我们希望有一个自主的松散替代scheme（mattermost，rocket.chat），但将其隐藏在VPN之后对于我们的一些用户来说是不舒服的。
如果不是公开的，我会觉得更安全，但是真的有多危险？
我相信这个问题可以应用于所有开发应用程序，如：gitlab，redmine等
您可以通过查看您感兴趣的每个软件包的更新速度和特定于安全的发布信息来进行评估。
在没有防火墙或VPN保护的情况下公开运行第三方/开放源码应用程序的人通常会遇到这种情况，即他们无法保持更新，并且更新其依赖关系，并且在系统崩溃后的一段时间内系统会受到影响。
从宣布安全问题到妥协尝试之间的时间最短，就像Wordpress，攻击可以在几分钟内开始。
但所有的开源应用程序都有安全问题，需要一个稳定的更新速度，并有攻击者寻找信号漏洞的签名。
这个姿势对你来说是否是一个重大的风险，在很大程度上取决于上下文，既包括妥协和暴露的影响，也包括攻击者对你的吸引力，以及替代方法的成本 – 财务，人力和操作成本。
通常人们对聊天中的公司有敏感的信息，当然开发工具也有重要资产的保pipe。 但是从攻击者的angular度来看，海中有很多鱼，许多非常脆弱的系统都是毫不妥协的。
但是，最后，这就是为什么人们使用SAAS服务的原因，除非他们有一个战略需要自己主持，并且能够比业余爱好者更专业。 对于最终的一些定义，爱好者托pipe最终将不可避免地达成妥协。
将其隐藏在VPN背后对于我们的一些用户来说是不舒服的。
复杂的软件总是有可能存在漏洞和漏洞。 如果你的公司的信息是敏感的，但VPN感觉像是一个过度的杀手，考虑通过HTTPS与客户端证书运行你的Web服务（我相信Mattermost和Rocket.chat都在Web协议上工作）。
您的用户将不便安装他们的证书到他们的浏览器，但是您将有效地减less可能的攻击媒介对web服务器的非对称encryption的执行。