Homelab on trustserv.de

Homelab-Umbau Teil 8: Eine eigene Zertifizierungsstelle

Mon, 17 Aug 2026 11:30:00 +0200

Das Ärgernis Link zu Überschrift

Jeder interne Dienst mit Weboberfläche begrüsst einen mit einer Zertifikatswarnung. Firewall, NAS, Backup-Server, Access Point — überall dasselbe Bild, überall einmal wegklicken.

Das ist nicht nur lästig. Es erzieht einen dazu, Warnungen wegzuklicken, und irgendwann klickt man auch die weg, die berechtigt gewesen wäre. Genau die Reaktion, die man sich nicht antrainieren möchte.

Die Lösung ist eine eigene Zertifizierungsstelle. Ein Root-Zertifikat, das man einmal auf seinen Geräten hinterlegt, und danach vertraut der Browser allem, was von dieser Stelle ausgestellt wurde.

Homelab-Umbau Teil 7: Eine SSID, und das Netz entscheidet

Mon, 17 Aug 2026 08:45:00 +0200

Worum es geht Link zu Überschrift

In Teil 1 stand die Feststellung, dass eine eigene SSID pro VLAN nicht funktioniert — jede SSID kostet Luftzeit, und bei fünf oder sechs verliert man spürbar Durchsatz.

Die Alternative ist die, die in Firmen läuft: eine einzige SSID, und das Netz entscheidet pro Gerät. Das Gerät meldet sich mit eigenen Zugangsdaten an, ein RADIUS-Server prüft sie und schickt die VLAN-Zuordnung gleich mit.

Homelab-Umbau Teil 6: Backups, die auch funktionieren

Sun, 16 Aug 2026 14:00:00 +0200

Die offene Baustelle Link zu Überschrift

Am Ende von Teil 4 stand ein Satz, den ich ungern geschrieben habe: Backups gibt es keine.

Auf dem Proxmox-Host laufen inzwischen eine Telefonanlage, ein RADIUS-Server, eine interne Zertifizierungsstelle und ein Ansible-Steuerrechner. Alles davon habe ich von Hand aufgesetzt, teils über mehrere Abende. Wenn die SSD stirbt, ist das nicht “ärgerlich”, sondern zwei Wochen Arbeit.

Also bevor noch mehr dazukommt: erst der Rückweg.

Homelab-Umbau Teil 5: Das erste VLAN

Sat, 15 Aug 2026 20:40:00 +0200

Warum ausgerechnet Telefonie Link zu Überschrift

Nach Teil 4 steht alles bereit: eine Firewall, die Regeln durchsetzen kann, und ein Host für Dienste. Jetzt kommt das erste eigene VLAN — und ich fange bewusst mit dem Fall an, bei dem am wenigsten kaputtgehen kann.

Wenn das Festnetz ausfällt, ist es egal. Ich habe ein Schweizer und ein deutsches Handy. Ein Netzwerkexperiment, das im schlimmsten Fall dazu führt, dass ein Telefon nicht klingelt, ist der ideale erste Testfall. Genau das war die Auswahllogik: nicht der wichtigste Dienst zuerst, sondern der harmloseste.

Homelab-Umbau Teil 4: Ein Ort für Dienste

Sat, 15 Aug 2026 20:30:00 +0200

Warum überhaupt Link zu Überschrift

Nach Teil 3 routet die OPNsense, der R4 ist Switch und Access Point. Was fehlt, ist ein Ort, an dem Dienste laufen können. FreeRADIUS, eine eigene CA, eine Telefonanlage — das muss alles irgendwo hin.

Auf die Firewall gehört sowas nicht. Eine Firewall soll Pakete weiterleiten und Regeln durchsetzen, sonst nichts. Je mehr da nebenher läuft, desto grösser die Angriffsfläche und desto unangenehmer jedes Update.

Homelab-Umbau Teil 3: Die Firewall dazwischenschieben

Sat, 15 Aug 2026 20:00:00 +0200

Das Problem mit dem Umbau Link zu Überschrift

Die Hardware aus Teil 2 stand auf dem Tisch. Das Netz lief weiter. Und genau das ist die unangenehme Stelle: Der Anschluss ist nicht mein Bastelprojekt, sondern der Weg ins Internet. Wenn ich den kaputt mache, ist er kaputt.

Die Aufgabe war also nicht “OPNsense einrichten”, sondern “OPNsense einrichten, ohne dass zwischendurch stundenlang nichts geht”.

Vorbereiten, bevor es zählt Link zu Überschrift

Der erste Schritt hatte mit dem Netz gar nichts zu tun: Die Firewall wurde im Zimmer zusammengebaut, an die Workstation gehängt und vollständig vorkonfiguriert. LAN auf 10.0.1.1, DHCP eingerichtet, Grundregeln gesetzt, alles durchgeklickt.

Homelab-Umbau Teil 2: Die Hardware für die Firewall

Sat, 15 Aug 2026 19:28:21 +0200

Die Ausgangsfrage Link zu Überschrift

In Teil 1 stand fest, was ich will: eine dedizierte Firewall, die das Routing übernimmt, damit der Banana Pi R4 zum reinen Switch und Access Point werden kann. Was noch nicht feststand, war die Hardware.

Meine Anforderung klang erstmal einfach. Init7 liefert hier symmetrisch 10 Gbit, und zwar zum selben Preis wie 1 Gbit. Wenn ich schon eine eigene Kiste kaufe, soll die auch davon möglichst viel durchlassen. Dazu wollte ich Deep Packet Inspection ausprobieren — schon allein, weil das in Firmen eingesetzt wird und ich sowas verstehen will.

Homelab-Umbau Teil 1: Die Ausgangslage

Sat, 15 Aug 2026 14:52:30 +0200

Worum es geht Link zu Überschrift

Mein Heimnetz ist gewachsen wie die meisten: Gerät dazu, läuft, fertig gedacht. Am Ende hing alles an einer Kiste und in einem Subnetz.

Das geht erstaunlich lange gut. Irgendwann wollte ich aber Sachen machen, für die in dem Aufbau schlicht kein Platz war — Geräte voneinander trennen, WLAN-Clients automatisch dahin schicken, wo sie hingehören, eigene Zertifikate ausstellen. Dafür braucht es eine andere Grundlage.