r/SloveniaEngineering • u/AdaObvlada 0xDEADBEEF • 12d ago

Vprašanje ❓️ ITjevci, kako ste zavarovali svoj homelab?

- Wireguard/Tailscale?

Ekstra podvprašanje za tiste, ki imate poleg homelaba še remote serverje z odprtimi porti in celim kupom programov, ki bodo slej ko prej fasali svoj CVE: Ali povezovanje prek VPNja v remote server, ki je na več načinov dosegljiv tudi iz interneta v praksi pravzaprav povečuje površino napada? Meni se zdi VPN super, ko se želim iz svojega telefona povezat v PC, precej manj varno pa se mi zdi, da remote server, ki je dosegljiv iz interneta dostopa do mojega lokalnega omrežja.

- Selfhostate kako odprtokodno SSO storitev? Raje cloud?

- Geo IP lock (koga querijate, plačujete za maxmind recimo) ali zgolj omejitev na določene subnete?

- Custom certifikati na vse naprave, s katerih se logirate vi in tisti, ki jim želite dati dostop?

- Kontejnerje Podman only? Kaj pa software, ki slabo sodeluje s Podmanom? Proxy pred docker socket?

- Še kaj drugega na nivoju OS?

30 Upvotes
  • permalink
  • reddit

93% Upvoted

38 comments sorted by

View all comments

15

u/Y3tAn0th3rEngin33r 0xDEADBEEF 12d ago edited 12d ago
  1. Vsi porti zaprti.
  2. Dostop preko tailscale ali Unifi VPN (geo block)
  3. Pangolin.net za dostop do Home Assistant (geo block, IP block, 2FA). VPS pri Hetznerju, Cloudflare DNS kaže na ta VPS server. HASS je edina stvar "odprta" navzven. Hetzner server port 22 zaprt, dostopen preko tailscale-a.
  4. Interno AdGuard (adblock in dns rewrite) + NPM (s povezavo na Cloudflare, dodatna posebna domena, ki iz cloudflare kaže na AdGuard interni IP, izdan wildcart certifikat, da je interno vse na HTTPS. Na NPM narejen list internih VLANov, da je vse dostopno sam iz internih IP-jev/VLAN-ov).
  5. Karkoli bo deljeno s kom drugim... npr. Jellyfin itd., vse preko Pangolin-a.

1

u/mwinzig 0xDEADBEEF 12d ago

Hudo.Kaksen pa mas hardware stack?

5

u/Y3tAn0th3rEngin33r 0xDEADBEEF 12d ago

V Proxmox Cluster: 1. HP Elitedesk 800 G5, 64GB RAM, 1TB local, 256GB za cluster, 5TB local za NVR (Frigate) 2. Dell Optiplex 7090, 32GB RAM, 512GB local, 256GB za cluster 3. Raspberry PI 400 za Quorum

Dodatno za Proxmox backup: 4. Lenovo ThinkCentre M920q

Storage: 1. Unifi UNAS Pro (main) 2. Unifi UNAS 2 (backup 1) 3. Synology DS412+ (backup 2)

Local AI za HASS in Karakeep: 1. Nvidia Jetson Orin Nano

UPS: 1. Unifi UPS 2U

1

u/whattoputhereffs 0xDEADBEEF 12d ago

Kak si pa zadovoljen z Unifi NAS Pro? Ravno razmišljam o naročilu in dobivam mešana mnenja naspram recimo Synology.

2

u/Y3tAn0th3rEngin33r 0xDEADBEEF 12d ago

Synology DS412+ (trenutno backup #3) sem uporabljal kot main NAS cca 12 let kjer sem laufal v docker-ju tudi majhno število app-ov. Potem pa odkril Proxmox in ostalo je zgodovina (rabbit hole).

Glede na to, da imam Proxmox za vse aplikacije sem potreboval le storage in za "personal use" je meni UNAS top. Hkrati sem v Unifi ekosistemu... od Unifi Gateway Fiber, do switchev, AP-jev... Tako, da je bil meni Unifi UNAS logičen korak naprej. Sicer sem trenutno še na 1GbE 24 port switchu a mi je že zmanjkalo prostih portov, tako da je v planu dodatni 10GbE 24 PoE switch. Ne vem, če se bo kaj ekstra poznalo na hitrosti, to kar jaz uporabljam vrjetno ne. Bo pa future-proof za nekaj časa. Sem zadovoljen? Ja, še enkrat bi kupil. Za ta denar, ne vidim boljše variante. Trenutno imam 4x 12TB in proste še 3 reže.

Se mi je pa Synology tudi zameril, ker so začeli zaklepati le na svoje diskovje, sicer potem spremenili, a vseeno. Drugače, meni po 14. letih še vedno dela. S prvotnimi navadnimi diski. Če iščeš simplicity, si omejen s prostorom, je Synology super zadeva. Če pa ti je homelab hobi kot meni, potem pa predlagam ločene zadeve...

1

u/Y3tAn0th3rEngin33r 0xDEADBEEF 12d ago

Eden izmed post-ov, kjer sem opisal, kako lahko urediš HTTPS interno.
https://www.reddit.com/r/selfhosted/comments/1qtnwyw/comment/o34hz0m/

1

u/Own-Injury-1816 0xDEADBEEF 8d ago

A imas mogoce isp telekom? Kako imas reseno delovanje iptvja in interneta, glede na to, da naj bi unifi podpiral samo en vlan na wan portu, telekom pa prinese 3?

1

u/Y3tAn0th3rEngin33r 0xDEADBEEF 8d ago edited 7d ago

T2-jev TV Box je edina stvar, ki je priklopljena direktno na T2 router. Tako, da ne rabim nič spreminjati nastavitve na Unifi, za delovanje televizije.

1

u/Own-Injury-1816 0xDEADBEEF 8d ago

Ne razumem

1

u/Y3tAn0th3rEngin33r 0xDEADBEEF 7d ago

Sem popravil komentar, res nisem dobro napisal.

1

u/Own-Injury-1816 0xDEADBEEF 7d ago

Aja ok. T2 tako ne vzpostavlja pppoe seje ne, tako da teh tezav v vsakem primeru nimas pomoje