关于 ddns 的几个安全疑问

[MDAw]

背景：吃灰树莓派 3b+，移动公网 ipv6 ，cloudflare ddns ，docker 跑的navidrome(web 音乐流媒体服务)。

非 root 用户，密码管理器生成强密码，开启了 ufw 防火墙，v6 仅开放两个高位端口：xxxxx （偶尔需要 VNC ）和 xxxxx （ navidrome ），拒绝其他所有端口公网入站。

疑问：

1.没有绝对安全，上述措施是否能够应对绝大部分潜在攻击者，还能做些什么加强防护?

2.在 example.com 已配置 ssl 证书（ cloudflare 托管）的情况下，能否为子域 sub.example.com:xxxxx 单独配置 HTTPS ，或是让主域的 ssl 在子域也生效?

非专业人士，网络基础匮乏，还请前辈们不吝赐教，感谢阅读和回复，祝好！

[dcty]

1 ，不需要做啥了
2 ，证书可以申请泛域名

[Buges]

最简单的用 caddy 的 on-demand tls ，想写什么子域写什么子域，启动之后自动申请对应的证书。

[huaes]

其实安全问题我们真的想多了，又不是什么高价值目标，攻击是要花钱的

[photon006]

再跑一个 fail2ban

sudo apt install fail2ban -y

[deplivesb]

一个 fail2ban bantime =1w 能解决 90%的话里花哨的安全问题

[MDAw]

@dcty 感谢解惑。

[MDAw]

@Buges caddy 太好用了，已经通过 caddy 反代，自动 tls 很方便。

[MDAw]

@huaes 主要内网下还有 iCloud 备份的照片，尽量防范于未然。

[MDAw]

@photon006
@deplivesb
感谢，已配置 fail2ban 。