Il metodo consigliato per usare Twingate con CasaOS è eseguire un Connector Twingate come container Docker sull'host CasaOS o su un'altra macchina nella stessa LAN. Il Connector stabilisce connessioni in uscita verso Twingate, quindi non è necessario inoltrare le porte della dashboard di CasaOS.
Il tutorial del forum del 2023 precede il modello Docker Compose attuale di Twingate. Usa i token attuali del Connector e le variabili ufficiali di Compose, invece di copiare alla cieca un vecchio pacchetto con installazione in un clic dallo store.
Crea una rete remota e un Connector
Nella Console di amministrazione di Twingate, crea una rete remota e un Connector. Twingate genera un token di accesso e un token di aggiornamento univoci per quel Connector.
Usa il modello Docker Compose aggiornato
Nella guida aggiornata di Twingate Docker Compose sono documentate queste variabili obbligatorie:
services:
twingate-connector:
image: twingate/connector:latest
restart: always
environment:
- TWINGATE_NETWORK=YOUR_TENANT
- TWINGATE_ACCESS_TOKEN=YOUR_ACCESS_TOKEN
- TWINGATE_REFRESH_TOKEN=YOUR_REFRESH_TOKEN
Non includere i token negli screenshot pubblici
I token di accesso e aggiornamento autenticano il Connector in modo univoco. Conservali nella configurazione dell'app CasaOS o in un file di ambiente che non venga caricato su Git né pubblicato.
Aggiungi CasaOS come risorsa Twingate
Nella Console di amministrazione di Twingate, definisci come risorsa l'indirizzo IP LAN o il nome host di CasaOS e la porta web. Concedi l'accesso solo agli utenti o ai gruppi che ne hanno bisogno.
Rete in modalità bridge o host
Twingate indica che la modalità bridge è quella predefinita, mentre la modalità host può essere utile per la rete peer-to-peer locale. Inizia con l'impostazione predefinita ufficiale, a meno che tu non abbia un motivo specifico per condividere lo stack di rete dell'host.
Non è necessario configurare l'inoltro delle porte sul router
Il Connector si trova dietro il firewall e stabilisce connessioni in uscita. Non esporre la porta di amministrazione di CasaOS a Internet solo perché vuoi accedervi da remoto.
Installare il Client Twingate sul dispositivo remoto
Il Connector viene eseguito nella rete domestica; il Client Twingate viene eseguito sul laptop o sul telefono che usi da remoto. Entrambi si registrano sulla rete Twingate prima che il traffico raggiunga la risorsa privata.
Verificare l’accesso prima di aggiungere altre risorse
Verifica prima la dashboard di CasaOS, quindi aggiungi le altre app NAS una alla volta. In questo modo le regole di accesso restano esplicite, senza esporre inutilmente un’intera sottorete.
La guida all’accesso remoto privato offre un contesto più ampio sui server domestici.
Verificare lo stato del Connector prima di testare CasaOS
docker ps | grep twingate
docker logs --tail 100 twingate-connectorIl Connector dovrebbe registrarsi correttamente e rimanere in esecuzione. Se si riavvia ripetutamente, verifica il nome del tenant e i token prima di risolvere i problemi della risorsa CasaOS.
Usare la definizione di risorsa più circoscritta
Se ti serve solo la dashboard di CasaOS, definisci l’IP esatto di CasaOS e la porta web invece di esporre l’intera sottorete LAN. Aggiungi le altre app come risorse separate solo quando ti servono.
Pianificare gli aggiornamenti del Connector
Twingate pubblica gli aggiornamenti dei container indipendentemente da CasaOS. Periodicamente, scarica l’immagine aggiornata del Connector e riavvialo durante una finestra di manutenzione, quindi verifica che l’accesso remoto funzioni ancora.
Domande frequenti
Devo aprire le porte di CasaOS sul router?
No. I Connector Twingate sono progettati per essere eseguiti dietro il firewall e stabilire connessioni in uscita.
Da dove provengono i token di Twingate?
La Console di amministrazione li genera quando distribuisci un Connector.
Dovrei usare la rete host?
Solo quando serve per la topologia o per il comportamento peer-to-peer; bridge è l’impostazione predefinita.
Un Connector può esporre più di CasaOS?
Sì, ma definisci con attenzione le risorse e le autorizzazioni invece di concedere per impostazione predefinita l’accesso a un’intera sottorete.
