karim/homelab
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
main
homelab/doc
T
History

README.md

openbureau Homelab — Dokumentation

Stand: 2026-06-04 · Aktueller Ist-Zustand des fertig aufgebauten Homelabs. Der ursprüngliche Plan liegt unter plan/ (kann von der Realität abweichen).

1. Architektur in einem Bild

        Internet
           │
   ┌───────▼─────────┐         WireGuard-Reverse-Tunnel        ┌──────────────────────────┐
   │  VPS 46.225.70.71│◄════════════════════════════════════════│ Heim-Gateway CT101        │
   │  (Caddy + Mail)  │   VPS wählt NICHT an — das HEIM dialt    │ 10.10.0.2 / wählt VPS an  │
   │  *.kgva.ch       │         (Heim öffnet KEINE Ports)        └────────────┬──────────────┘
   │  Let's Encrypt   │                                                       │
   └──────────────────┘                                          Heim-LAN 192.168.1.0/24
                                                                  Proxmox "tanin" 192.168.1.2
                                                                  (LXC-Container, ZFS)
  • Heim (Proxmox „tanin", 192.168.1.2): Hypervisor. Ein Dienst = ein LXC-Container. ZFS: rpool (System, NVMe), tank (Daten, 2×4 TB Mirror).
  • VPS (46.225.70.71): Caddy terminiert HTTPS für alle Domains (Let's-Encrypt-Wildcard *.kgva.ch) und proxyt via Tunnel ins Heim-LAN. Hostet zusätzlich den Mailserver (docker-mailserver).
  • WireGuard-Reverse-Tunnel: Das Heim-Gateway (CT101) baut den Tunnel zum VPS auf → das Heim muss KEINE Ports öffnen. Der VPS routet 192.168.1.0/24 durch den Tunnel.
  • AdGuard (CT103): netzweiter DHCP (.10–.99) + DNS + Adblock.
  • Zugang von außen:
    • Einzelne Dienste: öffentliche Domain → VPS-Caddy → Heim. Kein VPN nötig.
    • Komplettes Heimnetz: WireGuard-Client (Laptop/Handy-Config, nutzt AdGuard als DNS).

2. Dienst-Inventar

IP-Konvention: 192.168.1.<CTID> (außerhalb des DHCP-Bereichs). Ausnahmen: alte Instanzen behalten .177/.178.

CT IP Dienst Domain(s) Zweck
100 .100 PBS — (intern :8007) Proxmox Backup Server
101 .101 wg-gateway — WireGuard-Reverse-Tunnel zum VPS
102 .102 fileserver — (Samba) Samba-Shares kgva + private (in Nextcloud eingebunden)
103 .103 adguard — (:80) DHCP + DNS + Adblock
110 .110 nextcloud (neu) cloud.kgva.ch Hauptcloud (Rieger-Setup, shibui-Theme)
111 .111 immich immich.kgva.ch Fotos/Videos
112 .112 vaultwarden vault.kgva.ch · vault.gabrielevarano.ch Passwort-Tresor
113 .113 paperless — (:8000) Dokumente + OCR
114 .114 dashboard — (:8080, intern/VPN) Glance-Dashboard
115 .115 collabora collabora.kgva.ch (:9980) · whiteboard.kgva.ch (:3002) Office + Whiteboard
116 .116 stirling pdf.kgva.ch Stirling-PDF (PDF-Werkzeuge)
120 .120 gitea git.openbureau.ch · git.kgva.ch Git (DIESES Repo)
130 .130 kgva-website karimgabrielevarano.xyz Website
132 .132 rapport-website rapport.openbureau.ch Website
133 .133 dossier-website dossier.openbureau.ch Website
134 .134 openbureau-dev dev.openbureau.ch Dev (Supabase-style :8000 / Web :8080)
135 .135 trattoriamarina.ch (Website) Marinas Trattoria
140 .140 studio studio.kgva.ch (:8080) · api.studio.kgva.ch (:8000) Supabase (Social-Media-Backend) — von anderer Claude-Instanz betreut
800 .177 nextcloud-old cloud.gabrielevarano.ch ALTE Nextcloud (Altdaten, 400 GB-Quota)
802 .14 (DHCP) vaultwarden-old — alt, läuft sporadisch
805/807/810/811/910/919/990 — *-old — alte Pre-Rebuild-Gäste (meist gestoppt)

VPS-Dienste (auf 46.225.70.71):

Domain Dienst
mail.kgva.ch docker-mailserver (Postfix/Dovecot/Rspamd, DKIM)
webmail.kgva.ch SnappyMail
mailadmin.kgva.ch DMS Admin-UI

Mail-Konten: u. a. karim@gabrielevarano.ch (von hosttech migriert), kgva.ch-Adressen. MX → mail.kgva.ch, SPF/DKIM/DMARC gesetzt.

3. Backup

  • PBS (CT100) · Datastore backup auf der Seagate Expansion HDD (USB, xfs, /datastore-hdd, bind in CT100).
  • PVE-Storage: pbs → Datastore backup.
  • Job: täglich 02:30 + 14:30 (2×/Tag), alle Gäste, mode snapshot, inkrementell + dedupliziert.
  • Retention: keep-last=4, keep-daily=7, keep-weekly=4, keep-monthly=3.
  • Kingston XS1000 SSD wurde entfernt/freigeräumt (war der alte Pre-Wipe-Speicher).
  • Reboot-Fix: /etc/tmpfiles.d/zz-pbs-runtime.conf in CT100 (sonst /run/proxmox-backup-EACCES nach Reboot).
  • Wiederherstellung: PBS-WebUI (CT100:8007) oder qmrestore/pct restore aus dem pbs-Storage.

4. Netzwerk / DNS

  • DHCP-Bereich (AdGuard): 192.168.1.10–99 → statische IPs immer ≥ .100 wählen.
  • Statische IP für eine CT: PVE net0 auf ip=192.168.1.X/24,gw=192.168.1.1 UND intern /etc/network/interfaces → iface eth0 inet static (sonst zieht der Container trotzdem DHCP!).
  • AdGuard-DNS-Rewrites: aktuell keine (immich.gabrielevarano.ch wurde entfernt → Immich nur noch über immich.kgva.ch).
  • Wildcard *.kgva.ch → VPS. gabrielevarano.ch hat eine Wildcard, openbureau.ch/karimgabrielevarano.xyz eigene A-Records.

5. Zugang & Passwörter

  • SSH: ~/.ssh/proxmox_homelab → Host .2 · ~/.ssh/vps_kgva → VPS.
  • Proxmox-UI: https://192.168.1.2:8006 (root@pam). Subscription-Nag ist dauerhaft gepatcht (siehe How-Tos).
  • Glance-Dashboard: http://192.168.1.114:8080 (nur intern/VPN).
  • Service-Logins: sollen alle in Vaultwarden zentralisiert werden (Rotations-Skript: /root/rotate-passwords.py auf dem Host → erzeugt Bitwarden-Import-CSV).
    • ⚠️ Sicherheits-To-do: Viele Dienste nutzen aktuell noch Rationalism2025!. AdGuard: admin / Rationalism2026!. → bei Gelegenheit rotieren.

6. How-Tos

Neuen Dienst hinzufügen

  1. CT anlegen (Debian-Template, unprivilegiert, features nesting=1,keyctl=1, static ip=192.168.1.X/24,gw=…).
  2. /etc/network/interfaces intern auf static stellen.
  3. Docker installieren (curl -fsSL https://get.docker.com | sh) + Dienst per compose.
  4. Im VPS-Caddyfile (/opt/dms-stack/caddy/Caddyfile) Block ergänzen: 
    meinedienst.kgva.ch {
    reverse_proxy 192.168.1.X:PORT
}
    dann docker restart dms-caddy (Caddy holt das Cert automatisch, da *.kgva.ch-Wildcard).
  5. Optional: ins Glance-Dashboard (Monitor + Bookmark) aufnehmen.

Proxmox-Subscription-Nag (dauerhaft entfernt)

  • Patch-Script: /usr/local/bin/pve-no-nag.sh (setzt !== 'active' → === 'active' in proxmoxlib.js).
  • apt-Hook /etc/apt/apt.conf.d/no-nag-script re-patcht nach jedem Update.
  • Kommt der Nag mal wieder: nur Browser-Cache (Strg+Shift+R), der Server ist gepatcht.

Glance-Dashboard

  • CT114, Docker, Config in /opt/glance/{config/glance.yml, assets/}.
  • Wichtig: Custom-CSS muss unter server.assets-path (/app/assets) liegen und als /assets/custom.css referenziert werden (aus /app/config liefert Glance es mit 404).
  • Daten-API für die Widgets: Python-Dienst auf dem Host (/opt/zfs-api/zfs_api.py, systemd zfs-api, Port 9099) → /pools /guests /errors /backup /sysinfo /adguard. Plus Glances auf dem Host (systemd glances, Port 61208, -w --disable-webui).

Whiteboard / Collabora (Nextcloud)

  • Beide laufen in CT115. WOPI-Allowlist auf 0.0.0.0/0,::/0 (Tunnel-Routing macht IP-Härtung unpraktikabel).
  • Whiteboard-Verify-Button meldet fälschlich „timeout" — die Echtzeit-Collaboration funktioniert trotzdem.

7. Offene Punkte / To-do

  • openbureau.ch (CT131) — Caddy zeigt auf .131:80, Container existiert noch nicht → 502. openbureau-Suite bauen (Website/dev/app/rapport-server).
  • Passwörter rotieren (/root/rotate-passwords.py --apply) + in Vaultwarden importieren.
  • Master-Passwörter (Vaultwarden) + Rationalism2025! ablösen.
  • Entscheiden: Flarum (CT810) / Obsidian-LiveSync (CT805) zurückbringen?
  • Alte „-old"-Container aufräumen (NACH der Suite-Migration; CT800 mit Altdaten behalten).

Diese Doku wird manuell gepflegt. Bei Änderungen am Setup hier nachziehen.

Reference in New Issue View Git Blame Copy Permalink