Home Assistant: доступ из интернета

Коротко: По умолчанию Home Assistant слушает только локальную сеть, и это базовая защита. Для доступа из интернета есть четыре пути: облако Home Assistant Cloud (один переключатель, порты не открываются), VPN на Tailscale или ZeroTier, обратный прокси и проброс порта. Проброс порта сам по себе не безопасен, трафик нужно шифровать, а при динамическом адресе помогает DuckDNS. Если провайдер выдаёт общий адрес через CG-NAT, проброс не сработает, и остаются облако или VPN. Перед выходом наружу включают сильный пароль и многофакторную аутентификацию.

Home Assistant работает на своём железе и не зависит от чужого облака, но по умолчанию он виден только внутри домашней сети. Как только возникает задача управлять домом с работы или из отпуска, появляется выбор способа доступа, и у каждого способа своя цена по удобству и по риску.

Ниже разобраны четыре маршрута: от самого простого и безопасного до самого рискованного, плюс шифрование, безопасность аккаунтов и типичные ошибки. В конце таблица сравнения и ответы на частые вопросы.

Почему по умолчанию наружу ничего не открыто

Home Assistant задуман как локальная система: он слушает только локальную сеть, и это уже убирает большой класс рисков, которые есть у облачных платформ умного дома. Домашняя сеть при этом не выставлена в интернет, а доступ к серверу есть только у тех, кто внутри.

Прямое открытие сервера наружу без подготовки повышает риск, поэтому документация советует не выставлять Home Assistant в интернет напрямую, а сначала выбрать безопасный способ удалённого доступа. Отдельно стоит продумать сеть: как устроен роутер и Wi-Fi, разобрано в статье Сеть для умного дома.

Вариант 1: Home Assistant Cloud

Home Assistant Cloud это самый простой и безопасный вариант для большинства людей. Он даёт удалённый доступ к Home Assistant откуда угодно без открытия портов на роутере и без выставления домашней сети в интернет. Включение делается одним переключателем в интерфейсе, для вас создаётся уникальный удалённый адрес, а трафик между устройством и домом шифруется автоматически.

Настройка не требует ни сертификатов, ни проброса портов, ни правки конфигурации. Подписка при этом поддерживает разработку самого Home Assistant и работу некоммерческого фонда, который стоит за проектом. Тем, кто хочет разобраться, где вообще хранятся данные умного дома, будет полезна статья Локально или в облаке.

Вариант 2: VPN на Tailscale или ZeroTier

VPN это безопасный способ доступа снаружи. В документации Home Assistant названы сервисы Tailscale и ZeroTier One: они создают приватную сеть, через которую устройство попадает внутрь домашней сети и уже там видит Home Assistant.

Ключевое условие: соединение VPN нужно установить до подключения к Home Assistant. Без поднятого VPN снаружи ничего не откроется. Для мобильного приложения Companion это особенно важно: без активного соединения датчики телефона не будут обновляться в Home Assistant, поэтому на телефоне VPN держат включённым. Настройка требует времени и понимания, но зато сам сервер наружу не выставляется.

Вариант 3: обратный прокси

Обратный прокси это промежуточный сервер, который стоит перед Home Assistant, принимает внешние запросы и перенаправляет их внутрь. Такой вариант выбирают, когда уже есть свой домен, сертификат или несколько сервисов за одним входом.

Главная ловушка в том, что Home Assistant обязан доверять прокси. Если доверие не настроено, запросы блокируются по замыслу, и человек получает отказ, решая, что прокси не работает. Отдельный случай это кэширование: если прокси или CDN кэширует ответы, у этого есть свои последствия, описанные в документации HTTP-интеграции. Этот метод требует больше сетевых знаний, чем облако или VPN.

Вариант 4: проброс порта

Проброс порта это открытие порта на роутере в сторону Home Assistant. По умолчанию Home Assistant слушает порт 8123; если порт меняли, актуальное значение видно в разделе Settings, затем System, затем Network. На роутере можно взять любой свободный порт и направить его на этот порт сервера.

Первая проблема: провайдеры часто выдают динамический адрес, который меняется. Тогда внешний адрес перестаёт быть постоянным, и помогает бесплатный сервис динамического DNS, например DuckDNS: он обновляет запись домена при смене адреса. Вторая проблема: CG-NAT. В этом режиме провайдер не даёт отдельный внешний IPv4, адрес общий, и проброс порта либо не работает, либо требует доплаты за выделенный адрес. Если у вас CG-NAT, честный вывод такой: проброс не ваш вариант, берите облако или VPN.

Шифрование при пробросе: Let's Encrypt и DuckDNS

Документация прямо предупреждает: открыть порт недостаточно, это не безопасно, и при удалённом доступе трафик стоит шифровать. Без шифрования логин и данные идут по сети в открытом виде и могут быть перехвачены.

Рабочий путь это сертификат Let's Encrypt. Связка DuckDNS и Let's Encrypt описана в документации как готовый вариант для случаев, когда адрес меняется: DuckDNS держит домен, Let's Encrypt выдаёт сертификат. Смысл не в том, чтобы спрятать порт, а в том, чтобы посторонний не прочитал содержимое трафика.

Как прописать внешний адрес

Чтобы Home Assistant знал, по какому адресу его открывают снаружи, идут в Settings, затем System, затем Network. В разделе Home Assistant URL есть поле Internet: туда вписывают внешний адрес, который вы настроили.

Если используется Home Assistant Cloud, вместо ручного ввода включают переключатель Use Home Assistant Cloud, и адрес подставляется автоматически. Без этого шага часть функций и мобильное приложение могут работать некорректно, даже если доступ сам по себе уже открыт.

Безопасность аккаунтов и секретов

Перед выходом в интернет закрывают базу. Первое: сильный уникальный пароль для каждого аккаунта. Второе: включённая многофакторная аутентификация, она даёт дополнительный слой защиты. Третье: административный доступ только тем аккаунтам, которым он действительно нужен. Четвёртое: система обновляется с каждым месячным релизом.

Чувствительные данные складывают в secrets.yaml, но помните: этот файл не шифрует данные, он только отделяет их от основной конфигурации. Если злоумышленник получит доступ к серверу, он прочитает и secrets.yaml, поэтому защищать нужно саму систему. Для ручных установок с SSH документация советует отключить вход root по паролю и использовать ключи.

Как выбрать вариант под свою ситуацию

Выбор сводится к простому правилу: чем меньше вы открываете наружу, тем меньше риска. Облако не открывает ничего, VPN открывает только защищённый туннель, обратный прокси и проброс порта выставляют сервер в интернет и требуют шифрования.

Если не хочется возни и важна безопасность, берут облако. Если хочется сэкономить и есть навык, берут VPN. Обратный прокси нужен, когда уже есть домен или несколько сервисов за одним входом. Проброс порта оставляют на последний случай и только с сертификатом.

Типичные ошибки и диагностика

Частые ошибки повторяются: открыли порт и не включили шифрование; настроили прокси и не разрешили Home Assistant доверять ему; включили VPN, но не подняли соединение до подключения; забыли вписать внешний адрес в настройки сети.

Диагностику удобно вести по порядку. Сначала проверьте, работает ли доступ изнутри дома: если нет, дело не в интернете. Затем проверьте, поднят ли выбранный канал: облако, VPN или прокси. Если провайдер выдаёт общий адрес через CG-NAT, проброс порта не заработает, и тогда остаются облако или VPN. Для управления домом из чата, когда вы не дома, пригодится материал Telegram-бот для Home Assistant.

Частые вопросы

Нужно ли открывать порты для Home Assistant?

Не обязательно. Облако Home Assistant Cloud и VPN дают удалённый доступ без открытия портов, и это более безопасный путь. Порт открывают только при пробросе или обратном прокси, и тогда трафик обязательно шифруют сертификатом.

Можно ли обойтись без платного облака?

Да. Бесплатный вариант это VPN на Tailscale или ZeroTier: сервер наружу не выставляется, но соединение нужно поднимать до подключения, и для датчиков приложения Companion VPN должен быть включён. Home Assistant Cloud это платная подписка, бесплатным он не является.

Почему не работает доступ через обратный прокси?

Почти всегда потому, что Home Assistant не настроен доверять прокси. Пока доверие не выдано, запросы блокируются по замыслу. Проверьте настройку доверия, а если прокси или CDN кэширует ответы, учтите описанные в документации последствия кэширования.

Что делать, если провайдер не даёт внешний адрес?

Если это CG-NAT с общим адресом, проброс порта не поможет. В такой ситуации выбирают облако Home Assistant Cloud или VPN: оба варианта не требуют отдельного внешнего IPv4 и не зависят от того, как провайдер раздаёт адреса.