Next Terminal 实战：内网无密码安全登录

本文首发于 Anyeの小站，点击阅读原文体验更加。

前言

在日常的 HomeLab 或小型私有云环境中，我们常常通过反向代理（如 Nginx、Caddy 等）将内网服务暴露到公网，方便远程访问。然而，一旦端口映射开启、公网可达，安全问题便随之而来：未经身份验证的访问、暴力破解、爬虫扫描、甚至未授权的数据泄露，都可能悄无声息地发生。

尽管许多服务本身提供登录功能，但它们的安全性、认证方式和强度千差万别。有些甚至没有账号体系，只靠 IP 白名单或路径隐藏，这在现代安全要求下显得捉襟见肘。

那么，有没有一种方式，无需修改后端服务代码，也不依赖其自身权限体系，就能统一接入一层强认证机制？

当然可以，你可以选择使用传统的 Nginx 或 Caddy，通过集成 OAuth2 Proxy、Authelia、Keycloak 等中间件来实现统一认证，甚至自建 SSO（如 Logto 等）。这些方案功能强大，适用于企业级部署或需要与现有认证体系（如 LDAP、OAuth、SAML）对接的场景。

但对于个人用户、小型服务部署而言，它们往往存在以下几个问题：

• 配置复杂：涉及多个组件，部署流程繁琐，调试成本高
• 依赖繁重：需要运行额外的认证服务，资源占用较高
• 不支持 WebAuthn 或支持不完善：大多数方案仍以密码为主，难以原生支持指纹、人脸识别或硬件密钥等现代认证方式

相比之下，Next Terminal 提供了一个轻量、开箱即用的 WebAuthn 登录前置方案，将认证机制直接嵌入到反向代理流程中，无需部署额外服务、也无需修改后端应用，仅通过简单配置即可为你的服务加上一层现代化的访问控制。

希望通过本文的实践记录，带你体验一种更简单、更安全、更优雅的服务接入方式。

基础知识

WebAuthn

WebAuthn（Web Authentication） 是由 W3C 和 FIDO 联盟共同制定的一套基于公钥加密的身份认证标准，目标是替代传统的用户名 + 密码登录方式，提升网络身份验证的安全性与用户体验。

用一句话概括它的功能和效果就是：

让用户可以用指纹、人脸识别、U 盾、USB 安全密钥等“硬件”方式登录网站或服务，而无需输入密码。

与传统认证方式相比，WebAuthn 具有以下几个显著优势：

• ✅ 无密码登录：用户无需记忆密码或担心被泄露
• 🔐 抗钓鱼：认证过程基于设备生成的私钥，绑定特定网站，攻击者无法伪造
• 🧱 硬件级安全性：可集成指纹、人脸识别、YubiKey 等 FIDO2 安全密钥
• 🌍 跨平台支持广泛：主流浏览器（Chrome、Firefox、Safari 等）与操作系统（Windows Hello、Touch ID、Android）均已支持

在 WebAuthn 中，每个用户设备会为每个网站生成一对密钥，私钥保存在本地或硬件设备中，服务器只保存公钥。因此，即便服务端数据库被攻破，攻击者也无法用公钥“伪装”用户。

Next Terminal

https://next-terminal.typesafe.cn/

Next Terminal 是一款开源的轻量级堡垒机与交互审计系统，旨在为 IT 运维人员和 HomeLab 用户提供集中的、安全的远程访问解决方案。它支持多种远程访问协议，包括 RDP、SSH、VNC、Telnet 和 Kubernetes，允许用户通过统一的 Web 界面管理不同协议下的服务器与设备。

<