском.

До запуска определите домен панели и домены ресурсов. Настройте DNS на публичный адрес VPS. Откройте только порты, указанные документацией для вашей схемы, и проверьте правила как в ОС, так и в сетевых настройках сервера.

Первичную настройку выполняйте с ограниченным административным доступом. Создайте владельца, настройте надёжный вход и проверьте HTTPS. Публичная панель без завершённой регистрации не должна ждать, пока вы освободитесь вечером.

Сохраните конфигурацию, версии и секреты в защищённой копии. Некоторые возможности продукта относятся к коммерческой редакции. Перед проектированием сложных ролей, кластеров или корпоративного входа проверьте, что выбранная поставка их действительно включает.

Создаём домашнюю площадку и запускаем коннектор

В Pangolin создайте site для домашней сети. Получите идентификатор и секрет, предназначенные именно этой площадке. Они связывают домашний коннектор с вашим сервером, поэтому относятся к учётным данным инфраструктуры.

Актуальная инструкция установки site рекомендует Pangolin CLI; существующие установки Newt описаны отдельно. Для нового развёртывания следуйте текущему пути и не смешивайте переменные из двух поколений инструкций.

Разместите коннектор на постоянно работающем устройстве, задайте адрес своей панели, ID и секрет. Для контейнера используйте постоянный перезапуск, для бинарной установки — поддерживаемый сервис ОС. Секрет предпочтительно передавать через защищённый конфигурационный файл, а не хранить в общей командной памятке.

После запуска убедитесь, что площадка появилась онлайн. Затем перезапустите домашний узел и проверьте автоматическое восстановление соединения. Ручной запуск из открытого терминала подходит для знакомства, но плохо сочетается с удалённым доступом во время отпуска.

Публикуем ровно одно приложение

Создайте ресурс для тестового веб-сервиса и свяжите его с домашней площадкой. Укажите локальный адрес назначения и порт. Назначьте внешний домен и правила доступа выбранным пользователям.

Если приложение использует собственный HTTPS, проверьте сертификат и имя назначения. Не отключайте проверку сертификата глобально ради одного несовпадения. Лучше настроить корректное внутреннее имя или доверенный сертификат в предусмотренной схеме.

У некоторых приложений нужно указать внешний базовый URL и доверенный обратный прокси. Иначе ссылки будут вести на домашний IP, вход зациклится или браузер отклонит cookie. Настраивайте эти параметры по документации самого приложения.

Начните с отдельной страницы или сервиса с тестовыми данными. Откройте домен с телефона, отключив Wi-Fi, чтобы запрос действительно пришёл извне. Проверьте вход разрешённого пользователя и отказ для того, кому ресурс не назначен.

Где проходит граница домашней сети

Для коннектора выберите отдельную учётную запись и запишите, какие домашние адреса ему действительно нужны. Если задача состоит в доступе к фотоальбому, соединение с административной панелью маршрутизатора не приносит пользы. Ограничения на домашнем межсетевом экране помогают сохранить эту границу даже после ошибки в настройке внешнего ресурса.

Полезен короткий журнал изменений: имя опубликованного приложения, адрес назначения, владелец доступа и дата последней проверки. Через полгода он объяснит, почему существует очередной поддомен. Без такого списка домашняя инфраструктура постепенно обрастает дверями, от которых никто не помнит ключей. Раз в месяц просматривайте не только активных пользователей, но и сами ресурсы: закрытая внутри сеть не отменяет необходимости убирать забытые публикации.

Проверка файла важнее зелёной точки

Статус online показывает соединение коннектора, но не доказывает доступность целевого сервиса. Домашняя машина может видеть Pangolin и не видеть NAS из-за другого сегмента сети или локального firewall.

Проверьте несколько операций: открыть страницу, войти, скачать небольшой файл, загрузить тестовый файл и завершить сеанс. Для приложения с WebSocket проверьте функцию, которая использует длительное соединение, например обновление статуса без перезагрузки.

Для большого файла записывайте размер, время передачи и направление. Скачивание с домашнего NAS ограничено домашним исходящим каналом. Повторите тест с другим внешним подключением, чтобы отделить проблему мобильной сети от маршрута до дома.

Если приложение отвечает ошибкой, двигайтесь по цепочке: локальный сервис, доступ коннектора к нему, состояние site, ресурс, DNS и внешний клиент. Такой порядок экономит время. Перезапуск всех компонентов одновременно иногда помогает, но почти ничего не объясняет.

Доступ должен отзываться

Создавайте отдельные учётные записи для членов семьи или сотрудников. Общая ссылка без проверки личности подходит только для действительно публичного ресурса. Для личного файлового хранилища она обычно слишком широкая.

Проверьте отзыв доступа на тестовом пользователе. Посмотрите, что происходит с существующей сессией Pangolin и с сеансом внутри самого приложения. Если приложение сохраняет вход надолго, прекращение нового прохода через шлюз и закрытие уже выданных сеансов могут быть разными операциями.

Не открывайте через ресурс весь интерфейс администрирования NAS, если человеку нужна одна папка. Лучше использовать отдельное файловое приложение или ограниченную роль. Для задач с обычными сетевыми протоколами изучите клиентский доступ и точечные правила, не публикуя SMB напрямую в интернет.

Сохраняйте журналы достаточно долго для разбора сбоев, но не собирайте содержимое файлов и лишние личные сведения. В записи о доступе обычно важнее пользователь, ресурс, время и результат.

Что случится при отключении света

Если дом обесточен, VPS не достанет файлы с выключенного NAS. Если недоступен VPS, внешний адрес ресурса тоже перестанет работать. Схема улучшает доступность маршрута через NAT, но не создаёт копию домашнего хранилища.

Для важных данных нужны отдельные резервные копии. Источник бесперебойного питания может помочь домашнему узлу пережить короткий сбой, но его работу тоже нужно проверить. После восстановления питания убедитесь, что NAS, коннектор и приложение поднимаются автоматически в правильном порядке.

Обновления проводите по очереди и сохраняйте возможность локального доступа. Перед изменением конфигурации, находясь далеко от дома, оцените, сможете ли исправить её при разрыве туннеля. Удалённая дверь не должна быть единственным способом починить собственный замок.

Когда один ресурс стабильно работает, добавляйте следующий с отдельными правами и проверками. Так постепенно получается управляемый доступ к нужным сервисам, а не случайно выставленная наружу домашняя сеть. VPS в этой схеме служит понятной внешней точкой, а белый IP у домашнего провайдера перестаёт быть обязательным условием.