Piątek, 21:37. Wracasz z pracy, jeszcze w samochodzie pod blokiem, i Telegram robi bzz. Alert Grafany: temperatura serwera w piwnicy 78°C, fan PWM na 100%, level 7. Za trzy godziny dzwoni klient z Bemowa, że jego HA się wyłączył o 18:00 i od tamtej pory nic. Mógłbyś teraz otworzyć dashboard, zobaczyć czy to coś poważnego - może padł SSD, może tylko zasysa kurz po ostatnim sprzątaniu - albo po prostu zignorować i iść spać. Nie możesz jednego ani drugiego sensownie zrobić. Bo Grafana siedzi za routerem na publicznym IP którego nie masz, a stawianie WireGuarda o 21:30 z laptopa żony to nie jest plan.
Idziesz spać z lękiem. Rano CPU jest 99% przez 6 godzin, klient pisze trzeci raz, fan zasypał Ci syfem łożysko. Monitoring bez zdalnego dostępu to teatr. Dashboardy ładnie wyglądają na ścianie w salonie, ale przy first incident - wiesz tyle, ile widzisz w powiadomieniu push. Czyli mało.
Dlaczego Grafana jest specyficzna - 3 typowe use case#
Grafana ma ten urok że wszyscy mówią że jej używają, ale realnie tylko 30% otwiera ją częściej niż raz w miesiącu. Reszta - postawili, skonfigurowali 4 dashboardy z YouTube'a i zapomnieli. To nie zarzut, to obserwacja. Bo Grafana jest narzędziem trzech bardzo różnych ludzi, i każdy używa jej inaczej.
Hobbysta z Home Assistantem. Ja w domu. Dashboard z temperaturą w pokojach, zużyciem prądu (HA + Shelly EM), statusem kamer, godzinami pracy pompy ciepła. Otwierasz raz na tydzień, głównie żeby pokazać znajomemu albo udowodnić żonie że naprawdę używasz tego co kupiłeś. Tunel SSH = wystarczy z naddatkiem. Nikt się nie patrzy, gdy nie patrzysz Ty.
Self-hosting maniak. Proxmox + 6 LXC, InfluxDB 2.7, node_exporter na każdej maszynie, mqtt_exporter, smart_exporter na NASie. Otwierasz codziennie rano przy kawie, sprawdzasz czy nic nie odpaliło się w nocy. Plus alerty Telegram gdy dysk > 85% albo OOM kill. Tu Grafana nie jest dekoracją - to pierwsza linia diagnozy. Jak coś nie działa, otwierasz panele zanim odpalisz SSH.
Instalator/freelancer (B2B). Najtrudniejszy case. 30 instalacji u klientów, każda z własnym Pi 4 / Mini PC, lokalny Prometheus zbiera metryki, Grafana centralna w Twoim biurze (lub VPS) agreguje wszystko. SLA: 99% uptime, kara 500 zł/h przestoju powyżej. Tu Grafana to chleb, masło i emerytura. Bez zdalnego dostępu - nie istniejesz w tej branży.
Dla pierwszych dwóch tunel SSH to overkill, który nadrabia wygodą. Dla freelancera tunel + auto-failover + alerty wielokanałowe - to minimum, nie luksus.
4 sposoby zdalnego dostępu do Grafany - ranking#
1. Port forwarding 3000 → publiczne IP#
Werdykt: NIE. I to nie jest opinia.
Default credentials Grafany to admin/admin. Zmieniasz przy pierwszym logowaniu - ale Grafana startuje zanim się zalogujesz, więc istnieje okno (sekundy, minuty) w którym jest wystawiona z domyślnymi. Bot Shodan skanuje portu 3000 nieprzerwanie. Średni czas od wystawienia do pierwszej próby logowania bot - 2 godziny.
Plus: CVE-2023-3128 (auth bypass przez Azure AD OAuth - jeśli masz włączoną auth proxy, a wielu nie czyta zmian w 9.x → 10.x), CVE-2024-1442 (info disclosure), CVE-2022-31097 (XSS w alercie). Grafana to projekt aktywny i pluginowy, czyli powierzchnia ataku jest gigantyczna. Wystawianie portu 3000 publicznie = dawanie internetowi konta admin do Twojego data sourca, a stamtąd często do bazy z hasłami, MQTT brokera, HA API.
2. Grafana Cloud#
Werdykt: wygodne, drogie, dane jadą do USA.
Free tier: 10k seriów, 50 GB logów. Brzmi nieźle, dopóki nie zauważysz, że jeden HA z 200 sensorami robi 8k seriów sam. Przy dwóch klientach jesteś w paid tier. Pro: 49$/mies za 100k seriów - czyli ~12 instalacji HA. Dla freelancera z 30 klientami: ~150$/mies minimum.
Drugi problem: Schrems II. Metryki temperatury z mieszkania klientki z Bielan lecą do AWS us-east. Nie szyfrowane na zewnątrz UE. RODO compliance: szaro. Dla niektórych klientów (kancelarie, kliniki) - czerwono.
3. Cloudflare Tunnel#
Werdykt: darmowe, ale niedopasowane do Grafany.
Cloudflare Tunnel (cloudflared) postawisz w 10 minut. Działa. Aż do momentu gdy:
- WAF Cloudflare blokuje API endpointy Grafany (
/api/datasources/proxy/*- false positive na "SQL injection" w zapytaniach Flux/PromQL, dwa razy na tydzień) - Dashboard sharing przez
share=truedaje 502 (long-lived render request > 100s timeout) - Plugin marketplace nie ładuje się (wymaga WebSocket bez interferencji proxy)
- Jeśli używasz darmowego planu, max body 100MB - embed export PDF dashboardu z 30 panelami pęka
Dla statycznych stron - perfekcyjne. Dla Grafany - frustracja co tydzień.
4. Reverse SSH tunnel (SmartHomeEntry)#
Werdykt: dla większości najlepsze.
Twoja Grafana zostaje u Ciebie. Tunel to tylko transport TCP - żadna inspekcja, żadne WAF blokujące zapytania, żadne timeouty na long polling. Subdomena mojagrafana.smarthomeentry.com mapuje się na lokalny port 3000 przez SSH reverse. Cena: stała, niezależna od liczby seriów. Metryki nie wychodzą z Twojej sieci poza tunelem do Twojej przeglądarki.
| Metoda | Setup | Koszt/mies | Bezpieczeństwo | Działa z plugin/WS | RODO |
|---|---|---|---|---|---|
| Port forward 3000 | 5 min | 0 zł | Tragiczne (Shodan w 2h) | Tak | OK (lokalnie) |
| Grafana Cloud | 30 min | 49-150$+ | Dobre | Tak | Problem (USA) |
| Cloudflare Tunnel | 10 min | 0 zł | Dobre | Częściowo (WAF blokuje) | OK |
| SmartHomeEntry | 60 sek | stała opłata | Dobre (SSH 127.0.0.1) | Tak | OK (lokalnie) |
Jeśli czytasz to i masz wystawioną Grafanę przez port forwarding - zamknij ten port teraz, zanim doczytasz artykuł. Sprawdź /var/log/grafana/grafana.log pod kątem prób logowania z dziwnych IP. Jeśli widzisz logi typu "Invalid username or password" co kilka sekund - gratulacje, jesteś w bocie. Zmień hasło, sprawdź kto zalogował się sukcesywnie (kolumna z USA, Rosji, Chin = czerwona flaga), wyłącz konto admin domyślne.
Setup Grafana + tunel SSH w 60 sekund#
Zakładam że Grafana 10.x stoi już na Raspberry Pi 4 / Mini PC / LXC w Proxmoxie. Jeśli nie - apt install grafana, systemctl enable --now grafana-server, port 3000 lokalnie i wracaj tu.
Krok 1. Załóż konto na SmartHomeEntry, wybierz subdomenę mojagrafana.smarthomeentry.com (albo klient-x.smarthomeentry.com jeśli to instalacja u klienta).
Krok 2. Pobierz install command z panelu, wklej w terminal na maszynie z Grafaną. Agent łączy się z relay przez reverse SSH, port lokalny 3000 mapuje się na publiczną subdomenę.
Krok 3. Edytuj /etc/grafana/grafana.ini (krytyczne - bez tego linki absolutne, embed iframe i auth callbacky się sypią):
[server]
protocol = http
http_port = 3000
domain = mojagrafana.smarthomeentry.com
root_url = https://mojagrafana.smarthomeentry.com
serve_from_sub_path = false
[security]
cookie_secure = true
cookie_samesite = lax
allow_embedding = true
Krok 4. systemctl restart grafana-server
Krok 5. Otwórz https://mojagrafana.smarthomeentry.com w przeglądarce. Powinien być login Grafany. Działa.
Jeśli masz Grafanę w docker compose (typowa konfiguracja Proxmoxa lub NASa):
services:
grafana:
image: grafana/grafana:10.4.2
container_name: grafana
ports:
- "127.0.0.1:3000:3000"
environment:
- GF_SERVER_ROOT_URL=https://mojagrafana.smarthomeentry.com
- GF_SERVER_DOMAIN=mojagrafana.smarthomeentry.com
- GF_SECURITY_COOKIE_SECURE=true
- GF_SECURITY_ALLOW_EMBEDDING=true
- GF_SECURITY_ADMIN_PASSWORD__FILE=/run/secrets/grafana_admin
volumes:
- grafana-data:/var/lib/grafana
restart: unless-stopped
volumes:
grafana-data:
Zwróć uwagę: bind na 127.0.0.1:3000, nie 0.0.0.0. Grafana ma być dostępna tylko przez tunel, nie z lokalnej sieci ani publicznie.
Pi 4 z Grafaną + InfluxDB + node_exporter ciągnie 3,5W idle, ~5W przy aktywnych dashboardach. Roczny koszt prądu w 2026 (1,20 zł/kWh): około 50 zł. Grafana Cloud paid: 588$/rok minimum. Matematyka jest brutalna.
Best practices: monitoring smart home przez tunel#
Default admin/admin - zmień NATYCHMIAST. Nie "zaraz", nie "gdy będę miał chwilę". Po pierwszym systemctl start grafana-server od razu logowanie i Profile → Change Password. Albo lepiej: ustaw GF_SECURITY_ADMIN_PASSWORD przed pierwszym startem (env var albo secret file, nie plaintext w grafana.ini w gicie).
2FA przez Auth Proxy. Grafana 10+ ma natywne wsparcie OAuth (Google, GitHub, Authentik). Postaw Authentik w docker, włącz [auth.generic_oauth], wymuś MFA z Authentik. Dla freelancera obsługującego klientów to jest nieobsługiwalne bez tego - bo każdy klient widzi tylko swój folder dashboardów.
API key zamiast hasła dla integracji. HA pisze do Grafana data sourca? Proxmox push metric? Stwórz Service Account (Grafana 10 zastąpiła stare API keys), nadaj rolę Editor na konkretnym folderze, nigdy Admin. Klucz wygenerowany ma TTL - ustaw 90 dni i rotuj.
Provisioning dashboards przez YAML - nie ręcznie. Zaufaj mi, jak masz 30 dashboardów stworzonych klikaniem, a SD karta padnie, to Cię nie pocieszy backup. Dashboardy ląduje w /etc/grafana/provisioning/dashboards/ jako JSON, datasourcy jako YAML. Wszystko trzymane w Git.
Minimalny provisioning/dashboards/main.yaml:
apiVersion: 1
providers:
- name: 'default'
orgId: 1
folder: ''
type: file
disableDeletion: true
updateIntervalSeconds: 30
options:
path: /var/lib/grafana/dashboards
Wrzucasz JSON-y dashboardów do /var/lib/grafana/dashboards/, restart, gotowe. Cały setup odtwarzalny z Git w 5 minut.
Backup /var/lib/grafana/grafana.db raz dziennie - cron + rsync na NAS albo S3-compatible (Backblaze B2, Wasabi). Plik ma rzadko więcej niż 50 MB, więc retencja 90 dni to grosze. Dodatkowo: backup /etc/grafana/grafana.ini i całego provisioning folderu.
Alerting → Telegram albo email, nie tylko UI. UI nikt nie ogląda. Dashboard otwarty w zakładce Chrome przez 3 dni nie ostrzeże Cię o niczym. Notification channel: Telegram bot (15 minut setupu, free), drugi kanał email backup (jak Telegram padnie). Dla freelancera trzeci: SMS przez Twilio (50 gr/SMS, ale gdy klient płaci 500 zł/h SLA - opłaca się).
FAQ#
| Pytanie | Odpowiedź |
|---|---|
| Czy WebSocket alerts (live tail logów Loki) działają przez tunel? | Tak. SSH transparentnie tuneluje WebSocket. |
| Plugin marketplace działa? | Tak. Pluginy ładują się z grafana.com po stronie serwera, nie przeglądarki. |
| Embed dashboard w iframe na zewnętrznej stronie (np. dla klienta)? | Tak, ustaw allow_embedding = true + cookie_samesite = none jeśli embed cross-domain. Pamiętaj o auth.anonymous dla widoku publicznego. |
| Wielkość dashboardów / data scraping limity? | Brak limitów ze strony tunelu. Limit to wydajność Twojego sprzętu - Pi 4 ciągnie 50-80 paneli na dashboard płynnie. |
| Co jeśli używam Prometheus zamiast InfluxDB? | Bez różnicy. Tunel nie wie co Grafana serwuje - to tylko transport TCP. Prometheus, InfluxDB, Loki, Tempo, Mimir, Postgres jako data source - wszystko działa identycznie. |
| Mogę mieć kilka Grafan na różnych klientach przez jeden konto? | W planie agency tier - tak, każdy klient = osobna subdomena, jeden panel zarządzania. |
| Render PDF dashboardu działa? | Tak, ale wymaga grafana-image-renderer plugin po stronie Grafany. Nie potrzebuje nic ekstra po stronie tunelu. |
Werdykt - kiedy SmartHomeEntry, kiedy Grafana Cloud#
Szczerze: dla hobbysty z HA albo self-hostera z Proxmoxem - tunel SSH bije Grafana Cloud na łeb. Płacisz stałą małą kwotę zamiast skalującej się 49$+, dane zostają u Ciebie, RODO masz w kieszeni, wszystkie pluginy i WebSocket działają bez warga. Setup 60 sekund.
Dla freelancera z 50 klientami i twardym SLA - kalkulacja zmienia się. Grafana Cloud daje Ci managed HA, repliki, retencję 13 miesięcy out-of-the-box. Tunel SSH wymaga że Twoja Grafana centralna nie pada, więc albo VPS HA setup (~30$/mies za odpowiednią konfigurację), albo agency tier SmartHomeEntry z multi-tenant. Wybierz w zależności od tego, czy chcesz operować infrastrukturą, czy tylko ją konsumować.
Dla 95% czytelników tego artykułu: zaczynasz od tunelu. Sprawdź /grafana, postaw w 60 sekund, zobacz czy działa jak chcesz. Jak za rok urośniesz do 50 klientów - porozmawiamy o agency tier.
Zobacz też: Home Assistant zdalny dostęp - pełen przewodnik 2026, Instalator Smart Home: 50 klientów bez wyjazdów, Cloudflare Tunnel - alternatywa dla self-hostingu, Panel dla instalatorów.
