CloudPub: Home Assistant снаружи без белого IP

CloudPub — сервис туннелей, который открывает внешний доступ к Home Assistant без белого IP-адреса и проброса портов. В Home Assistant он ставится как аддон CloudPub Client: клиент сам подключается к серверам сервиса, а вы получаете HTTPS-ссылку вида https://….cloudpub.ru, которая работает из любой сети.

Статья обновлена в сентябре 2026 года: новые пункты меню Home Assistant, лимиты бесплатного тарифа, защита страницы входа, запуск на Home Assistant Container, публикация MQTT и других сервисов, сравнение с Nabu Casa, Cloudflare Tunnel, Tailscale и OpenZiti.

Что такое CloudPub и как он работает

Внешний доступ к Home Assistant обычно требует белого IP и проброса порта на роутере. Многие провайдеры выдают серый IP за NAT, и тогда проброс невозможен. CloudPub решает это наоборот: клиент внутри домашней сети сам устанавливает исходящее соединение с внешним сервером, а тот передаёт по этому туннелю запросы с вашего телефона или ноутбука.

• доступ к Home Assistant из интернета без публичного IP и настройки роутера;
• HTTPS с готовым сертификатом — свой домен и Let’s Encrypt не нужны;
• работает с мобильным приложением Home Assistant, уведомлениями и голосовыми ассистентами, которым нужен внешний адрес;
• через тот же клиент можно опубликовать и другие локальные сервисы.

Аддон неофициальный: его развивает сообщество, а не разработчики сервиса. Исходный код — в репозитории на GitHub, обновления выходят регулярно.

Тарифы CloudPub: что доступно бесплатно

Возможность	Бесплатный тариф	PRO
Веб-интерфейс Home Assistant по HTTP/HTTPS	да	да
Адрес	поддомен cloudpub.ru	поддомен или свой домен
Трафик	250 ГБ в месяц	без ограничений
TCP, UDP, MQTT, RTSP	нет	да
RDP и VNC	нет	да

Для доступа к веб-интерфейсу и приложению Home Assistant бесплатного тарифа хватает с запасом: интерфейс и уведомления расходуют немного трафика. Больше всего его тратят камеры в дашборде. Актуальные цены — на странице тарифов.

Установка CloudPub Client в Home Assistant

Аддоны доступны на Home Assistant OS и Supervised. Для Container и Core клиент запускается в Docker — об этом ниже. Установка:

1. Откройте Настройки → Приложения → Установить приложение. В новых версиях аддоны называются приложениями, в старых путь — Настройки → Дополнения → Магазин дополнений.
2. Меню (три точки) → Репозитории → добавьте https://github.com/black-roland/hassio-addon-cloudpub.
3. Обновите страницу и установите CloudPub Client. Версия Canary собирается прямо на вашем сервере и нужна только для тестирования.

Можно сразу открыть установку по ссылке My Home Assistant — репозиторий добавится автоматически.

Настройка обратного прокси в Home Assistant

Home Assistant по умолчанию не принимает запросы через прокси и отвечает ошибкой 400: Bad Request. Разрешите их один раз:

1. Откройте Настройки → Система → Сеть.
2. В блоке HTTP-сервер → Обратный прокси включите Доверять X-Forwarded-For.
3. Добавьте доверенный прокси 172.30.33.0/24 — это внутренняя сеть аддонов.
4. Сохраните настройки.

На обычной установке Home Assistant OS подсеть менять не нужно, в том числе в виртуальной машине на Proxmox VE. Если ошибка 400 остаётся, найдите в журнале Home Assistant строку Received X-Forwarded-For header from an untrusted proxy — в ней указан реальный адрес прокси, его и добавьте. Если параллельно работает Dataplicity, добавьте ещё 127.0.0.1/32.

Токен CloudPub и публикация Home Assistant

1. Зарегистрируйтесь в личном кабинете сервиса и скопируйте ключ API в разделе «Привяжите приложение к аккаунту». Подойдёт и сам токен, и вся команда ./clo set token ….
2. В аддоне откройте вкладку Конфигурация, вставьте ключ и добавьте публикацию: имя homeassistant, тип http, адрес homeassistant:8123.
3. Сохраните, запустите аддон и включите автозапуск.

То же самое в режиме YAML:

token: YOUR_API_KEY
clo_log_level: info
services:
  - name: homeassistant
    type: http
    local_addr: homeassistant:8123

Можно указать просто homeassistant без порта — клиент определит его сам. Но явный :8123 надёжнее, особенно если вы меняли порт. Все параметры описаны в документации аддона.

Где найти внешнюю ссылку CloudPub

После запуска откройте вкладку Журнал аддона: там появится адрес вида https://….cloudpub.ru. По нему Home Assistant открывается из любой сети. Та же ссылка и статистика трафика есть в личном кабинете. Адрес привязан к агенту и при перезапуске аддона обычно не меняется.

Внешний адрес в Home Assistant и мобильном приложении

• В Home Assistant: Настройки → Система → Сеть, блок «URL-адрес Home Assistant», поле «Интернет» — вставьте внешнюю ссылку. Она понадобится для ссылок в уведомлениях и интеграций.
• В приложении на телефоне: Настройки → Companion app → ваш сервер → «Внешний URL» (External URL).
• Там же укажите домашнюю сеть Wi-Fi: дома приложение подключится напрямую по локальному адресу, а вне дома — через туннель.

Как проверить внешний доступ к Home Assistant

Отключите на телефоне Wi-Fi и откройте ссылку по мобильной сети — это честная проверка того, что Home Assistant без белого IP доступен снаружи. Должна открыться страница входа с замком HTTPS в адресной строке. С компьютера то же проверяется командой:

curl -I https://ваш-адрес.cloudpub.ru

• 200 — всё работает;
• 400 — не настроен обратный прокси в Home Assistant;
• 502 или 504 — туннель поднят, но клиент не может подключиться к homeassistant:8123: проверьте адрес и порт публикации.

После входа загляните в журнал Home Assistant: предупреждений untrusted proxy и неудачных попыток входа с вашего адреса быть не должно.

Как защитить Home Assistant при внешнем доступе

После публикации страницу входа Home Assistant видит весь интернет, и боты начнут подбирать пароли. Минимальный набор защиты:

• Двухфакторная аутентификация. Профиль → вкладка «Безопасность» → «Модули многофакторной аутентификации» → включите TOTP и отсканируйте QR-код приложением вроде Aegis или 2FAS. Сделайте это для каждого пользователя.
• Блокировка IP. В Настройки → Система → Сеть → HTTP-сервер включите блокировку IP и задайте число попыток входа, например 5. Благодаря настройке X-Forwarded-For блокируется адрес атакующего, а не туннель. Заблокированные адреса попадают в файл ip_bans.yaml.
• Отдельный пользователь для телефона без прав администратора, если телефоном пользуются члены семьи.
• Длинный уникальный пароль и своевременные обновления Home Assistant.
• Публикуйте только нужное. Веб-интерфейс роутера или NAS через туннель лучше не открывать.
• Резервные копии перед тем, как открывать систему наружу, — например, Home Assistant Google Drive Backup.

Подробнее о настройках HTTP-сервера — в документации Home Assistant.

Публикация других сервисов через CloudPub

Аддон поддерживает типы публикаций http, https, tcp, udp, rtsp, rdp, vnc и 1c. Всё, кроме HTTP и HTTPS, доступно на тарифе PRO. Пример с брокером MQTT Mosquitto и веб-интерфейсом роутера:

services:
  - name: homeassistant
    type: http
    local_addr: homeassistant:8123
  - name: mqtt
    type: tcp
    local_addr: core-mosquitto:1883
  - name: router
    type: http
    local_addr: 192.168.1.1:80

Если у вас стоит Nginx Proxy Manager, опубликуйте его адрес a0d7b954-nginxproxymanager:80 с типом http и добавьте в нём прокси-хост на выданный поддомен — так через один туннель можно открыть несколько сервисов. Для видео с камер удобнее WebRTC внутри Home Assistant, как в статье про Aqara G4 и go2rtc, чем отдельная публикация RTSP.

CloudPub для Home Assistant Container и Core

Без Supervisor аддоны недоступны, но у сервиса есть официальный Docker-образ. Если Home Assistant запущен с network_mode: host, добавьте клиент в тот же docker-compose.yml:

services:
  cloudpub:
    image: cloudpub/cloudpub:latest
    container_name: tunnel
    network_mode: host
    restart: unless-stopped
    environment:
      - TOKEN=YOUR_API_KEY
      - HTTP=8123
    command: run
    volumes:
      - agent-config:/home/cloudpub

volumes:
  agent-config:

Запустите контейнер и возьмите ссылку из журнала:

docker compose up -d
docker logs tunnel | grep https

Том agent-config сохраняет настройки агента, иначе после каждого перезапуска будет выдаваться новый адрес. На Raspberry Pi и других ARM-устройствах используйте образ cloudpub/cloudpub:latest-arm64. В настройках HTTP-сервера Home Assistant в этом случае укажите доверенные прокси 127.0.0.1 и ::1, потому что клиент подключается к Home Assistant локально.

CloudPub и альтернативы: Nabu Casa, Cloudflare Tunnel, Tailscale, OpenZiti

Решение	Как работает	Свой домен	Цена	Кому подойдёт
CloudPub	HTTPS-туннель, адрес на cloudpub.ru	не нужен	бесплатно для веб-интерфейса	быстрый старт без белого IP
Nabu Casa	официальное облако Home Assistant	не нужен	платная подписка	тем, кто хочет поддержать проект и подключить Alexa или Google Assistant
Cloudflare Tunnel	туннель через сеть Cloudflare	нужен	бесплатно	владельцам своего домена
Tailscale или WireGuard	VPN до домашней сети	не нужен	бесплатно	личному доступу без публичной страницы входа
OpenZiti	Zero Trust на своём VPS	нужен	стоимость VPS	тем, кто хочет спрятать сервисы полностью

Такой туннель — самый простой способ открыть Home Assistant без белого IP: публичный адрес без домена и VPS для приложения, уведомлений и интеграций. Если доступ нужен только вам, VPN или OpenZiti безопаснее — страница входа вообще не видна из интернета. Свой VPS для этого стоит подготовить по памятке по безопасности.

Как отключить внешний доступ через CloudPub

1. Остановите аддон и выключите автозапуск — ссылка перестанет открываться сразу.
2. Чтобы закрыть только один сервис, удалите его публикацию в конфигурации аддона и перезапустите его.
3. В личном кабинете удалите ненужные публикации и агентов, особенно если токен мог попасть в чужие руки.
4. Очистите поле «Интернет» в сетевых настройках Home Assistant и внешний URL в Companion app.

Если CloudPub не открывается

• 400: Bad Request — не включён X-Forwarded-For или не добавлен прокси 172.30.33.0/24; точный адрес ищите в журнале по строке untrusted proxy.
• Превышено время ожидания при выполнении clo ls — клиент не достучался до серверов сервиса. Частая причина — фильтрующий DNS вроде Quad9, который блокирует домен. Проверьте командой nslookup cloudpub.ru в аддоне Terminal & SSH и смените DNS или добавьте домен в белый список.
• Туннель обрывается, клиент зависает — поставьте уровень логирования debug, перезапустите аддон и смотрите вкладку «Журнал».
• Приложение на телефоне не подключается вне дома — проверьте внешний URL в настройках Companion app и что адрес открывается в браузере телефона по мобильной сети.

Вопросы по аддону задавайте в GitHub Discussions, по работе сервиса — в поддержку сервиса.

Частые вопросы про CloudPub и Home Assistant