homelab/doc/plan/homelab-manifest.md

homelab manifest

Referenz für Aufbau und Betrieb meines Proxmox-Servers. Architekturarbeit + privat. Ein Mini-PC, 1× 1TB NVMe, 2× 4TB, 1× 2TB externe HDD. An dieses Dokument richte ich die Maschine aus — nicht umgekehrt.

---

prinzipien

1. Filesystem-first. Das Dateisystem ist die Wahrheit. Web-UIs, SMB und Sync sind nur Clients darauf. Keine App "besitzt" die Daten allein.
2. FOSS und self-hosted, config-as-code. Jede Konfiguration (Caddyfile, compose, ZFS-Layout, Samba) liegt versioniert im Gitea.
3. Öffentlich = Caddy, privat = WireGuard-only. Nach aussen offen: nur der WireGuard-Port plus 80/443 für die öffentlichen Websites. Alles andere erreiche ich nur durch den Tunnel.
4. RAID ist kein Backup. 3-2-1: 3 Kopien, 2 Medien, 1 offsite.
5. ZFS-Pool nie über ~85%. Copy-on-Write braucht Luft. Auslastung wird überwacht, nicht geschätzt.
6. Grosse Daten ≠ vzdump. Bulk-Mounts laufen mit backup=0, separat gesichert per zfs send/Restic. vzdump nur für die schlanken rootfs.
7. Bewusster Hybrid. Single-purpose Infra → native LXC. Echte Multi-Container-App-Stacks → ein Docker-LXC pro Stack. Nie "ein Docker pro LXC für alles".
8. Ein Werkzeug pro Aufgabe. Lieber ein schlankes Tool das eine Sache gut macht als ein Monolith der alles halb kann.
9. Reserve ist eingeplant, nicht zufällig. Quotas sind Sicherheitsdeckel, kein starres Partitionieren.

---

hardware & pools

Pool	Medium	Topologie	nutzbar	Zweck
rpool	1× 1TB NVMe	Single-Disk ZFS	~900 GiB	OS, alle rootfs, Datenbanken, oft gelesene Dienste
tank	2× 4TB	ZFS Mirror (RAID1)	~3.6 TiB	schwere Daten: Shares, Nextcloud, Immich, Paperless
—	1× 2TB ext. HDD	—	~1.8 TiB	lokales Backup-Ziel (zfs recv / Restic)

ZFS-Settings beide Pools: ashift=12, compression=lz4, atime=off. Mirror überlebt einen Plattentod und heilt Bitrot beim Scrub (monatlich). NVMe ist Einzelplatte → keine Redundanz, aber nichts Unersetzliches liegt nur dort.

---

dienste & container

Native LXC für Infra, ein Docker-LXC pro echtem App-Stack. CTID nach Rolle in Blöcken. [K] = Kern (zuerst), [+] = Erweiterung (nach Bedarf).

CTID	Dienst	Typ	rootfs	Daten	für
100	Caddy (Reverse Proxy)	native	8G	—	beide	K
101	WireGuard (wg-easy)	docker	4G	—	beide	K
102	Fileserver — Samba + Filebrowser + Syncthing	native	8G	tank/business, tank/private	beide	K
103	AdGuard Home (DNS + Adblock)	native	4G	—	beide	+
110	Nextcloud (app+db+redis)	docker	40G	tank/nextcloud	privat	K
111	Immich (server+ML+db+redis)	docker	60G	tank/immich	privat	K
112	Vaultwarden	native	4G	—	beide	K
113	Paperless-ngx (DMS + OCR)	docker	30G	tank/paperless	Arbeit	+
114	Stirling-PDF (PDF-Toolkit)	docker	8G	—	Arbeit	+
115	Collabora Online (Office in NC)	docker	16G	—	Arbeit	+
116	BookStack (Büro-Wiki / Detailbibliothek)	docker	8G	—	Arbeit	+
120	Gitea	native	8G	tank/gitea	Arbeit	K
121	CI-Runner (Forgejo/Woodpecker)	docker	16G	—	Arbeit	+
122	Penpot (Open-Source Figma)	docker	16G	—	Arbeit	+
130+	Websites (Hugo/static via Caddy)	native	8G ea.	—	Arbeit	K
140	Uptime Kuma (Monitoring/Status)	docker	8G	—	Betrieb	+
141	Beszel (System-/Pool-Metriken)	docker	8G	—	Betrieb	+
142	Homepage (Dashboard / "Launcher")	docker	4G	—	Betrieb	+
160	Jellyfin (Medien)	docker	16G	tank/media*	privat	+
161	Navidrome (Musik)	native	8G	tank/media*	privat	+
162	Linkwarden (Referenz-/Bookmark-Archiv)	docker	16G	—	beide	+
163	Miniflux (RSS)	docker	4G	—	privat	+

Nummernschema: 100–109 Infra/Netz · 110–119 Cloud-Apps · 120–129 Dev · 130–139 Web · 140–149 Betrieb · 160–169 Medien/Privat. Lücken bleiben.

* Medienbibliothek braucht eine bewusste Budget-Entscheidung — bei echter Film-Sammlung eher eine zusätzliche Platte einplanen statt den Tank zu sprengen.

---

app-katalog: was sonst noch sinn macht

Fürs Büro (stark empfohlen)

• Paperless-ngx — Dokumentenarchiv mit OCR und Volltextsuche. Löst das Papierproblem: Verträge, Rechnungen, Baugesuche, Korrespondenz scannen → durchsuchbar. Watch-Ordner zieht Scans automatisch ein.
• Stirling-PDF — alles für PDFs: zusammenführen, teilen, OCR, komprimieren, signieren. Du lebst in Plan-PDFs und Eingaben.
• Collabora Online — Office-Dokumente direkt im Browser/in Nextcloud editieren. XLSX-kompatibel für Raumlisten.
• BookStack — Büro-Wiki: Detailbibliothek-Doku, Standards, Vorlagen, Projektwissen an einem Ort.

Für den Betrieb des Homelabs

• Uptime Kuma — weisst sofort wenn ein Dienst down ist (inkl. Push aufs Handy).
• Beszel (oder Netdata) — System- und Pool-Metriken → erfüllt die <85%-Alert-Regel.
• Homepage — eine Startseite die alle Dienste verlinkt, das DSM-Launcher-Gefühl.

Privat

• AdGuard Home — netzweiter Tracker-/Werbeblocker + interner DNS (löst gleich die internen Hostnamen).
• Linkwarden — visuelles Referenz-/Bookmark-Archiv. Beruflich top für Präzedenzfälle, Materialien, Detail-Ideen.
• Jellyfin — Filme/Serien, ergänzt Navidrome (Musik).
• Miniflux — minimalistischer RSS-Reader.

Für deine Software (openbureau)

• CI-Runner (Forgejo Actions / Woodpecker) — Tests + Auto-Deploy der Hugo-Site, Builds für Rapport/Dossier/Pendenz.
• Penpot — Open-Source Figma für UI/Mockups.

---

der zugriff auf den share (die synology-erfahrung, nachgebaut)

Synologys Magie ist ein Bündel von Zugriffswegen auf dieselben Dateien. Filesystem-first nachgebaut, alles im Fileserver-LXC (102):

• Samba → klassisches Netzlaufwerk auf Mac/Linux/Windows. Voller nativer Speed für Rhino/CAD vom Desktop. Der Hauptzugang für die Arbeit.
• Filebrowser → Web-"File Station": browsen, hoch-/runterladen, Share-Links mit Passwort/Ablauf. Liest das FS live, kein DB-Desync. Auch im Handy-Browser brauchbar (PWA).
• Syncthing → das "Synology Drive": ausgewählte Ordner kontinuierlich auf Laptop syncen, offline arbeiten. Files bleiben plain auf der Platte → SMB funktioniert weiter parallel.
• Homepage → eine Kachel-Startseite über alles, der Launcher.

Bewusst nicht Seafile: das wäre der bessere Sync-Client, speichert Dateien aber in eigenem Block-Format → dann ginge SMB auf denselben Daten nicht mehr. Verletzt filesystem-first.

---

shares & datenstruktur

Zwei getrennte Datasets (= zwei Samba-Shares): saubere Trennung von Rechten, Snapshots und Backup-Priorität. Ein künftiger Mitarbeiter/Praktikant kriegt business, nie private.

tank/business — Architekturbüro

Projektbezogen, Phasen nach SIA 102. Unterstriche sortieren Nicht-Projekt-Ordner nach oben.

business/
├── _vorlagen/           Planköpfe, Dokumentvorlagen, CAD-Templates
├── _bibliothek/
│   ├── details/         wiederverwendbare Konstruktionsdetails
│   ├── cad-blocks/
│   ├── materialien/
│   └── referenzen/      Präzedenzfälle, Vorbilder
├── _buro/               Administration, Buchhaltung, Marketing
└── projekte/
    └── 2026-001_projektname/
        ├── 00_admin/         Verträge, Honorar, Protokolle, Korrespondenz
        ├── 01_grundlagen/    Bestand, Vermessung, Gutachten, Fotos
        ├── 02_vorstudien/    SIA 21 — Machbarkeit, Wettbewerb
        ├── 03_vorprojekt/    SIA 31
        ├── 04_bauprojekt/    SIA 32
        ├── 05_bewilligung/   SIA 33 — Baugesuch
        ├── 06_ausschreibung/ SIA 41
        ├── 07_ausfuhrung/    SIA 51/52/53 — Werkplanung, Baustelle
        ├── 08_abschluss/     Abnahme, Revision, Doku
        ├── cad/              Rhino .3dm (working)
        ├── plaene/           ausgegebene PDF-Pläne
        ├── visualisierung/   Renderings
        └── fotos/            Baustellenfotos

Projektnummer JJJJ-NNN_name → sortierbar, gleiche Logik wie die CTIDs.

tank/private — persönlich

private/
├── dokumente/        Verträge, Versicherung, Behörden
│   └── 2026/
├── finanzen/
├── studium/          HSLU Master — Module, Arbeiten, Thesis
├── projekte/         persönliche Projekte
├── scans/            Eingang für Paperless
└── archiv/

Nextcloud bleibt schlank für Kalender/Kontakte/Mobile und leichtes Teilen (eigenes tank/nextcloud). Optional kann es tank/private als External Storage einhängen, damit die App am Handy auch an die privaten Files kommt — mit dem bekannten Scan-Vorbehalt.

---

speicher-aufteilung (thin + quota, mit reserve)

tank — ~3.6 TiB nutzbar

Dataset	Quota	Zweck
tank/business	1.3 TiB	Architekturarbeit (SMB + Filebrowser + Syncthing)
tank/immich	600 GiB	Foto-/Videobibliothek
tank/private	300 GiB	persönliche Files (SMB + Filebrowser + Syncthing)
tank/paperless	150 GiB	Dokumentenarchiv
tank/nextcloud	150 GiB	Sync/Mobile/Teilen
tank/dump	150 GiB	vzdump der rootfs
tank/gitea	50 GiB	Repos
Summe Quotas	~2.7 TiB	= ~72% bei voll ausgereizten Quotas
freie Reserve	~0.9 TiB	bewusst unallokiert → Pool bleibt unter 85%

Quotas sind Deckel, nicht Reservierungen. Sie dürfen den Pool in Summe überschreiten — hier tun sie's bewusst nicht, damit selbst bei vollen Quotas Luft bleibt. Medien (Jellyfin) würden diese Reserve fressen → eigene Platte einplanen.

rpool — ~900 GiB nutzbar

OS + ARC + alle rootfs (Kern + Erweiterungen): grob ~350 GiB. Datenbanken liegen in den rootfs auf der NVMe (schnelle Random-IO). Reserve ~550 GiB — bewusst grosszügig: Snapshots, künftige Dienste, Option ein heisses Dataset (z.B. Immich-Thumbnails) auf die NVMe zu pinnen.

---

mount-konventionen

Zwei Fälle, bewusst unterschiedlich:

• Exklusive Service-Daten (Nextcloud, Immich, Paperless, Gitea) → Proxmox-verwalteter Mountpoint, eigenes subvol:

  mp0: tank/nextcloud,mp=/data,backup=0,size=150G
  

• Geteilte Datasets (business, private, von Samba+Filebrowser+Syncthing im selben LXC genutzt) → Bind-Mount des Host-Pfads:

  mp0: /tank/business,mp=/srv/business
  mp1: /tank/private,mp=/srv/private
  

backup=0 auf allen grossen Mounts. Dataset-Settings nach Inhalt: recordsize=1M für Immich/Renderings, Default 128K sonst.

---

netz & zugriff

• Öffentlich: Router → nur 80/443 → Caddy (100), macht TLS und routet zu den öffentlichen Websites. Sonst nichts nach aussen.
• Privat: Router → nur WireGuard-UDP → wg-easy (101). Proxmox-UI, Nextcloud, Immich, Vaultwarden, Filebrowser, Paperless: nur durch den Tunnel über interne Hostnamen.
• Interne Namen über AdGuard (103) als DNS + Caddy als internen Proxy → keine IPs merken.

---

backup-strategie (3-2-1)

1. Snapshots (sanoid) auf allen tank-Datendatasets — Schutz gegen "ups, gelöscht".
2. Lokal: zfs send/Restic der wichtigen Datasets + tank/dump → 2TB externe HDD.
3. Offsite: Restic der Unersetzlichen (business, private, immich, nextcloud, paperless, gitea, vaultwarden) → Hetzner Storage Box, verschlüsselt + versioniert.

RAID gegen Plattentod. Snapshots gegen Fehler. Offsite gegen Brand und Ransomware. Alle drei. Restore mindestens einmal testen — ein ungetestetes Backup ist kein Backup.

---

checkliste

• Proxmox auf NVMe, rpool als Single-Disk ZFS
• tank als Mirror, Settings setzen, Scrub-Cron
• Datasets + Quotas anlegen
• Fileserver-LXC (102): Samba (2 Shares) + Filebrowser + Syncthing
• Ordnerstruktur business/private anlegen
• Caddy + WireGuard + AdGuard (Netzgerüst)
• Kern-Apps (NC, Immich, Vaultwarden, Gitea), dann Erweiterungen nach Bedarf
• Monitoring (Uptime Kuma, Beszel) + Pool-Alert <85%
• sanoid + Restic offsite, Restore testen