Absicherung eines Heimnetzwerks mit VLANs: Ein umfassender Leitfaden zur Heimsicherheit

Informatec Digital » Ressourcen » Absicherung eines Heimnetzwerks mit VLANs: Ein umfassender Leitfaden zur Heimsicherheit

Wenn Sie ein Heimnetzwerk mit einigen Geräten (NAS, Mini-PCs, Raspberry Pi, Kameras, Smart-Home-Geräte usw.) betreiben und alles im selben Netzwerk verbunden ist, bietet Ihr Zuhause – digital gesehen – ein offenes Feld für Angriffe und die Ausbreitung von Sicherheitslücken . Sie müssen kein Großunternehmen sein, um von Angreifern ausgenutzt zu werden, die Ihre Ports scannen, schwache Passwörter knacken oder IoT-Geräte Sicherheitslücken ausnutzen können.

Ziel dieses Artikels ist es, Sie Schritt für Schritt durch die Einrichtung eines segmentierten Heimnetzwerks mit VLANs, einer Firewall und robusten Sicherheitsmaßnahmen zu führen. So stellen Sie sicher, dass Ihre Heimnetzwerkdienste genauso gut funktionieren, aber mit deutlich mehr Kontrolle, weniger unerwarteten Problemen und einer wesentlich kleineren Angriffsfläche . Wir kombinieren die Vorteile verschiedener Ansätze: pfSense/OPNsense, UniFi, Zero Trust (Tailscale, Cloudflare Tunnel) , Proxmox, schlankes Kubernetes, Pi-hole, Home Assistant und mehr.

Warum Ihr Heimnetzwerk jetzt Segmentierung und Härtung benötigt

In einem klassischen, flachen Netzwerk wie 192.168.1.0/24, in dem alle Geräte dicht gedrängt sind, kann jedes Gerät jedes andere sehen und in vielen Fällen auch mit ihm kommunizieren. Wenn eine Glühbirne, ein Fernseher oder eine smarte Steckdose kompromittiert ist, kann ein Angreifer versuchen, auf Ihr NAS , Ihren PC, den Proxmox-Hypervisor oder den Server, auf dem Ihre Backups gespeichert sind , zuzugreifen . Dazu ist kein ausgeklügelter Angriff nötig; eine ungepatchte Firmware-Schwachstelle genügt.

Darüber hinaus führt die Vermischung aller Geräte im selben Netzwerk zu unkontrolliertem Discovery-Traffic (Broadcast, Multicast, mDNS usw.). Dies erzeugt Störungen, erschwert die Fehlersuche und gibt zudem zu viele Informationen über Ihre Geräte, die verwendeten Ports und die im LAN laufenden Dienste preis . VLAN-Segmentierung löst genau dieses Problem: Geräte werden nach Funktion und Vertrauensstufe getrennt.

Betrachten Sie Ihr Heimnetzwerk als kleines Rechenzentrum: Es verfügt über kritische Dienste (DNS, VPN, Speicher), öffentliche Dienste (Reverse-Proxy, über Tunnel erreichbare Anwendungen), unzuverlässige Geräte (IoT, Gäste, Kinderkonsolen) und Ihre persönliche Hardware. Jede Gruppe sollte in einem eigenen Netzwerkbereich arbeiten und nur über klar definierte und gut begründete Firewall-Regeln mit anderen kommunizieren können.

VLANs im Heimnetzwerk: Konzepte, die Sie tatsächlich nutzen werden

Ein VLAN ist keine Zauberei: Es ist lediglich eine separate Broadcast-Domäne auf Schicht 2. Oft wird angenommen, dass ein VLAN einem IP-Subnetz entspricht, tatsächlich handelt es sich aber um unterschiedliche Konzepte. Das VLAN definiert die Trennung von Ethernet-Frames; das Subnetz definiert das Routing des Datenverkehrs auf Schicht 3. Wichtig für Sie ist, dass Geräte in einem VLAN keine Broadcasts von anderen VLANs empfangen und nur über einen Router oder eine Firewall miteinander kommunizieren können.

Die Trennung erfolgt mithilfe von 802.1Q-Tags (VIDs, von 1 bis 4095), die Switches in die Pakete einfügen. Ein Port kann auf zwei Arten betrieben werden: als Access-Port , bei dem der Datenverkehr ungetaggt ein- und ausgeht und ausschließlich zu einem einzigen VLAN gehört, oder als Trunk-Port , bei dem ein einzelnes Kabel mehrere getaggte VLANs gleichzeitig zu einem Router, einem anderen Switch, einem Access Point oder einem Hypervisor überträgt.

Die bekannte PVID (VLAN-ID) oder Native VLAN definiert, welches VLAN ungetaggtem Datenverkehr an einem Port zugewiesen wird. Die Bezeichnungen in den Webinterfaces der Hersteller variieren (PVID, Access VLAN, Native VLAN usw.), das Prinzip ist jedoch dasselbe: Der Switch ermittelt, zu welchem ​​VLAN ein ungetaggter Frame gehört, und entfernt beim Weiterleiten über einen Access-Port üblicherweise das Tag, sodass das Endgerät „normales Ethernet“ sieht und keine VLAN-Informationen benötigt.

In einem typischen Heimnetzwerk besteht mindestens eine Trunk-Verbindung zwischen Firewall/Router (z. B. pfSense, OPNsense, UniFi, OpenWrt) und Hauptswitch. Von dort aus werden Zugriffspunkte für PCs, Fernseher, Konsolen, Kameras usw. hergestellt. Bei Verwendung von Proxmox oder einem Virtualisierungshost ist es zudem üblich, eine Trunk-Verbindung zum Hypervisor zu konfigurieren und die VMs oder Container ihren Datenverkehr direkt mithilfe von Bridges wie vmbr0 und VLAN-Tags kennzeichnen zu lassen.

Praktisches VLAN-Design für ein modernes Heimlabor

Bevor Sie hektisch das Switchpanel öffnen, nehmen Sie sich ein Blatt Papier (oder einen Texteditor) und legen Sie fest, welche Netzwerke Sie benötigen und zu welchem ​​Zweck. Ein sinnvoller Entwurf, der die gängigen Konfigurationen berücksichtigt, könnte etwa so aussehen, wobei Sie IP-Bereiche und VLAN-Nummern Ihren Bedürfnissen anpassen können:

• „Standard“ oder HeimnetzwerkHier befinden sich die persönlichen Geräte der Familie (Mobiltelefone, Laptops, Desktop-Computer). Es handelt sich um das „vertrauenswürdige“ Netzwerk, das in der Regel etwas weniger restriktive Internetzugangsberechtigungen besitzt.
• Gast-VLANsFür Besucher konzipiert. Nur Internetzugang, kein Zugriff auf die übrigen privaten Bereiche, mit Isolation zwischen Clients, sofern der Access Point dies zulässt.
• IoT VLANFür Glühbirnen, Steckdosen, Lautsprecher, Smart-TVs, Thermostate, Saugroboter usw. Sehr eingeschränkter Verkehr hinein und kontrollierter Verkehr hinaus.
• VLAN-Heimlabor / DiensteHier befinden sich Ihre VMs, Container, NAS-Systeme, Home Assistant, Datenbanken, Reverse-Proxys usw. Es kommuniziert üblicherweise mit IoT und Default, jedoch auf sehr kontrollierte Weise.
• VLAN „Sicher“ oder VPN: Segment, in dem der gesamte Internetverkehr über einen permanenten VPN-Tunnel (z. B. Proton VPN oder ähnliches) geleitet wird, ohne dass auf dem Gerät ein Client installiert werden muss.
• DMZ: optional, aber dringend empfohlen für potenziell exponierte Dienste (Reverse-Proxy, Webserver, VPNs usw.), indem diese so behandelt werden, als wären sie „semi-vertrauenswürdig“ und hätten keine direkte Verbindung zum Rest des internen Netzwerks.

Eine übersichtliche Methode zur Organisation privater Adressen ist die Verwendung eines Adressbereichs wie 10.10.X.0/24 für jedes VLAN. Führen Sie dazu eine Tabelle mit den Bereichen, Namen und Zwecken . Zum Beispiel: 10.10.10.0/24 Standard, 10.10.20.0/24 IoT, 10.10.30.0/24 Gäste, 10.10.40.0/24 Heimnetzwerk, 10.10.50.0/24 Sicher. Dadurch lassen sich Firewall-Regeln und DHCP-Reservierungen deutlich einfacher verwalten.

Bei UniFi oder ähnlichen Lösungen ist es üblich, jedes VLAN einem Netzwerk im Controller zuzuordnen und jedes Netzwerk wiederum mit einer bestimmten SSID zu verknüpfen. So wird das Gerät beim Auswählen des WLAN-Netzwerks „Heimnetzwerk“, „IoT“, „Gastnetzwerk“ oder „VPN“ automatisch dem richtigen VLAN zugeordnet und übernimmt die für dieses Segment definierten Firewall- und Zugriffsrichtlinien.

Auswahl von Hardware und Software zur Verwaltung von VLANs und Routing

Was den Switch angeht: Solange er 802.1Q unterstützt und die Konfiguration von VLAN-Tagging, Trunks und PVIDs ermöglicht, ist er einsatzbereit. Der entscheidende Unterschied liegt darin, ob das Gerät nur Layer-2-Switching durchführt oder auch Layer-3-Routing mit Leitungsgeschwindigkeit unterstützt . Viele günstige Switches können Frames zwar schnell taggen und weiterleiten, aber sobald sie den Datenverkehr zwischen VLANs routen sollen, lagern sie die Verarbeitung an die CPU aus, wodurch der Durchsatz auf wenige hundert Mbit/s sinkt.

Um die Sache zu vereinfachen, ist es in Heimnetzwerken üblich, das Inter-VLAN-Routing der Hauptfirewall/dem Router (z. B. pfSense, OPNsense, UniFi Security Gateway, Dream Machine, OpenWrt auf einem guten Router) zu überlassen und Switches nur für Layer 2 zu verwenden. Bei sehr hohem internem Datenverkehr (z. B. Kopien zwischen Speichersystemen, Virtualisierungsclustern, großen Backups) kann ein Layer-3-Switch mit Hardware-Routing-Offload sinnvoll sein , ist aber für die meisten Haushalte nicht zwingend erforderlich.

Im Bereich der Software gibt es drei Hauptwege:

• OpenWrt en bescheidene Router Zunächst einmal bietet es die Möglichkeit, Ports zu benennen, mehrere Netzwerke zu erstellen und grundlegende Firewall-Regeln anzuwenden.
• pfSense oder OPNsense auf einer x86-Maschine (Bare Metal oder VM), wenn Sie erweiterte Regeln, GeoIP, IPS/IDS, leistungsstarke VPNs, Hochverfügbarkeit mit CARP usw. benötigen.
• Unifi (Dream Machine, Dream Router usw.) wenn Sie eine integrierte Umgebung bevorzugen, in der Access Points und Switches vom selben Controller verwaltet werden und die Lernkurve etwas flacher ist.

Proxmox spielt seine Stärken als Hypervisor vor allem in komplexen Netzwerken aus: Es werden einfach Bridges erstellt, die den physischen Netzwerkkarten zugeordnet sind (z. B. vmbr0 über enp1s0), der entsprechende Switch-Port als Trunk-Port konfiguriert und jede VM oder jeder Container kann ihn mit der benötigten VLAN-ID taggen. So kann ein einzelner Server gleichzeitig mehreren VLANs angehören und beispielsweise als Host für Homelab-Dienste fungieren, die über das Standard-VLAN und IoT-Netzwerk erreichbar sind – ganz ohne komplizierte Switch-Konfigurationen.

Von der Theorie zur Praxis: VLANs erstellen und testen

Sobald das Design feststeht, definieren Sie jedes VLAN auf dem Switch mit seiner VID und einem aussagekräftigen Namen. Anschließend konfigurieren Sie die Ports, die mit dem Router/der Firewall, anderen Switches und Proxmox verbunden sind, als Trunk-Ports, um die gewünschten VLANs zu übertragen. Vermeiden Sie es, an diesen Ports unterschiedliche native VLANs zu verwenden, um ungetaggten Datenverkehr oder ungewöhnliches Verhalten zu verhindern.

Die Ports, an die Sie „dumme“ Geräte (Fernseher, Spielekonsole, PC ohne VLAN-Unterstützung, Kameras) anschließen, sollten als Zugriffsports konfiguriert werden: ein einzelnes, unbeschriftetes VLAN mit der entsprechenden PVID. Dadurch befindet sich das Gerät immer im gewählten Netzwerk und kann sich aufgrund eines Konfigurationsfehlers nicht versehentlich mit einem anderen Netzwerk verbinden.

Auf der Firewall/dem Router erstellen Sie für jedes Tag, das die mit dem Switch verbundene Netzwerkkarte durchläuft, eine logische Schnittstelle. pfSense und OPNsense ermöglichen beispielsweise die Erstellung von VLAN-Schnittstellen auf einer physischen Netzwerkkarte. Jeder Schnittstelle weisen Sie eine IP-Adresse, einen DHCP-Bereich, einen DNS-Server, eine Beschreibung und – besonders wichtig – eigene Firewall-Regeln zu . Diese schnittstellenspezifischen Regeln sind entscheidend für die Isolation.

Sobald die Konfiguration abgeschlossen ist, können Sie testen: Schließen Sie einen Laptop an einen IoT-Zugangsport an, prüfen Sie die zugewiesene IP-Adresse, das Gateway und den DNS-Server und vergewissern Sie sich, dass er die Subnetze „Standard“ und „Heimnetzwerk“ nicht anpingen kann, aber öffentliche Domains auflösen und auf das Internet zugreifen kann (falls gewünscht). Wiederholen Sie diese Schritte für die Subnetze „Gast“, „Heimnetzwerk“ und „Sicher“, bis Sie sicher sind, dass sich jedes Netzwerk wie gewünscht verhält.

Firewall und Regeln zur Blockierung der seitlichen Bewegung

Der effektivste Ansatz besteht darin, standardmäßig den Zugriff zu verweigern und nur das Nötigste zuzulassen . Das heißt, in jedem VLAN wird eine initiale Regel erstellt, die den Datenverkehr zu „bestehenden/zugehörigen“ Netzwerken erlaubt (um Antworten auf Verbindungen zu ermöglichen, die von innerhalb des VLANs initiiert wurden) und anschließend den Datenverkehr zu anderen privaten Netzwerken (RFC1918-Typen) bis auf begründete Ausnahmen verweigert.

Eine praktische Methode ist die Erstellung einer IP-Adressgruppe, die alle Ihre privaten Bereiche enthält (z. B. 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12), und deren Verwendung in Ihren Regeln. So verhindert eine Regel, die „IoT → Private Netzwerke“ blockiert, sofort, dass Glühbirnen und andere Geräte mit Ihrem NAS oder Laptop kommunizieren. Der Zugriff auf das Internet und gegebenenfalls auf bestimmte Dienste Ihres Heimnetzwerks bleibt erhalten.

Im Standardnetzwerk können Sie den Zugriff auf das gesamte LAN (Internet + andere VLANs) erlauben. Es empfiehlt sich jedoch, den Zugriff auf die DMZ oder bestimmte sensible Server weiterhin einzuschränken. In Gastnetzwerken ist es hingegen üblich, den Zugriff auf private Bereiche zu blockieren und nur den Internetzugang zuzulassen. Falls der Access Point Client-Isolation unterstützt, aktivieren Sie diese Funktion, sodass die Mobilgeräte Ihrer Besucher sich nicht gegenseitig erkennen können.

Für die Verbindung zwischen Homelab und IoT ist es üblich, einem einzelnen Host (z. B. dem Home Assistant-Container oder einer VM) den Zugriff auf bestimmte IoT-Geräte über spezifische Ports (API-Port, Kontroll-Port) zu ermöglichen, jedoch nicht umgekehrt. Dies wird durch eine Regel wie „HomelabHost → IP_IoT:Port“ implementiert, gefolgt von einer allgemeinen IoT-Sperre für Homelab und Standard-IoT, mit Ausnahme des bestehenden Datenverkehrs.

Multicast, mDNS und ähnliche Technologien sollen kein Albtraum mehr sein.

Sobald man Netzwerke trennt, stellt man fest, dass Geräte wie AirPlay, Chromecast oder manche Drucker nicht mehr funktionieren. Das ist kein Fehler: Viele Erkennungsmechanismen nutzen Broadcast oder Multicast und springen systembedingt nicht zwischen VLANs hin und her. Damit sie weiterhin funktionieren, muss man den Erkennungsverkehr gezielt zulassen.

Üblicherweise wird IGMP-Snooping auf den Switches aktiviert, um Multicast auf die Ports mit interessierten Clients zu beschränken. Anschließend wird auf dem Router/Controller ein mDNS-/Bonjour-Relay oder ein vergleichbarer Dienst aktiviert, wobei explizit angegeben wird, zwischen welchen VLANs Ankündigungen weitergeleitet werden sollen (z. B. zwischen Standard-VLAN und IoT-VLAN oder zwischen Standard-VLAN und Heimnetzwerk-VLAN).

In UniFi müssen Sie möglicherweise auch LAN-IN-Regeln erstellen, die den Port und den Verkehrstyp für mDNS zulassen, oder Multicast-Profile für jede SSID anpassen. Gehen Sie dabei am besten vorsichtig vor: Aktivieren Sie das Relay nur zwischen den Segmenten, die tatsächlich verbunden werden müssen, und stellen Sie sicher, dass keine unnötigen Informationen zwischen den zu isolierenden Netzwerken durchsickern.

Manche Geräte, wie beispielsweise Sonos, kommen mit VLANs nicht gut zurecht und können selbst bei korrekt konfigurierten Relays erhebliche Probleme verursachen. Viele Nutzer belassen sie daher im Standardnetzwerk (oder einem dedizierten Multimedia-VLAN) und nehmen in Kauf, dass dieser Bereich nicht so gut segmentiert ist, um im Gegenzug alles ohne Probleme mit der Hersteller-Firmware nutzen zu können.

Sichere Verwaltung: MFA, SSH mit Schlüsseln und Zero Trust

Ihre Firewall, Proxmox-Hosts, NAS-Geräte und Management-Dienste sind die Schlüssel zu Ihrem System. Ein Root-Benutzer mit einem einfachen, von überall zugänglichen Passwort ist nicht akzeptabel. Empfehlenswert ist es, ein separates Administratorkonto für das Webpanel der Firewall zu erstellen, den direkten Root-Zugriff zu deaktivieren und die Zwei-Faktor-Authentifizierung (z. B. TOTP in OPNsense) stets zu aktivieren.

Darüber hinaus empfiehlt es sich dringend, den Zugriff auf diese Verwaltungskonsolen auf eine bestimmte IP-Adresse oder ein Subnetz innerhalb des VLANs der vertrauenswürdigen Geräte zu beschränken (z. B. auf Ihren Haupt-Desktop-PC oder Laptop). So wird verhindert, dass Angreifer, die in ein anderes Netzwerk eindringen oder ein IoT-Gerät kompromittieren, ohne Weiteres Zugriff auf die Firewall-Oberfläche oder die Verwaltungsschnittstelle des Hypervisors erhalten.

Für den SSH-Zugriff auf Server und VMs empfiehlt es sich, die Passwortauthentifizierung vollständig zu deaktivieren und ausschließlich öffentliche Schlüssel zu verwenden . Mit Lösungen wie Duo lässt sich zusätzlich ein zweiter Faktor implementieren: Selbst wenn jemand Ihren privaten Schlüssel stiehlt, wird bei jedem Anmeldeversuch eine Bestätigung auf Ihrem Mobilgerät ausgelöst. Sollten Sie diese nicht bestätigen, wird die Verbindung abgelehnt.

Für den Fernzugriff gilt eine klare Regel: Öffnen Sie keine direkten Ports (80, 443, 22 usw.) mehr an Ihrem Router. Nutzen Sie stattdessen Zero-Trust-Lösungen wie Tailscale (ein Mesh-VPN basierend auf WireGuard), Cloudflare Tunnel oder Twingate. Mit diesen Tools können Sie interne Dienste authentifiziert und verschlüsselt bereitstellen, ohne Ihre IP-Adresse oder Ports im Internet zu veröffentlichen . Ihre Webanwendungen, Dashboards und SSH-Verbindungen sind erst nach vorheriger Authentifizierung und mit strengen Zugriffsrichtlinien zugänglich.

Container, Systeme und Dienste absichern

Container vermitteln ein trügerisches Sicherheitsgefühl: Sie sind zwar isoliert, aber wenn man alles im privilegierten Modus ausführt, Schreibzugriffe überall freigibt und nicht mehr gewartete Images verwendet, ist man am Ende genauso angreifbar wie bei direkt auf dem Host installierten Diensten. Entscheidend ist die Verwendung offizieller oder hoch angesehener Images , regelmäßige Updates und die Vermeidung des privilegierten Modus, außer in ganz bestimmten Fällen.

Verwenden Sie nach Möglichkeit schreibgeschützte Volumes für statische Daten, trennen Sie Datenkonfigurationen und beschränken Sie die Containerfunktionen auf das absolute Minimum. Überprüfen Sie die Docker-Socket-Berechtigungen und stellen Sie sensible Panels wie Portainer nicht direkt dem Internet zur Verfügung. Platzieren Sie diese stattdessen hinter einem sicheren Reverse-Proxy mit zusätzlicher Authentifizierung oder schützen Sie sie mit Tailscale/Cloudflare Tunnel.

Auf Basissystemen (Raspberry Pi, Mini-PCs, Linux-VMs) gelten grundlegende Sicherheitsregeln: Standardpasswörter ändern, regelmäßige Updates aktivieren, nicht benötigte Dienste deaktivieren, UFW oder eine vergleichbare Firewall mit einer standardmäßigen Ablehnungsrichtlinie konfigurieren und den Zugriff nur bei Bedarf erlauben . Für häufig angegriffene Dienste wie SSH können Fail2Ban oder moderne Tools wie CrowdSec Brute-Force-Angriffe abwehren.

Im Hinblick auf verschlüsselte Kommunikation ist die Bereitstellung von Daten über unverschlüsseltes HTTP selbst innerhalb des LANs nicht mehr praktikabel. Reverse-Proxys wie Caddy, Nginx Proxy Manager oder Traefik ermöglichen die Verwendung von TLS-Zertifikaten (z. B. Let's Encrypt) und bieten zusätzliche Sicherheitsfunktionen wie Authentifizierung, Ratenbegrenzung, Sicherheitsheader und mehr – sowohl für internen Datenverkehr als auch für Datenverkehr, der über Zero-Trust-Tunnel geleitet wird.

DNS-, Pi-hole- und DoH-„Blacklist“-Blockierung

Ein Schlüsselaspekt für Datenschutz und Netzwerkkontrolle ist die Verwaltung des eigenen DNS. Ein redundant installierter Pi-hole (oder AdGuard Home) ermöglicht es, Werbung, Telemetriedaten und verdächtige Domains auf Netzwerkebene zu blockieren, ohne Browsererweiterungen auf jedem Gerät konfigurieren zu müssen. Allerdings ist eine robuste Infrastruktur erforderlich, die schwer zu deaktivieren und zu umgehen ist.

Beim DNS-Härten geht es darum, dass alle Geräte ausschließlich Ihre Pi-hole-Server abfragen und nicht frei auf Adressen wie 1.1.1.1, 8.8.8.8 oder öffentliche DNS-over-HTTPS-Adressen zugreifen können. Wer DHCP-DNS ignorieren möchte, kann IP-Adresspools mit den Adressen gängiger öffentlicher DNS- und DoH-Anbieter (Cloudflare, Google, Quad9 usw.) erstellen und Firewall-Regeln schreiben, die DNS-Anfragen nur von Ihren Pi-hole-Servern zulassen und alle anderen blockieren.

In der Praxis werden üblicherweise Gruppenprofile wie „Pi-hole Server“ und die Ports „DNS“ und „TLS-DoH“ definiert. Anschließend werden ausgehende Regeln hinzugefügt, die es Pi-hole ermöglichen, über diese Ports mit dem Internet zu kommunizieren. Unmittelbar darunter werden Regeln implementiert, die verhindern, dass andere IP-Adressen im LAN dieselben Ports nutzen. Dadurch wird die Namensauflösung für alle, die versuchen, ihre eigenen DNS-Server zu verwenden, unterbrochen, und die Konfiguration wird akzeptiert.

Um Pi-hole ausfallsicher zu machen, empfiehlt es sich, die Instanzen auf verschiedenen Geräten zu hosten (z. B. einen Container auf einem NAS, einen weiteren auf Proxmox und einen dritten auf einem Raspberry Pi mit SSD) und DHCP so zu konfigurieren, dass Clients mehrere DNS-IP-Adressen zugewiesen werden. So verlieren Sie bei Ausfall eines Knotens nicht den Internetzugang, und der Dienst funktioniert weiterhin, während Sie das Problem untersuchen.

Zero Trust und Fernzugriff mit Cloudflare Tunnel und Tailscale

Anstatt direkte Brücken zu Ihrem Heimnetzwerk zu öffnen, können Sie mit einer sehr leistungsstarken Kombination experimentieren: Cloudflare Zero Trust, um ausgewählte Webdienste (mit Identitäten, Richtlinien und Überwachung) bereitzustellen, und Tailscale, um über Mesh-VPN auf interne Ressourcen zuzugreifen, als wären Sie im LAN, ohne jedoch das NAT des Routers zu berühren.

Cloudflare Tunnel (mit dem Cloudflare-Client als Container oder Dienst) erstellt ausgehende Tunnel von Ihrem Netzwerk zur Cloudflare-Infrastruktur. Dort ordnen Sie diesem Tunnel eine Subdomain zu und leiten HTTPS-Traffic an einen oder mehrere Dienste in Ihrem Heimnetzwerk weiter. Niemand sieht Ihre Heim-IP-Adresse oder Ports; sichtbar ist lediglich die durch die Cloudflare-Sicherheitsebenen geschützte Domain. Dort können Sie Anmeldung, Zwei-Faktor-Authentifizierung, Geofilter und weitere Funktionen aktivieren.

Für den herkömmlichen VPN-Zugriff auf das gesamte Netzwerk oder bestimmte Segmente ist Tailscale hervorragend geeignet. Die Installation erfolgt über ein einfaches Skript. Jedes Gerät wird in Ihrem „Tailnet“ registriert und ein privates Netzwerk auf Basis von WireGuard erstellt. Mithilfe von ACLs (Access Control Lists) legen Sie fest, welche Benutzer auf welche IP-Adresse und welchen Port zugreifen dürfen. So können Sie beispielsweise den Zugriff auf Ihre persönlichen Konten beschränken und ihnen den Zugriff auf 192.168.1.10:22 (den Hypervisor) oder 10.10.40.100:3000 (Ihr CI-Tool) erlauben.

Wenn Sie noch einen Schritt weiter gehen möchten, können Sie Ihre gesamte Zero-Trust-Konfiguration in Terraform mithilfe von Cloudflare beschreiben. Dadurch bleibt Ihre Richtlinie als Code erhalten, Änderungen lassen sich reproduzieren und die Versionskontrolle in Git wird aktiviert – genau wie bei jedem anderen Infrastrukturprojekt. Es ist eine äußerst professionelle Methode, Ihr Heim-Labor zu verwalten, selbst wenn es sich nur in einem Abstellraum im Flur befindet.

Verkabelung, Verzögerungen und typische Leistungsprobleme

Logische Härtung nützt wenig, wenn Ihr physisches Netzwerk mangelhaft ist. Die Wiederverwendung alter RJ11-Buchsen und Kabel mag zwar eine vorübergehende Lösung sein, doch treten häufig Ausfälle, CRC-Fehler oder Geschwindigkeitseinbrüche während der Netzwerkaushandlung unter hoher Last auf. Nutzen Sie jede Gelegenheit (Bauarbeiten, Renovierungen, Umzüge), um hochwertige CAT6- oder CAT7-Kabel zu verlegen und Patchpanels mit guten Keystone-Modulen zu verwenden.

Bei der Verbindung von Räumen oder Schränken mit mehreren Switches stellt die Backbone-Verbindung oft einen Engpass dar. Sollten Sie eine Überlastung des Datenverkehrs zwischen den Bereichen feststellen, empfiehlt sich die Zusammenführung mehrerer physischer Verbindungen zu einem Link Aggregation (LAG), sofern die Switches dies unterstützen. Dadurch erhöht sich die verfügbare Bandbreite und die Ausfallsicherheit bei Kabelausfällen.

Die physische Dokumentation, welcher Port wohin gehört, welche VLAN-ID in jedem Segment verwendet wird und wie die nativen VLANs konfiguriert sind, spart Ihnen zukünftig Stunden an Arbeit. Beschriften Sie Kabel, versehen Sie Ports mit Anmerkungen und halten Sie diese Informationen mit Ihrem logischen VLAN-Diagramm synchron. Viele Netzwerkprobleme lassen sich auf falsch beschriftete Ports oder falsche VLAN-IDs zurückführen.

Wenn etwas schiefgeht (extrem hohe Latenzen, abgelaufene TTL, wiederholte Routen), verwenden Sie grundlegende Hilfsmittel: Traceroute von verschiedenen Punkten (Client, Router, Modem), Fehlerzähler auf den Schnittstellen, Paketmitschnitte auf der Firewall und, falls Ihr Switch dies zulässt, ein Port-Mirror, um zu sehen, welche Labels und MACs tatsächlich über eine problematische Verbindung zirkulieren, und folgen Sie unserer Anleitung zur Behebung von Verbindungsproblemen.

Heimnetzwerk als Labor: Proxmox, schlankes Kubernetes und wichtige Dienste

Sobald die Netzwerk- und Sicherheitsgrundlagen geschaffen sind, wird das Heimlabor zu einem brutalen Testgelände, um Dinge zu üben, die sehr produktionsnah sind: Cluster mit Proxmox, schlankes Kubernetes wie k3s, NFS vom NAS als gemeinsam genutzter Speicher, Backups, Hochverfügbarkeit usw.

Proxmox ermöglicht die Orchestrierung von VMs und Containern über eine intuitive Weboberfläche, natives Clustering, Snapshots und integrierte Backups. Sie können ein NFS-Laufwerk Ihres NAS einbinden und es als gemeinsam genutzten Speicher für virtuelle Festplatten, Backups oder ISO-Dateien verwenden. Die Latenz ist zwar nicht so gering wie bei einer lokalen SSD, dafür profitieren Sie von der Ausfallsicherheit des NAS und der einfachen Verwaltung von Backups, Migrationen und schnellen Wiederherstellungen.

Auf Proxmox richten viele Nutzer einen kleinen Kubernetes-Cluster mit drei Ubuntu-LTS-VMs für die Steuerungsebene ein und ergänzen ihn mit Komponenten wie kube-vip (hochverfügbare virtuelle IP), Longhorn (verteilter Speicher und automatische Volume-Backups), Ingress-Controllern wie Traefik oder Nginx und Observability-Tools (Prometheus, Grafana, Loki). So lassen sich Homelab-Dienste mithilfe von Helm oder Manifesten und der Versionskontrolle mit Git auf Kubernetes bereitstellen.

Von dort aus kommen die Komponenten hinzu, die das Homelab wirklich "cool" machen: Pi-hole für DNS und Werbeblockierung; Home Assistant zur Integration von Hausautomation, Kameras und Energie; Homebridge und Scrypted zur Integration nicht unterstützter Geräte und Kameras in HomeKit; Plex oder ähnliches für Multimedia; und all dies hängt an Ihren VLANs und Ihren gut gesicherten Zero Trust-Tunneln.

Das Ergebnis der Kombination aus Segmentierung, strenger Firewall, kontrolliertem DNS, sicherem Fernzugriff, Überwachung und Datensicherung ist eine Heimumgebung, die einer modernen Unternehmensinfrastruktur sehr ähnlich ist, jedoch im häuslichen Maßstab : mit weniger Störungen, mehr Transparenz, weniger Überraschungen bei Ausfällen und vor allem der Gewissheit, dass ein Ausfall eines günstigen WLAN-Geräts nicht zu einem größeren Drama führen sollte.