Zajištění domácí laboratoře pomocí VLAN: kompletní průvodce domácím zabezpečením

Informatec Digital » Zdroje » Zajištění domácí laboratoře pomocí VLAN: kompletní průvodce domácím zabezpečením

Pokud máte domácí laboratoř s hrstkou zařízení (NAS, miniPC, Raspberry Pi, kamery, zařízení pro chytrou domácnost atd.) a vše je připojeno ke stejné síti, je váš domov, digitálně řečeno, otevřeným polem pro laterální pohyb a hloupé útoky . Nemusíte být velká společnost, aby někdo skenoval vaše porty, prolomil slabé heslo nebo nechal zařízení IoT vystavené bezpečnostní zranitelnosti.

Cílem tohoto článku je provést vás krok za krokem nastavením segmentované domácí sítě s VLAN, firewallem a robustními postupy zabezpečení. To zajistí, že vaše domácí služby budou fungovat stejně dobře, ale s výrazně větší kontrolou, menším počtem neočekávaných problémů a mnohem menší plochou pro útok . Zkombinujeme to nejlepší z několika přístupů: pfSense/OPNsense, UniFi, Zero Trust (Tailscale, Cloudflare Tunnel) , Proxmox, odlehčený Kubernetes, Pi-hole, Home Assistant a další.

Proč vaše domácí laboratoř potřebuje segmentaci a posílení hned teď

V klasické „ploché“ síti, jako je 192.168.1.0/24, se vším nacpaným do ní, může jakékoli zařízení vidět a v mnoha případech s každým dalším zařízením komunikovat. Pokud je napadena žárovka, televize nebo „chytrá“ zásuvka, útočník se může pokusit dostat k vašemu NAS , vašemu osobnímu počítači, hypervizorovi Proxmox nebo serveru, kde ukládáte zálohy . Není potřeba sofistikovaný útok; stačí zranitelnost firmwaru, kterou nikdo neopraví.

Navíc míchání všeho v téže síti způsobuje, že se provoz při vyhledávání dat (vysílání, multicast, mDNS atd.) stává nekontrolovaným. To generuje šum, komplikuje řešení problémů a navíc odhaluje příliš mnoho informací o tom, co máte, jaké porty používáte a jaké služby běží ve vaší místní síti LAN . Segmentace VLAN řeší právě tento problém: oddělením zařízení podle funkce a úrovně důvěryhodnosti.

Představte si svou domácí laboratoř jako malé datové centrum: máte kritické služby (DNS, VPN, úložiště), veřejné služby (reverzní proxy, aplikace vystavené tunelům), nespolehlivá zařízení (IoT, hosté, dětské konzole) a své osobní vybavení. Každá skupina by měla být ve svém vlastním „pruhu“ a měla by být schopna komunikovat s ostatními pouze prostřednictvím velmi specifických a dobře odůvodněných pravidel firewallu.

VLAN v domácím cvičení: koncepty, které budete skutečně používat

VLAN není žádná magie: je to jednoduše samostatná doména pro vysílání na vrstvě 2. Často se předpokládá, že jedna VLAN se rovná jedné IP podsíti, ale ve skutečnosti se jedná o odlišné koncepty. VLAN definuje, jak jsou ethernetové rámce odděleny; podsíť definuje, jak je provoz směrován na vrstvě 3. Důležité pro vás je, že zařízení v jedné VLAN nevidí vysílání z jiné a mohou spolu komunikovat pouze prostřednictvím routeru nebo firewallu.

Oddělení se dosahuje pomocí tagů 802.1Q (VID, od 1 do 4095), které přepínače vkládají do paketů. Port může fungovat dvěma základními způsoby: jako přístupový port , kde provoz vstupuje a vystupuje neoznačený a veškerý patří do jedné VLAN, nebo jako trunk port , kde jeden kabel přenáší několik označených VLAN současně do routeru, jiného přepínače, přístupového bodu nebo hypervizoru.

Známá identifikace PVID neboli Native VLAN definuje, která VLAN je přiřazena neoznačenému provozu vstupujícímu do portu. Každý výrobce ji ve svém webovém rozhraní zobrazuje jinak (PVID, Access VLAN, Native VLAN atd.), ale myšlenka je stejná: přepínač rozhodne, do které VLAN neoznačený rámec patří, a když je odeslán přes přístupový port, obvykle odstraní značku, takže koncové zařízení vidí „normální Ethernet“ a nemusí o VLAN nic vědět.

V typickém nastavení domácí laboratoře budete mít alespoň jeden trunk link mezi firewallem/routerem (pfSense, OPNsense, UniFi, OpenWrt atd.) a hlavním přepínačem a odtud přístup k portům pro počítače, televizory, konzole, kamery atd. Navíc, pokud používáte Proxmox nebo virtualizační hostitele, je velmi běžné konfigurovat trunk link k hypervizoru a nechat virtuální počítače nebo kontejnery označovat svůj provoz přímo pomocí mostů jako vmbr0 s VLAN tagy.

Praktický návrh VLAN pro moderní domácí laboratoř

Než horečně otevřete panel přepínačů, vezměte si papír (nebo textový editor) a definujte, které sítě chcete a za jakým účelem. Rozumný nástin, který zahrnuje to, co vidíte v mnoha reálných konfiguracích, by mohl vypadat nějak takto, s úpravou rozsahů IP adres a čísel VLAN podle vašich představ:

• „Výchozí“ nebo domácí síťZde se nacházejí osobní zařízení rodiny (mobilní telefony, notebooky, stolní počítače). Je to „důvěryhodná“ síť a obvykle má poněkud uvolněnější přístupová práva k internetu.
• Hostující VLANUrčeno pro návštěvníky. Pouze internet, bez přístupu do ostatních privátních oblastí, s izolací mezi klienty, pokud to přístupový bod umožňuje.
• IoT VLANPro žárovky, zásuvky, reproduktory, chytré televizory, termostaty, robotické vysavače atd. Velmi omezený provoz dovnitř a řízený provoz ven.
• VLAN Homelab / SlužbyZde se nacházejí vaše virtuální počítače, kontejnery, NAS, Home Assistant, databáze, reverzní proxy atd. Obvykle komunikuje s IoT a Default, ale velmi kontrolovaným způsobem.
• VLAN „Bezpečná“ nebo VPN: segment, ve kterém veškerý provoz do internetu prochází permanentním VPN tunelem (např. Proton VPN nebo podobným), aniž by zařízení muselo instalovat klienta.
• DMZ: volitelné, ale důrazně doporučené pro potenciálně exponované služby (reverzní proxy, webové servery, VPN atd.), přičemž se s nimi zachází, jako by byly „polodůvěryhodné“ a bez přímého mostu do zbytku interních sítí.

Jasný způsob, jak uspořádat soukromé adresy, je použít něco jako 10.10.X.0/24 pro každou VLAN a vést tabulku s rozsahy, názvy a účely . Například: 10.10.10.0/24 Výchozí, 10.10.20.0/24 IoT, 10.10.30.0/24 Hosté, 10.10.40.0/24 Domácí lab, 10.10.50.0/24 Zabezpečené. Díky tomu se vám v průběhu času bude mnohem snadněji spravovat pravidla firewallu a rezervace DHCP.

Pokud používáte UniFi nebo podobná řešení, je běžné namapovat každou VLAN na síť na řadiči a následně propojit každou síť s konkrétním SSID. Tímto způsobem, když vyberete Wi-Fi síť „Domácí“, „IoT“, „Host“ nebo „VPN“, zařízení se automaticky připojí ke správné VLAN a zdědí firewall a zásady přístupu, které jste pro daný segment definovali.

Výběr hardwaru a softwaru pro správu VLAN a směrování

Co se týče přepínače, pokud podporuje standard 802.1Q a umožňuje konfiguraci označování VLAN, trunků a PVID, můžete začít. Velký rozdíl spočívá v tom, zda zařízení provádí pouze přepínání na vrstvě 2, nebo zda zvládá i směrování na vrstvě 3 rychlostí linky . Mnoho „levnějších“ přepínačů dokáže označovat a přeposílat rámce vysokou rychlostí, ale když je požádáte o směrování provozu mezi VLAN, přesměrují jej na CPU a propustnost klesne na několik stovek Mbps.

Pokud chcete věci zjednodušit, nejběžnějším přístupem v domácím prostředí je ponechat směrování mezi VLAN na hlavním firewallu/routeru (pfSense, OPNsense, UniFi Security Gateway, Dream Machine, OpenWrt na slušném routeru atd.) a používat přepínače pouze pro vrstvu 2. Pokud je váš interní provoz velmi vysoký (kopie mezi úložnými poli, virtualizačními clustery, velkými zálohami), může se vyplatit přepínač vrstvy 3 s hardwarovým odlehčením směrování , ale pro většinu domácností to není nezbytné.

Pokud jde o software, existují tři hlavní cesty:

• OpenWrt en skromné ​​routery Pro začátek má schopnost označovat porty, vytvářet více sítí a aplikovat základní pravidla firewallu.
• pfSense nebo OPNsense na počítači x86 (bare metal nebo VM), pokud chcete pokročilá pravidla, GeoIP, IPS/IDS, výkonné VPN, vysokou dostupnost s CARP atd.
• Unifi (Dream Machine, Dream Router atd.), pokud dáváte přednost integrovanému prostředí s přístupovými body a přepínači spravovanými ze stejného řadiče, s poněkud pozvolnější křivkou učení.

Pro hypervisor Proxmox skutečně září v komplexních sítích: jednoduše vytvořte mosty spojené s fyzickými síťovými kartami (například vmbr0 přes enp1s0), označte tento port přepínače jako trunk port a nechte každý virtuální počítač nebo kontejner označit jej potřebným VLAN ID. To umožňuje, aby jeden server byl současně součástí více VLAN a fungoval například jako hostitel pro služby domácího laboratoře přístupné z výchozího nastavení a IoT, aniž by bylo nutné složitě nastavovat přepínače.

Od teorie k praxi: vytváření a testování VLAN

Jakmile je návrh rozhodnut, definujete každou VLAN na přepínači s jejím VID a popisným názvem. Poté označíte porty, které se připojují k routeru/firewallu, dalším přepínačům a Proxmoxu, jako trunkové porty, což umožní přenos VLAN, které chcete. Na těchto portech je nejlepší se vyhnout použití různých nativních VLAN na každém konci, abyste předešli únikům neoznačeného provozu nebo neobvyklému chování.

Porty, ke kterým budete připojovat „hloupá“ zařízení (TV, herní konzole, počítač bez podpory VLAN, kamery), by měly být označeny jako přístupové porty: jedna neoznačená VLAN s odpovídajícím PVID. Tímto způsobem bude dané zařízení vždy ve vámi zvolené síti, což zabrání jeho náhodnému připojení k jiné síti v důsledku konfigurační chyby.

Na firewallu/routeru vytvoříte logické rozhraní pro každý tag, který prochází síťovou kartou připojenou k přepínači. Například pfSense a OPNsense umožňují vytvářet rozhraní VLAN na fyzické síťové kartě a každému rozhraní přiřadíte IP adresu, rozsah DHCP, DNS server, popis a především vlastní nezávislá pravidla firewallu . Tato pravidla pro každé rozhraní jsou klíčová pro izolaci.

Jakmile to máte nakonfigurované, je čas na testování: zapojte notebook do přístupového portu IoT, podívejte se, jakou IP adresu přijímá, zkontrolujte, jakou bránu a DNS vidí, a ověřte, že nemůže pingnout podsítě Default nebo Homelab, ale že rozpoznává veřejné domény a přistupuje k internetu (pokud to chcete). Podobná cvičení opakujte pro sítě Guests, Homelab a Secure, dokud si nebudete jisti, že se každá síť chová podle očekávání.

Firewall a pravidla pro blokování bočního pohybu

Nejefektivnějším základním přístupem je ve výchozím nastavení zakázat a povolit pouze to, co je nezbytné . To znamená, že v každé VLAN vytvoříte počáteční pravidlo, které povoluje „navázaný/související“ provoz (aby se povolily odpovědi na připojení iniciovaná zevnitř) a poté zakáže provoz do jiných privátních sítí (typy RFC1918) s výjimkou odůvodněných výjimek.

Pohodlnou technikou je vytvořit skupinu IP adres obsahující všechny vaše soukromé bloky (například 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12) a odkazovat na ni ve vašich pravidlech. Tímto způsobem pravidlo, které blokuje „IoT → PrivateNetworks“, okamžitě zabrání žárovkám a dalším zařízením v komunikaci s vaším NAS nebo notebookem a ponechá pouze přístup k internetu a v případě potřeby i ke konkrétním službám domácí laboratoře.

Ve výchozí síti můžete povolit přístup „LAN kamkoli“ (internet + další VLAN), ale je vhodné i nadále omezovat přístup k DMZ nebo určitým citlivým serverům. V hostovaných sítích je však běžné blokovat veškerý přístup k privátním rozsahům a povolit pouze přístup k internetu. Pokud přístupový bod podporuje izolaci klientů, povolte ji, aby se mobilní zařízení vašich návštěvníků navzájem ani neviděla.

Pro vztah mezi Homelabem a IoT je typickým vzorem povolení jednoho hostitele (např. kontejneru nebo virtuálnímu počítači Home Assistant) k přístupu k určitým zařízením IoT na specifických portech (port API, řídicí port), ale ne naopak. To se implementuje pomocí pravidla povolení, jako je „HomelabHost → IP_IoT:port“, po kterém následuje obecné blokování Homelabu IoT a nastavení Default s výjimkou zavedeného provozu.

Aby multicast, mDNS a podobné služby nebyly noční můrou

Jakmile začnete oddělovat sítě, uvědomíte si, že věci jako AirPlay, Chromecast nebo některé tiskárny „mizí“. Není to chyba: mnoho mechanismů vyhledávání používá vysílání nebo multicast a ze své podstaty nepřeskakují mezi VLAN. Aby fungovaly, musíte být selektivní, pokud jde o to, jaký provoz vyhledávání povolíte.

Obvyklá praxe je povolit IGMP Snooping na přepínačích, aby se multicast omezil pouze na porty, kde jsou klienti s relevantními informacemi. Poté na routeru/kontroléru povolíte mDNS/Bonjour relay nebo ekvivalentní službu a explicitně určíte, mezi kterými VLANy chcete reklamy přeposílat (například mezi Default a IoT nebo mezi Default a Homelab).

V UniFi může být také nutné vytvořit pravidla LAN-IN, která povolují port a typ provozu pro mDNS, nebo upravit profily multicastu pro každé SSID. Nejlepší je postupovat opatrně: povolte přenos pouze mezi segmenty, které je skutečně třeba propojit, a ověřit, zda mezi sítěmi, které jste chtěli izolovat, neunikají žádné zbytečné informace.

Některá zařízení, jako například Sonos, si s VLAN špatně poradí a mohou způsobit spoustu problémů i s technicky konfigurovanými relé. Mnoho lidí je nakonec nechá na výchozí síti (nebo na vyhrazené multimediální VLAN) a smíří se s tím, že tato část nebude tak segmentovaná, výměnou za to, že vše bude fungovat, aniž by se museli potýkat s firmwarem od výrobce.

Bezpečná správa: MFA, SSH s klíči a Zero Trust

Váš firewall, hostitelské počítače Proxmox, zařízení NAS a služby správy jsou klíčem k vašemu království. Ponechání uživatele root s jednoduchým heslem přístupným odkudkoli není přijatelné. Rozumným přístupem je vytvořit vyhrazený účet správce pro webový panel firewallu, zakázat přímý přístup root a vždy povolit dvoufaktorové ověřování (například TOTP v OPNsense).

Dále je velmi dobrý nápad omezit přístup k těmto konzolím pro správu pouze na konkrétní IP adresu nebo podsíť v rámci VLAN důvěryhodných zařízení (například váš hlavní stolní počítač nebo notebook). Tímto způsobem, pokud se někomu podaří proniknout do jiné sítě nebo ohrozit zařízení IoT, nebude mít snadný přístup ani k panelu firewallu, ani k rozhraní pro správu hypervizoru.

Pro přístup k serverům a virtuálním počítačům přes SSH je nejlepší zcela zakázat ověřování heslem a používat pouze veřejné klíče . Můžete jít ještě dál a implementovat druhý faktor s řešeními, jako je Duo: i když někdo ukradne váš soukromý klíč, pokus o přihlášení vygeneruje schválení na vašem mobilním zařízení a pokud jej neautorizujete, připojení je odmítnuto.

Pro vzdálený přístup je sdělení jasné: přestaňte otevírat přímé porty (80, 443, 22 atd.) na routeru. Místo toho používejte řešení Zero Trust, jako je Tailscale (mesh VPN poháněná WireGuardem), Cloudflare Tunnel nebo Twingate. Tyto nástroje vám umožňují zpřístupnit interní služby ověřeným a šifrovaným způsobem, aniž byste museli zveřejňovat svou IP adresu nebo porty na internetu . Vaše webové aplikace, dashboardy a SSH připojení budou přístupné pouze po předchozím ověření a s robustními přístupovými zásadami.

Zabezpečení kontejnerů, systémů a služeb

Kontejnery poskytují falešný pocit bezpečí: jsou izolované, to ano, ale pokud vše spouštíte v privilegovaném režimu, sdílíte zápisové svazky všude a používáte neudržované obrazy, skončíte stejně zranitelní jako u služeb nainstalovaných přímo na hostiteli. Klíčem je používat oficiální nebo vysoce renomované obrazy , pravidelně je aktualizovat a vyhýbat se příznaku „privilegovaný“ s výjimkou velmi specifických případů.

Kdykoli je to možné, připojujte svazky pouze pro čtení pro statická data, oddělte konfigurace dat a omezte možnosti kontejnerů na nezbytné minimum. Zkontrolujte oprávnění socketů Dockeru a nezpřístupňovejte citlivé panely, jako je Portainer, přímo internetu; umístěte je za zabezpečenou reverzní proxy s dodatečným ověřováním nebo je chraňte pomocí tunelu Tailscale/Cloudflare.

Na základních systémech (Raspberry Pi, miniPC, virtuální počítače s Linuxem) platí základní hygiena: změna výchozích hesel, povolení pravidelných aktualizací, zakázání nepoužívaných služeb, konfigurace UFW nebo ekvivalentního firewallu s výchozí politikou odepření a povolení přístupu pouze v nezbytných případech . U služeb, které jsou často terčem útoků, jako je SSH, může Fail2Ban nebo moderní nástroje jako CrowdSec pomoci blokovat pokusy o hrubou sílu.

Pokud jde o šifrovanou komunikaci, obsluha čehokoli přes čistý HTTP již není praktická, a to ani v rámci lokální sítě LAN. Reverzní proxy jako Caddy, Nginx Proxy Manager nebo Traefik usnadňují používání TLS certifikátů (Let's Encrypt atd.) a umožňují přidání další vrstvy ověřování, omezení rychlosti, bezpečnostních hlaviček a dalších prvků, a to jak pro interní provoz, tak pro provoz procházející tunely Zero Trust.

Blokování „blacklistů“ DNS, Pi-hole a DoH

Klíčovým aspektem ochrany soukromí a kontroly sítě je správa vlastního DNS. Redundantně nasazený Pi-hole (nebo AdGuard Home) umožňuje blokovat reklamy, telemetrii a podezřelé domény na úrovni sítě, aniž byste museli konfigurovat rozšíření prohlížeče na každém zařízení. Musíte však nastavit robustní infrastrukturu, kterou je obtížné deaktivovat a obejít.

Pokud jde o posílení DNS, myšlenka je taková, že všechna zařízení budou dotazovat výhradně vaše servery Pi-hole a nebudou mít volný přístup k adresám 1.1.1.1, 8.8.8.8 ani k veřejným adresám DNS přes HTTPS. Pro ty, kteří trvají na ignorování DHCP DNS, můžete vytvořit fondy IP adres obsahující adresy hlavních veřejných poskytovatelů DNS a DoH (Cloudflare, Google, Quad9 atd.) a napsat pravidla firewallu, která povolí požadavky DNS pouze tehdy, pokud pocházejí z vašich serverů Pi-hole, a blokují je pro všechny ostatní.

V praxi se obvykle definují skupinové profily jako „Pi-hole Servers“ a porty „DNS“ a „TLS-DoH“. Poté se přidají odchozí pravidla, která umožňují Pi-hole komunikovat s internetem na těchto portech, a bezprostředně pod těmito pravidly se zabrání jakémukoli pokusu o použití stejných portů z jiných IP adres v místní síti LAN. Tímto způsobem každý, kdo se pokusí použít své vlastní DNS servery, ztratí rozlišení a „naučí se“ respektovat vaši konfiguraci.

Aby byl Pi-hole odolný, je vhodné hostovat instance na různých zařízeních (například jeden kontejner na NAS, druhý na Proxmoxu a další na Raspberry Pi s SSD) a nakonfigurovat DHCP tak, aby klientům přiřazoval více IP adres DNS. Tímto způsobem, pokud jeden uzel selže, neztratíte přístup k internetu a služba bude i nadále fungovat, zatímco budete problém řešit.

Nulová důvěra a vzdálený přístup s Cloudflare Tunnel a Tailscale

Místo otevírání přímých mostů do vašeho domova si můžete pohrát s velmi silnou kombinací: Cloudflare Zero Trust pro zpřístupnění vybraných webových služeb (s identitami, politikami a auditem) a Tailscale pro přístup k interním zdrojům přes mesh VPN, jako byste byli v místní síti LAN, ale bez doteku NAT routeru.

Cloudflare Tunnel (s klientem cloudflare spuštěným jako kontejner nebo služba) vytváří odchozí tunely z vaší sítě do infrastruktury Cloudflare. Odtud k tomuto tunelu přiřadíte subdoménu a směrujete HTTPS provoz k jedné nebo více službám ve vaší domácí laboratoři. Nikdo nevidí vaši domácí IP adresu ani porty; vidí pouze doménu chráněnou vrstvami Cloudflare, kde můžete vynutit přihlášení, 2FA, geofiltry a další funkce.

Pro tradiční VPN přístup k celé síti nebo jejím konkrétním segmentům je Tailscale fantastický. Nainstaluje se pomocí jednoduchého skriptu, zaregistruje každé zařízení ve vaší „tailnetu“ a vytvoří privátní síť založenou na WireGuardu s ACL, které určují, kteří uživatelé mají přístup ke které IP adrese a portu. Tímto způsobem můžete omezit přístup například pouze na vaše osobní účty a povolit jim přístup k adrese 192.168.1.10:22 (hypervizor) nebo 10.10.40.100:3000 (váš nástroj CI).

Pokud chcete jít ještě o krok dál, můžete popsat celou konfiguraci Zero Trust v Terraformu pomocí Cloudflare. To uchovává vaše zásady jako kód, umožňuje vám provádět změny reprodukovatelně a umožňuje správu verzí v Gitu, stejně jako u jakéhokoli jiného infrastrukturního projektu. Je to velmi profesionální způsob, jak spravovat domácí laboratoř, i když jen leží ve skříni na chodbě.

Kabeláž, zpoždění a typické problémy s výkonem

Logické posílení vám moc nepomůže, pokud je vaše fyzická síť vrak. Opětovné použití starých konektorů RJ11 a starých kabelů může být dočasným řešením, ale při velkém zatížení se běžně setkáváme s výpadky, chybami CRC nebo poklesy rychlosti během síťového vyjednávání. Kdykoli máte příležitost (stavební práce, rekonstrukce, stěhování nábytku), zvažte použití kvalitní kabeláže CAT6 nebo CAT7 a použití patch panelů s kvalitními keystone profily.

Při propojování místností nebo rozvaděčů s více přepínači je páteřní linka často úzkým hrdlem. Pokud si všimnete, že provoz mezi oblastmi je přesycený, zvažte seskupení několika fyzických linek do agregace linek (LAG), pokud ji přepínače podporují. Tím se zvýší dostupná šířka pásma a zajistí se větší odolnost vůči selhání kabelu.

Fyzická dokumentace toho, který port kam patří, které ID VLAN se používá v každém segmentu a jak jsou konfigurovány nativní sítě VLAN, vám v budoucnu ušetří hodiny. Označujte kabely, anotujte porty a synchronizujte je s logickým diagramem VLAN. Velká část síťových „záhad“ se nakonec ukáže jako chybně označený port nebo nesprávné ID VLAN.

Když se něco pokazí (šílené latence, vypršení TTL, opakované trasy), použijte základní nástroje: traceroute z různých bodů (klient, router, modem), čítače chyb na rozhraních, zachycení paketů na firewallu a pokud to váš switch umožňuje, zrcadlení portů, abyste viděli, které štítky a MAC adresy skutečně cirkulují problematickým odkazem, a postupujte podle našeho návodu k řešení problémů s připojením.

Homelab jako laboratoř: Proxmox, lehký Kubernetes a klíčové služby

Jakmile máte síťový a bezpečnostní základ, domácí laboratoř se stává brutálním testovacím prostředím pro procvičování věcí velmi blízkých produkčním prostředím: clustery s Proxmoxem, lehké Kubernetes jako k3s, NFS z NAS jako sdílené úložiště, zálohy, vysoká dostupnost atd.

Proxmox umožňuje orchestrovat virtuální počítače a kontejnery pomocí jednoduchého webového rozhraní, nativního clusterování, snapshotů a vestavěných záloh. Můžete připojit NFS z NAS a používat ho jako sdílené úložiště pro virtuální disky, zálohy nebo ISO soubory. I když latence nebude tak rychlá jako u lokálního SSD, získáte odolnost NAS a snadnou správu záloh, migrací a rychlých obnov.

Na Proxmoxu si mnoho lidí nastavuje malý cluster Kubernetes se třemi virtuálními počítači Ubuntu LTS pro řídicí rovinu a přidává komponenty jako kube-vip (virtuální IP adresa s vysokou dostupností), Longhorn (distribuované úložiště a automatické zálohování svazků), ingress controllery jako Traefik nebo Nginx a nástroje pro sledování (Prometheus, Grafana, Loki). To umožňuje nasazovat služby homelab na Kubernetes pomocí Helmu nebo manifestů a správu verzí pomocí Gitu.

Odtud přicházejí na řadu součástky, které dělají domácí laboratoř skutečně „cool“: Pi-hole pro DNS a blokování reklam; Home Assistant pro integraci domácí automatizace, kamer a energie; Homebridge a Scrypted pro integraci nepodporovaných zařízení a kamer do HomeKitu; Plex nebo podobné pro multimédia; a to vše visí na vašich VLAN a dobře zabezpečených tunelech Zero Trust.

Výsledkem kombinace segmentace, přísného firewallu, řízeného DNS, zabezpečeného vzdáleného přístupu, monitorování a záloh je domácí prostředí, které se velmi podobá moderní podnikové infrastruktuře, ale v domácím měřítku : s menším šumem, větší viditelností, menším počtem překvapení, když se něco pokazí, a především s klidem, že selhání levného WiFi zařízení by se nemělo stát velkým dramatem.