Molti servizi self-hosted hanno autenticazione debole o assente (un pannello admin senza MFA, un'app interna "tanto è dietro il firewall"). Invece di fidarti della loro sicurezza, gli anteponi uno strato di autenticazione forte al reverse proxy – il pattern forward auth: il proxy, prima di far passare qualsiasi richiesta al servizio, la manda a un autenticatore che verifica identità, MFA e policy; solo se passa, la richiesta raggiunge il servizio.
Gli strumenti:
- OAuth2-Proxy – antepone l'autenticazione via un provider OAuth/OIDC (Google, GitHub, il tuo Keycloak): il servizio dietro diventa accessibile solo dopo il login su un'identità fidata
- Authelia / Authentik – più completi: SSO self-hosted con MFA, conditional access (regole per utente/gruppo/rete), un login unico per tutti i tuoi servizi. Authentik è anche un vero identity provider (OIDC/SAML)
È il modo pratico di avvicinarsi a ZTNA nel self-hosting: nessun servizio esposto senza un gate di autenticazione forte davanti, un'identità sola, MFA ovunque – anche per le app che non saprebbero farla. Il pattern completo: mesh VPN per la raggiungibilità, forward auth (Authelia) per l'identità, reverse proxy con TLS per il trasporto. Trasforma una collezione di servizi con sicurezze disomogenee in un sistema con un punto di controllo dell'accesso, forte e coerente – minimo privilegio e verifica dell'identità applicati a tutto ciò che ospiti.