bilal/homelab-doku
1
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions

syntax cleanup

Browse source
This commit is contained in:
Bilal Teke 2026-06-04 08:08:55 +02:00
parent c5fb4daf0f
commit 2027f90030
12 changed files with 242 additions and 182 deletions
Show stats Download patch file Download diff file Expand all files Collapse all files

8
README.md Normal file
View file

@ -0,0 +1,8 @@
# Homelab-Dokumentation
Diese Dokumentation beschreibt Aufbau, Betrieb und bekannte Themen des Homelabs.
## Bereiche
- [VPS-Dokumentation](VPS/README.md)

23
VPS/README.md Normal file
View file

@ -0,0 +1,23 @@
# VPS-Dokumentation
Die VPS dient als öffentliche Edge-Infrastruktur des Homelabs. Die Dokumentation ist nach Verantwortungsbereichen gegliedert.
## Einstieg
- [Übersicht](overview.md)
- [Dienste](services.md)
- [Bekannte Themen und Verbesserungspotenzial](known-issues.md)
## Infrastruktur
- [Netzwerk](networking.md)
- [WireGuard](wireguard.md)
- [Docker](docker.md)
- [Sicherheit](security.md)
## Betrieb
- [Monitoring](monitoring.md)
- [Backup](backup.md)
- [Wartung und Betrieb](maintenance.md)

49
VPS/backup.md
View file

@ -5,14 +5,16 @@
Die VPS wird per restic auf eine Hetzner Storage Box gesichert. Die VPS wird per restic auf eine Hetzner Storage Box gesichert.
Transport: Transport:
- SFTP - SFTP
Backup Tool: Backup Tool:
- restic - restic
— ---
# Gesicherte Verzeichnisse ## Gesicherte Verzeichnisse
```text ```text
/opt /opt
@ -21,11 +23,11 @@ Backup Tool:
/etc/letsencrypt /etc/letsencrypt
``` ```
— ---
# Backup Ziel ## Backup Ziel
## Hetzner Storage Box ### Hetzner Storage Box
Repository Struktur: Repository Struktur:
@ -33,48 +35,51 @@ Repository Struktur:
backups/vps backups/vps
``` ```
— ---
# Retention Policy ## Retention Policy
| Typ | Anzahl | | Typ | Anzahl |
|—|—| |---|---|
| Daily | 7 | | Daily | 7 |
| Weekly | 4 | | Weekly | 4 |
| Monthly | 6 | | Monthly | 6 |
Zusätzlich: Zusätzlich:
- regelmäßiges prune - regelmäßiges prune
— ---
# Backup Zeitplan ## Backup Zeitplan
## systemd timer ### systemd timer
Nächster Lauf: Nächster Lauf:
- täglich um 02:30 UTC - täglich um 02:30 UTC
Timer: Timer:
- restic-backup.timer - restic-backup.timer
— ---
# Ziele der Backupstrategie ## Ziele der Backupstrategie
- vollständige Wiederherstellbarkeit der VPS - vollständige Wiederherstellbarkeit der VPS
- schnelle Recovery - schnelle Recovery
- Schutz vor Fehlkonfigurationen - Schutz vor Fehlkonfigurationen
- Schutz vor Datenverlust - Schutz vor Datenverlust
— ---
# Wiederherstellungsziele ## Wiederherstellungsziele
Die folgenden Bereiche müssen wiederherstellbar sein: Die folgenden Bereiche müssen wiederherstellbar sein:
| Bereich | Wichtigkeit | | Bereich | Wichtigkeit |
|—|—| |---|---|
| Docker Stacks | kritisch | | Docker Stacks | kritisch |
| Reverse Proxy | kritisch | | Reverse Proxy | kritisch |
| authentik | kritisch | | authentik | kritisch |
@ -82,11 +87,11 @@ Die folgenden Bereiche müssen wiederherstellbar sein:
| Zertifikate | kritisch | | Zertifikate | kritisch |
| SSH Zugriff | kritisch | | SSH Zugriff | kritisch |
— ---
# Verbesserungspotenzial ## Verbesserungspotenzial
## Noch offen ### Noch offen
- Restore-Test dokumentieren - Restore-Test dokumentieren
- Backup Monitoring ergänzen - Backup Monitoring ergänzen
@ -94,8 +99,8 @@ Die folgenden Bereiche müssen wiederherstellbar sein:
- Alerting bei Fehlern - Alerting bei Fehlern
- Dokumentierte Recovery-Anleitung - Dokumentierte Recovery-Anleitung
— ---
# Langfristiges Ziel ## Langfristiges Ziel
Die VPS soll vollständig reproduzierbar und innerhalb kurzer Zeit wiederherstellbar sein. Die VPS soll vollständig reproduzierbar und innerhalb kurzer Zeit wiederherstellbar sein.

49
VPS/docker.md
View file

@ -3,32 +3,33 @@
## Docker Netzwerke ## Docker Netzwerke
| Netzwerk | Zweck | | Netzwerk | Zweck |
|—|—| |---|---|
| proxy | Hauptnetzwerk für Reverse Proxy und Dienste | | proxy | Hauptnetzwerk für Reverse Proxy und Dienste |
| authentik_authentik | internes authentik Netzwerk | | authentik_authentik | internes authentik Netzwerk |
| nextcloud_internal | internes Nextcloud Netzwerk | | nextcloud_internal | internes Nextcloud Netzwerk |
| teamspeak_default | isoliertes TeamSpeak Netzwerk | | teamspeak_default | isoliertes TeamSpeak Netzwerk |
— ---
# Hauptnetzwerk „proxy“ ## Hauptnetzwerk „proxy“
## Netzwerk ### Netzwerk
- Name: proxy - Name: proxy
- Subnetz: 172.20.0.0/16 - Subnetz: 172.20.0.0/16
Das proxy-Netzwerk dient als zentrale Kommunikationsschicht zwischen: Das proxy-Netzwerk dient als zentrale Kommunikationsschicht zwischen:
- Nginx Proxy Manager - Nginx Proxy Manager
- öffentlichen Diensten - öffentlichen Diensten
- internen Reverse-Proxy-Zielen - internen Reverse-Proxy-Zielen
— ---
# Container ## Container
| Container | Aufgabe | Netzwerk | | Container | Aufgabe | Netzwerk |
|—|—|—| |---|---|---|
| npm | Reverse Proxy | proxy | | npm | Reverse Proxy | proxy |
| authentik-server | SSO Frontend | proxy | | authentik-server | SSO Frontend | proxy |
| authentik-worker | Hintergrundprozesse | authentik_authentik | | authentik-worker | Hintergrundprozesse | authentik_authentik |
@ -46,12 +47,12 @@ Das proxy-Netzwerk dient als zentrale Kommunikationsschicht zwischen:
| teamspeak | Voice Server | teamspeak_default | | teamspeak | Voice Server | teamspeak_default |
| site | Statische Webseite | proxy | | site | Statische Webseite | proxy |
— ---
# Öffentlich erreichbare Ports ## Öffentlich erreichbare Ports
| Port | Dienst | | Port | Dienst |
|—|—| |---|---|
| 80 | NPM HTTP | | 80 | NPM HTTP |
| 443 | NPM HTTPS | | 443 | NPM HTTPS |
| 9000 | authentik | | 9000 | authentik |
@ -62,21 +63,21 @@ Das proxy-Netzwerk dient als zentrale Kommunikationsschicht zwischen:
| 30033 | TeamSpeak Dateitransfer | | 30033 | TeamSpeak Dateitransfer |
| 51820/UDP | WireGuard | | 51820/UDP | WireGuard |
— ---
# Localhost-only Bindings ## Localhost-only Bindings
| Port | Dienst | | Port | Dienst |
|—|—| |---|---|
| 81 | NPM Admin | | 81 | NPM Admin |
| 3001 | Uptime Kuma | | 3001 | Uptime Kuma |
| 3002 | AdGuard UI | | 3002 | AdGuard UI |
— ---
# Docker Speicherstruktur ## Docker Speicherstruktur
## Basisverzeichnis ### Basisverzeichnis
```text ```text
/opt/ /opt/
@ -92,27 +93,29 @@ Beispiele:
/opt/npm /opt/npm
``` ```
— ---
# Persistenzstrategie ## Persistenzstrategie
Die VPS nutzt überwiegend: Die VPS nutzt überwiegend:
- Bind Mounts - Bind Mounts
- lokale persistente Verzeichnisse - lokale persistente Verzeichnisse
anstatt vieler benannter Docker-Volumes. anstatt vieler benannter Docker-Volumes.
Vorteile: Vorteile:
- einfachere Backups - einfachere Backups
- einfachere Migration - einfachere Migration
- einfachere Wiederherstellung - einfachere Wiederherstellung
- bessere Übersichtlichkeit - bessere Übersichtlichkeit
— ---
# Aktuelle Beobachtungen ## Aktuelle Beobachtungen
## Positiv ### Positiv
- saubere Trennung der Dienste - saubere Trennung der Dienste
- wenige Netzwerke - wenige Netzwerke
@ -120,9 +123,9 @@ Vorteile:
- minimale Anzahl ungenutzter Volumes - minimale Anzahl ungenutzter Volumes
- strukturierter Aufbau - strukturierter Aufbau
## Verbesserungspotenzial ### Verbesserungspotenzial
- unnötige öffentliche Portfreigaben reduzieren - unnötige öffentliche Portfreigaben reduzieren
- Compose-Strukturen vereinheitlichen - Compose-Strukturen vereinheitlichen
- Labels und Restart Policies standardisieren - Labels und Restart Policies standardisieren
- Netzwerk-Namenskonventionen vereinheitlichen - Netzwerk-Namenskonventionen vereinheitlichen

12
VPS/known-issues.md
View file

@ -6,7 +6,7 @@
- Forgejo öffentlich exposed - Forgejo öffentlich exposed
- öffentliche Ports teilweise historisch gewachsen - öffentliche Ports teilweise historisch gewachsen
— ---
## Dokumentation ## Dokumentation
@ -14,7 +14,7 @@
- Domains/Subdomains noch nicht dokumentiert - Domains/Subdomains noch nicht dokumentiert
- Compose Standards noch nicht vereinheitlicht - Compose Standards noch nicht vereinheitlicht
— ---
## Monitoring ## Monitoring
@ -22,7 +22,7 @@
- Backup Monitoring fehlt - Backup Monitoring fehlt
- VPN Monitoring ausbaufähig - VPN Monitoring ausbaufähig
— ---
## Docker ## Docker
@ -30,18 +30,18 @@
- Netzwerk-Namenskonventionen uneinheitlich - Netzwerk-Namenskonventionen uneinheitlich
- Logging noch nicht standardisiert - Logging noch nicht standardisiert
— ---
## Backups ## Backups
- Restore-Prozess noch nicht dokumentiert - Restore-Prozess noch nicht dokumentiert
- kein regelmäßiger Restore-Test - kein regelmäßiger Restore-Test
— ---
## Langfristige Themen ## Langfristige Themen
- Matrix Server - Matrix Server
- zentrale Benachrichtigungen - zentrale Benachrichtigungen
- vollständige Infrastructure-as-Code Struktur - vollständige Infrastructure-as-Code Struktur
- automatische Inventarisierung - automatische Inventarisierung

25
VPS/maintenance.md
View file

@ -8,7 +8,7 @@
- Uptime Kuma Alerts prüfen - Uptime Kuma Alerts prüfen
- CrowdSec Events prüfen - CrowdSec Events prüfen
— ---
### Wöchentlich ### Wöchentlich
@ -17,7 +17,7 @@
- Backup Logs prüfen - Backup Logs prüfen
- freien Speicherplatz prüfen - freien Speicherplatz prüfen
— ---
### Monatlich ### Monatlich
@ -26,40 +26,41 @@
- Logs prüfen - Logs prüfen
- Sicherheitsreview durchführen - Sicherheitsreview durchführen
— ---
# Automatische Wartung ## Automatische Wartung
## Bereits vorhanden ### Bereits vorhanden
| Funktion | Status | | Funktion | Status |
|—|—| |---|---|
| apt Updates | aktiv | | apt Updates | aktiv |
| Security Updates | aktiv | | Security Updates | aktiv |
| restic Backup | aktiv | | restic Backup | aktiv |
| logrotate | aktiv | | logrotate | aktiv |
| CrowdSec Updates | aktiv | | CrowdSec Updates | aktiv |
— ---
# Geplante Automatisierung ## Geplante Automatisierung
| Funktion | Status | | Funktion | Status |
|—|—| |---|---|
| Docker Cleanup | geplant | | Docker Cleanup | geplant |
| Journal Cleanup | geplant | | Journal Cleanup | geplant |
| Backup Validation | geplant | | Backup Validation | geplant |
| Health Reports | geplant | | Health Reports | geplant |
| Matrix Alerts | geplant | | Matrix Alerts | geplant |
— ---
# Wartungsziele ## Wartungsziele
Die VPS soll möglichst: Die VPS soll möglichst:
- wartungsarm - wartungsarm
- stabil - stabil
- nachvollziehbar - nachvollziehbar
- automatisiert - automatisiert
betrieben werden. betrieben werden.

57
VPS/monitoring.md
View file

@ -4,24 +4,25 @@
Die VPS nutzt aktuell mehrere Monitoring-Lösungen mit unterschiedlichen Aufgabenbereichen. Die VPS nutzt aktuell mehrere Monitoring-Lösungen mit unterschiedlichen Aufgabenbereichen.
— ---
# Verwendete Systeme ## Verwendete Systeme
| Dienst | Aufgabe | | Dienst | Aufgabe |
|—|—| |---|---|
| Netdata | Live-Systemmonitoring | | Netdata | Live-Systemmonitoring |
| Uptime Kuma | Verfügbarkeitsmonitoring | | Uptime Kuma | Verfügbarkeitsmonitoring |
| CrowdSec | Sicherheitsmonitoring | | CrowdSec | Sicherheitsmonitoring |
| Ubuntu Timer | Wartung / Updates | | Ubuntu Timer | Wartung / Updates |
— ---
# Netdata ## Netdata
## Aufgabe ### Aufgabe
Netdata überwacht: Netdata überwacht:
- CPU - CPU
- RAM - RAM
- Prozesse - Prozesse
@ -31,15 +32,17 @@ Netdata überwacht:
- Systemmetriken - Systemmetriken
Container: Container:
- netdata - netdata
— ---
# Uptime Kuma ## Uptime Kuma
## Aufgabe ### Aufgabe
Uptime Kuma überwacht: Uptime Kuma überwacht:
- externe Erreichbarkeit - externe Erreichbarkeit
- HTTPS Checks - HTTPS Checks
- Zertifikate - Zertifikate
@ -47,6 +50,7 @@ Uptime Kuma überwacht:
- Domains - Domains
Container: Container:
- uptime-kuma - uptime-kuma
Localhost Binding: Localhost Binding:
@ -55,41 +59,43 @@ Localhost Binding:
127.0.0.1:3001 127.0.0.1:3001
``` ```
— ---
# CrowdSec ## CrowdSec
## Aufgabe ### Aufgabe
CrowdSec überwacht: CrowdSec überwacht:
- Loginversuche - Loginversuche
- Angriffe - Angriffe
- bekannte Bad IPs - bekannte Bad IPs
Integration: Integration:
- nftables - nftables
- Docker - Docker
- Reverse Proxy - Reverse Proxy
— ---
# Systemd Timer ## Systemd Timer
## Aktive Wartungstimer ### Aktive Wartungstimer
| Timer | Aufgabe | | Timer | Aufgabe |
|—|—| |---|---|
| apt-daily.timer | Paketupdates | | apt-daily.timer | Paketupdates |
| apt-daily-upgrade.timer | Sicherheitsupdates | | apt-daily-upgrade.timer | Sicherheitsupdates |
| restic-backup.timer | Backups | | restic-backup.timer | Backups |
| logrotate.timer | Logrotation | | logrotate.timer | Logrotation |
| crowdsec-hub-update.timer | CrowdSec Updates | | crowdsec-hub-update.timer | CrowdSec Updates |
— ---
# Aktuelle Beobachtungen ## Aktuelle Beobachtungen
## Positiv ### Positiv
- mehrere Monitoring-Ebenen vorhanden - mehrere Monitoring-Ebenen vorhanden
- Backups automatisiert - Backups automatisiert
@ -97,11 +103,11 @@ Integration:
- geringe Systemlast - geringe Systemlast
- ausreichende Leistungsreserven - ausreichende Leistungsreserven
— ---
# Verbesserungspotenzial ## Verbesserungspotenzial
## Noch offen ### Noch offen
- zentrales Alerting - zentrales Alerting
- Matrix Integration - Matrix Integration
@ -110,12 +116,13 @@ Integration:
- VPN Health Checks - VPN Health Checks
- Docker Health Alerts - Docker Health Alerts
— ---
# Langfristiges Ziel ## Langfristiges Ziel
Das Monitoring soll: Das Monitoring soll:
- frühzeitig Probleme erkennen - frühzeitig Probleme erkennen
- automatisch benachrichtigen - automatisch benachrichtigen
- Fehlkonfigurationen sichtbar machen - Fehlkonfigurationen sichtbar machen
- möglichst wartungsarm funktionieren - möglichst wartungsarm funktionieren

45
VPS/networking.md
View file

@ -3,29 +3,32 @@
## Öffentliches Netzwerk ## Öffentliches Netzwerk
| Interface | Adresse | | Interface | Adresse |
|—|—| |---|---|
| eth0 | 46.225.176.170 | | eth0 | 46.225.176.170 |
— ---
# VPN ## VPN
## WireGuard ### WireGuard
Die VPS dient als zentraler WireGuard-Hub zwischen: Die VPS dient als zentraler WireGuard-Hub zwischen:
- VPS - VPS
- Heimnetz - Heimnetz
- zusätzlichen Clients - zusätzlichen Clients
Interface: Interface:
- wg0 - wg0
Listening Port: Listening Port:
- 51820/UDP - 51820/UDP
— ---
# Heimnetz Routing ## Heimnetz Routing
Folgende Route wird aktuell über WireGuard bereitgestellt: Folgende Route wird aktuell über WireGuard bereitgestellt:
@ -35,35 +38,36 @@ Folgende Route wird aktuell über WireGuard bereitgestellt:
Dadurch kann die VPS interne Dienste im Heimnetz sicher über VPN erreichen. Dadurch kann die VPS interne Dienste im Heimnetz sicher über VPN erreichen.
— ---
# Firewall / Paketfilterung ## Firewall / Paketfilterung
## Aktueller Zustand ### Aktueller Zustand
UFW ist nicht aktiv. UFW ist nicht aktiv.
Stattdessen nutzt die VPS: Stattdessen nutzt die VPS:
- nftables - nftables
- Docker-verwaltete Firewallregeln - Docker-verwaltete Firewallregeln
- CrowdSec Integration - CrowdSec Integration
— ---
# Sicherheitslayer ## Sicherheitslayer
| Layer | Aufgabe | | Layer | Aufgabe |
|—|—| |---|---|
| Docker nftables Regeln | Container-Isolation | | Docker nftables Regeln | Container-Isolation |
| CrowdSec | Dynamische Blockierung | | CrowdSec | Dynamische Blockierung |
| WireGuard | Sicherer privater Zugriff | | WireGuard | Sicherer privater Zugriff |
| NPM | TLS Terminierung | | NPM | TLS Terminierung |
— ---
# Docker Netzwerkarchitektur ## Docker Netzwerkarchitektur
## proxy Netzwerk ### proxy Netzwerk
Subnetz: Subnetz:
@ -72,6 +76,7 @@ Subnetz:
``` ```
Wichtige Dienste: Wichtige Dienste:
- NPM - NPM
- authentik - authentik
- Nextcloud - Nextcloud
@ -79,19 +84,19 @@ Wichtige Dienste:
- Forgejo - Forgejo
- Monitoring-Dienste - Monitoring-Dienste
— ---
# Aktuelle Sicherheitsbeobachtungen ## Aktuelle Sicherheitsbeobachtungen
## Positiv ### Positiv
- interne Docker-Segmentierung vorhanden - interne Docker-Segmentierung vorhanden
- RAW nftables Isolationsregeln aktiv - RAW nftables Isolationsregeln aktiv
- Localhost Bindings bereits genutzt - Localhost Bindings bereits genutzt
- CrowdSec in INPUT Chain integriert - CrowdSec in INPUT Chain integriert
## Mögliche Verbesserungen ### Mögliche Verbesserungen
- direkten öffentlichen Zugriff auf authentik entfernen - direkten öffentlichen Zugriff auf authentik entfernen
- öffentliche Erreichbarkeit von Forgejo prüfen - öffentliche Erreichbarkeit von Forgejo prüfen
- Rolle von AdGuard auf der VPS bewerten - Rolle von AdGuard auf der VPS bewerten

32
VPS/overview.md
View file

@ -3,7 +3,7 @@
## Allgemeine Informationen ## Allgemeine Informationen
| Eigenschaft | Wert | | Eigenschaft | Wert |
|—|—| |---|---|
| Hostname | ubuntu-8gb-nbg1-1 | | Hostname | ubuntu-8gb-nbg1-1 |
| Anbieter | Hetzner Cloud | | Anbieter | Hetzner Cloud |
| Standort | nbg1 (Nürnberg) | | Standort | nbg1 (Nürnberg) |
@ -13,9 +13,9 @@
| Hauptbenutzer | mbyte | | Hauptbenutzer | mbyte |
| Container Runtime | Docker | | Container Runtime | Docker |
— ---
# Aufgabe der VPS ## Aufgabe der VPS
Die VPS dient als öffentliche Edge-Infrastruktur des Homelabs. Die VPS dient als öffentliche Edge-Infrastruktur des Homelabs.
@ -28,12 +28,12 @@ Hauptaufgaben:
- Öffentlicher Einstiegspunkt für interne Dienste - Öffentlicher Einstiegspunkt für interne Dienste
- Externes Monitoring - Externes Monitoring
— ---
# Hauptdienste ## Hauptdienste
| Dienst | Aufgabe | | Dienst | Aufgabe |
|—|—| |---|---|
| Nginx Proxy Manager | Reverse Proxy und TLS | | Nginx Proxy Manager | Reverse Proxy und TLS |
| authentik | SSO / Identity Provider | | authentik | SSO / Identity Provider |
| CrowdSec | Intrusion Prevention | | CrowdSec | Intrusion Prevention |
@ -47,10 +47,11 @@ Hauptaufgaben:
| Collabora | Office-Integration | | Collabora | Office-Integration |
| TeamSpeak | Voice-Server | | TeamSpeak | Voice-Server |
— ---
# Infrastruktur-Architektur ## Infrastruktur-Architektur
```text
Internet Internet
↓ ↓
VPS VPS
@ -68,15 +69,16 @@ Heimnetz
├── Seafile ├── Seafile
├── Immich ├── Immich
└── interne Dienste └── interne Dienste
```
— ---
# Ressourcenverbrauch ## Ressourcenverbrauch
## Aktueller Status (2026-05-26) ### Aktueller Status (2026-05-26)
| Ressource | Nutzung | | Ressource | Nutzung |
|—|—| |---|---|
| CPU Load | niedrig | | CPU Load | niedrig |
| RAM Nutzung | ~34% | | RAM Nutzung | ~34% |
| Festplattennutzung | ~17% | | Festplattennutzung | ~17% |
@ -84,9 +86,9 @@ Heimnetz
Die VPS besitzt aktuell deutliche Leistungsreserven. Die VPS besitzt aktuell deutliche Leistungsreserven.
— ---
# Zielbild ## Zielbild
Die VPS soll langfristig: Die VPS soll langfristig:
@ -98,4 +100,4 @@ Die VPS soll langfristig:
- wartungsarm - wartungsarm
- vollständig überwacht - vollständig überwacht
sein. sein.

52
VPS/security.md
View file

@ -4,12 +4,12 @@
Die VPS nutzt mehrere Sicherheitslayer. Die VPS nutzt mehrere Sicherheitslayer.
— ---
# Sicherheitskomponenten ## Sicherheitskomponenten
| Komponente | Aufgabe | | Komponente | Aufgabe |
|—|—| |---|---|
| CrowdSec | Dynamische Angriffsblockierung | | CrowdSec | Dynamische Angriffsblockierung |
| nftables | Paketfilterung | | nftables | Paketfilterung |
| Docker Netzwerkisolierung | Segmentierung | | Docker Netzwerkisolierung | Segmentierung |
@ -17,36 +17,38 @@ Die VPS nutzt mehrere Sicherheitslayer.
| Nginx Proxy Manager | TLS Terminierung | | Nginx Proxy Manager | TLS Terminierung |
| authentik | Zentrale Authentifizierung | | authentik | Zentrale Authentifizierung |
— ---
# Firewall ## Firewall
## Aktueller Zustand ### Aktueller Zustand
UFW ist deaktiviert. UFW ist deaktiviert.
Die VPS nutzt stattdessen: Die VPS nutzt stattdessen:
- nftables - nftables
- Docker-verwaltete Regeln - Docker-verwaltete Regeln
- CrowdSec Integration - CrowdSec Integration
— ---
# Docker Isolation ## Docker Isolation
Die Docker-Netzwerke sind durch nftables-Regeln segmentiert. Die Docker-Netzwerke sind durch nftables-Regeln segmentiert.
Vorhanden: Vorhanden:
- RAW Regeln - RAW Regeln
- Netzwerkisolation - Netzwerkisolation
- Interface-basierte Filterung - Interface-basierte Filterung
— ---
# Öffentlich erreichbare Dienste ## Öffentlich erreichbare Dienste
| Dienst | Port | | Dienst | Port |
|—|—| |---|---|
| NPM | 80 / 443 | | NPM | 80 / 443 |
| Forgejo | 3000 | | Forgejo | 3000 |
| Forgejo SSH | 2222 | | Forgejo SSH | 2222 |
@ -54,23 +56,23 @@ Vorhanden:
| TeamSpeak | 9987 / 10011 / 30033 | | TeamSpeak | 9987 / 10011 / 30033 |
| WireGuard | 51820 | | WireGuard | 51820 |
— ---
# Lokale Bindings ## Lokale Bindings
Folgende Dienste sind nur lokal erreichbar: Folgende Dienste sind nur lokal erreichbar:
| Dienst | Binding | | Dienst | Binding |
|—|—| |---|---|
| NPM Admin | 127.0.0.1:81 | | NPM Admin | 127.0.0.1:81 |
| Uptime Kuma | 127.0.0.1:3001 | | Uptime Kuma | 127.0.0.1:3001 |
| AdGuard UI | 127.0.0.1:3002 | | AdGuard UI | 127.0.0.1:3002 |
— ---
# Sicherheitsbeobachtungen ## Sicherheitsbeobachtungen
## Positiv ### Positiv
- CrowdSec aktiv - CrowdSec aktiv
- Docker Netzwerksegmentierung - Docker Netzwerksegmentierung
@ -78,30 +80,30 @@ Folgende Dienste sind nur lokal erreichbar:
- VPN sauber getrennt - VPN sauber getrennt
- geringe Angriffsfläche des Hosts - geringe Angriffsfläche des Hosts
— ---
# Verbesserungspotenzial ## Verbesserungspotenzial
## Hohe Priorität ### Hohe Priorität
- authentik nicht direkt öffentlich exposen - authentik nicht direkt öffentlich exposen
- Forgejo Exposure prüfen - Forgejo Exposure prüfen
- öffentliche Ports reduzieren - öffentliche Ports reduzieren
— ---
# Mittlere Priorität ### Mittlere Priorität
- Compose Standards vereinheitlichen - Compose Standards vereinheitlichen
- zentrale Loggingstrategie - zentrale Loggingstrategie
- automatische Sicherheitsbenachrichtigungen - automatische Sicherheitsbenachrichtigungen
— ---
# Langfristige Ziele ## Langfristige Ziele
- minimale Angriffsfläche - minimale Angriffsfläche
- vollständig dokumentierte Infrastruktur - vollständig dokumentierte Infrastruktur
- automatisierte Sicherheitsüberwachung - automatisierte Sicherheitsüberwachung
- reproduzierbare Konfiguration - reproduzierbare Konfiguration
- wartungsarme Architektur - wartungsarme Architektur

32
VPS/services.md
View file

@ -3,69 +3,69 @@
## Reverse Proxy ## Reverse Proxy
| Dienst | Beschreibung | | Dienst | Beschreibung |
|—|—| |---|---|
| Nginx Proxy Manager | Öffentlicher Reverse Proxy | | Nginx Proxy Manager | Öffentlicher Reverse Proxy |
| authentik | Zentrale Authentifizierung | | authentik | Zentrale Authentifizierung |
— ---
## Cloud / Produktivität ## Cloud / Produktivität
| Dienst | Beschreibung | | Dienst | Beschreibung |
|—|—| |---|---|
| Nextcloud | Cloud Plattform | | Nextcloud | Cloud Plattform |
| Collabora | Office Integration | | Collabora | Office Integration |
| Vaultwarden | Passwortmanager | | Vaultwarden | Passwortmanager |
— ---
## Infrastruktur ## Infrastruktur
| Dienst | Beschreibung | | Dienst | Beschreibung |
|—|—| |---|---|
| WireGuard | VPN | | WireGuard | VPN |
| CrowdSec | Angriffsschutz | | CrowdSec | Angriffsschutz |
| AdGuard Home | DNS | | AdGuard Home | DNS |
| Forgejo | Git Hosting | | Forgejo | Git Hosting |
— ---
## Monitoring ## Monitoring
| Dienst | Beschreibung | | Dienst | Beschreibung |
|—|—| |---|---|
| Netdata | Live Monitoring | | Netdata | Live Monitoring |
| Uptime Kuma | Uptime Monitoring | | Uptime Kuma | Uptime Monitoring |
— ---
## Kommunikation ## Kommunikation
| Dienst | Beschreibung | | Dienst | Beschreibung |
|—|—| |---|---|
| TeamSpeak | Voice Server | | TeamSpeak | Voice Server |
— ---
# SSO Status ## SSO Status
| Dienst | SSO | | Dienst | SSO |
|—|—| |---|---|
| Nextcloud | aktiv | | Nextcloud | aktiv |
| Vaultwarden | aktiv | | Vaultwarden | aktiv |
| Immich | aktiv | | Immich | aktiv |
| Forgejo | geplant | | Forgejo | geplant |
| Matrix | geplant | | Matrix | geplant |
— ---
# Bekannte Abhängigkeiten ## Bekannte Abhängigkeiten
| Dienst | Abhängigkeit | | Dienst | Abhängigkeit |
|—|—| |---|---|
| Nextcloud | MariaDB | | Nextcloud | MariaDB |
| Nextcloud | Redis | | Nextcloud | Redis |
| authentik | PostgreSQL | | authentik | PostgreSQL |
| authentik | Redis | | authentik | Redis |
| Collabora | Nextcloud | | Collabora | Nextcloud |
| NPM | proxy Netzwerk | | NPM | proxy Netzwerk |

40
VPS/wireguard.md
View file

@ -3,30 +3,33 @@
## Allgemein ## Allgemein
Die VPS dient als zentraler WireGuard-Hub zwischen: Die VPS dient als zentraler WireGuard-Hub zwischen:
- VPS - VPS
- Heimnetz - Heimnetz
- mobilen Clients - mobilen Clients
- zusätzlichen Geräten - zusätzlichen Geräten
Interface: Interface:
- wg0 - wg0
Listening Port: Listening Port:
- 51820/UDP - 51820/UDP
— ---
# VPN Netzwerk ## VPN Netzwerk
## WireGuard Subnetz ### WireGuard Subnetz
```text ```text
10.100.0.0/24 10.100.0.0/24
``` ```
— ---
# Heimnetz Routing ## Heimnetz Routing
Folgende Route wird über den Heimnetz-Peer bereitgestellt: Folgende Route wird über den Heimnetz-Peer bereitgestellt:
@ -36,12 +39,12 @@ Folgende Route wird über den Heimnetz-Peer bereitgestellt:
Dadurch kann die VPS interne Dienste zuhause sicher erreichen. Dadurch kann die VPS interne Dienste zuhause sicher erreichen.
— ---
# Aktuelle Peers ## Aktuelle Peers
| Peer | Allowed IPs | Beschreibung | | Peer | Allowed IPs | Beschreibung |
|—|—|—| |---|---|---|
| 10.100.0.4 | 10.100.0.4/32 | Client | | 10.100.0.4 | 10.100.0.4/32 | Client |
| 10.100.0.6 | 10.100.0.6/32 | Client | | 10.100.0.6 | 10.100.0.6/32 | Client |
| 10.100.0.55 | 10.100.0.55/32 | Client | | 10.100.0.55 | 10.100.0.55/32 | Client |
@ -51,24 +54,25 @@ Dadurch kann die VPS interne Dienste zuhause sicher erreichen.
| 10.100.0.10 | 10.100.0.10/32 + 192.168.0.0/24 | Heimnetz Gateway | | 10.100.0.10 | 10.100.0.10/32 + 192.168.0.0/24 | Heimnetz Gateway |
| 10.100.0.7 | 10.100.0.7/32 | Client | | 10.100.0.7 | 10.100.0.7/32 | Client |
— ---
# Beobachtungen ## Beobachtungen
## Positiv ### Positiv
- Saubere /32 Zuordnung pro Client - Saubere /32 Zuordnung pro Client
- Heimnetz sauber über separaten Peer geroutet - Heimnetz sauber über separaten Peer geroutet
- Keine offensichtlichen Routing-Konflikte - Keine offensichtlichen Routing-Konflikte
- Keepalive sauber konfiguriert - Keepalive sauber konfiguriert
— ---
# Verbesserungspotenzial ## Verbesserungspotenzial
## Dokumentation ergänzen ### Dokumentation ergänzen
Aktuell fehlen: Aktuell fehlen:
- Gerätenamen - Gerätenamen
- Zuordnung der Peers - Zuordnung der Peers
- Zweck einzelner Clients - Zweck einzelner Clients
@ -76,17 +80,17 @@ Aktuell fehlen:
Empfehlung: Empfehlung:
| VPN IP | Gerät | Zweck | | VPN IP | Gerät | Zweck |
|—|—|—| |---|---|---|
| 10.100.0.x | MacBook | Mobiler Zugriff | | 10.100.0.x | MacBook | Mobiler Zugriff |
| 10.100.0.x | Unraid | Heimnetz Gateway | | 10.100.0.x | Unraid | Heimnetz Gateway |
| ... | ... | ... | | ... | ... | ... |
— ---
# Langfristige Ziele ## Langfristige Ziele
- Vollständige Peer-Dokumentation - Vollständige Peer-Dokumentation
- Backup der WireGuard-Konfiguration - Backup der WireGuard-Konfiguration
- Monitoring des VPN-Tunnels - Monitoring des VPN-Tunnels
- Alerting bei Tunnel-Ausfall - Alerting bei Tunnel-Ausfall
- Optional QR-Code Archivierung - Optional QR-Code Archivierung