architettura-fortezza

name

architettura-fortezza

description

Progetta e installa un'infrastruttura di sicurezza a 4 livelli dove il cuore (dati e chiavi) è offline e staccato, lo scudo è invisibile agli scanner e il server reale è nascosto. Usare quando l'utente vuole un sistema "chiuso in una scatola", un reverse proxy invisibile, un'alternativa self-hosted a Cloudflare, server nascosto, VPN WireGuard, o backup offline irraggiungibili. Trigger - "fortezza", "scatola chiusa", "offline", "invisibile", "nascosto", "mini cloudflare", "reverse proxy", "air gap", "cassaforte", "WireGuard".

Architettura Fortezza (4 livelli)

Quando l'utente vuole un sistema "blindato" dove il cuore è staccato e lo scudo è invisibile, proporre e installare questa architettura. I file template completi (proxy guardian, Caddy, docker-compose, firewall, WireGuard, backup cifrati) sono in references/fortezza/ dentro questa skill; questa skill spiega come adattarli.

Premessa onesta da dare SEMPRE all'utente

La porta web pubblica non può essere invisibile: se i visitatori la raggiungono, la raggiunge anche chi attacca. Invisibili possono diventare invece SSH, l'amministrazione, il server reale e la cassaforte. E i DDoS volumetrici enormi restano gestibili solo con un CDN/WAF esterno (es. Cloudflare free) davanti allo scudo. Non promettere "non attaccabile": promettere "superficie ridotta al minimo, cuore irraggiungibile, dati sempre recuperabili".

I quattro livelli

1. Scudo invisibile — unica macchina pubblica. Caddy (HTTPS + rimozione impronte) → proxy guardian (WAF, rate limit, blocklist silenziosa, lockdown, honeypot). Firewall stealth: solo 80/443 visibili, resto in DROP, niente ping.
2. Server origine nascosto — sito + DB, nessuna porta pubblica, accetta solo lo scudo via VPN. L'app ascolta sull'IP VPN, mai esposta dal provider.
3. WireGuard — rete privata cifrata tra scudo, origine e admin. Non risponde senza chiave valida → invisibile agli scanner. Solo gli AllowedIPs passano.
4. — air-gapped, custodisce la chiave privata. Backup cifrati con chiave pubblica (il server cifra ma non può decifrare). La cassaforte va a prendere i backup (sola andata); il server non la conosce.