Hybride Self-Hosted-Infrastruktur & Betrieb
Eine mit Ansible verwaltete Hybrid-Plattform mit öffentlichem VPS-Ingress, authentifiziertem privatem Tailscale-Transport, containerisierten Diensten vor Ort, Infrastruktur-Monitoring, verschlüsselten Backups und getesteter Wiederherstellung von Anwendungs- und Datenbeständen.
Rolle
Ich habe die Hybrid-Umgebung entworfen und konfiguriert und betreibe sie heute – von den öffentlichen und privaten Netzwerkgrenzen über Linux-Härtung und Ansible-Konfigurationsverwaltung bis zu containerisierten Diensten, Monitoring und Wiederherstellungsverfahren.
Kernergebnisse
- 15-Minuten-Prüfungen
- Datenträger- und Backup-Zustand
- Private Administration
- Getrennter Tailscale-Pfad
- Ansible-verwaltet
- Wiederholbare Konfiguration
- Restore geprobt
- Isoliertes Wiederherstellungsziel
Betriebsproblem
Ich musste öffentliche Webdienste in einer hybriden VPS-/On-Premises-Umgebung betreiben, ohne direkten öffentlichen Inbound-Verkehr zum privaten Wohnnetz oder öffentlich erreichbare Administrationsoberflächen zuzulassen. Gleichzeitig waren wiederholbare Konfigurationen, nachvollziehbare Service-Zustände und ein Wiederherstellungsprozess erforderlich, der ohne Veränderung von Produktionsdaten getestet werden kann.
Architektur und Vertrauensgrenzen
Öffentlicher HTTP-/HTTPS-Verkehr erreicht die Umgebung über den Public VPS Edge. Eine authentifizierte und verschlüsselte private Verbindung über Tailscale verbindet diesen Edge mit den vor Ort betriebenen Docker-Diensten auf Debian Core, das auf Proxmox läuft. Öffentlicher Ingress und Administration bleiben getrennt. Eine WSL-Umgebung auf der Admin Workstation dient als Ansible-Control-Node für Public VPS Edge, Debian Core und einen Linux Canary Host.
Abbildung 1 — Hybrid-Infrastruktur: Architektur und Vertrauensgrenzen
Gesamttopologie des Runtime-Pfads und des getrennten authentifizierten Administrationspfads.
Konfigurationsmanagement mit Ansible
Host- und Servicekonfigurationen werden als versionierte Ansible-Inventare, Rollen, Templates, Handler und fokussierte Playbooks gepflegt. Relevante Änderungen werden vor der Anwendung im Check Mode und anhand von Diffs geprüft. Assertions und Post-Change-Checks begleiten sensible Änderungen an SSH- und Firewall-Konfigurationen; wiederholte Läufe prüfen die Idempotenz.
- Relevante Ansible-Änderungen im Check Mode ausgeführt, Diffs und Assertions geprüft und die Ausführung zur Idempotenzprüfung wiederholt.
- SSH- und Firewall-Änderungen mit Post-Change-Prüfungen für Konfiguration, Konnektivität und öffentliche Exponierung angewendet, um das Lockout-Risiko zu reduzieren.
Betrieb und Wiederherstellung
Uptime Kuma überwacht die öffentliche Erreichbarkeit und ausgewählte private Infrastruktur. Repräsentative Prüfungen decken öffentliche Websites, Analytics, private Betriebsdienste, Erreichbarkeit, Datenträgerzustand und Backup-Aktualität ab. Ein systemd-Oneshot-Dienst wird alle 15 Minuten durch einen Timer gestartet und prüft den lokalen Datenträger- und Backup-Zustand; Telegram empfängt Betriebsalarme.
Die Backup-Prüfung umfasst Archivintegrität, erforderliche Inhalte und Prüfsummenvalidierung. Eine isolierte Restore-Probe weist die Wiederherstellbarkeit ausgewählter Anwendungs- und Datenbankdaten nach, ohne Produktionsdaten zu ersetzen. Ein separater, manuell ausgelöster Restic-Workflow kann eine verschlüsselte Sekundärkopie auf Wechselmedien schreiben.
Abbildung 2 — Konfigurations-, Monitoring- und Wiederherstellungsablauf
Ablauf für Änderungsvalidierung, Observability, Alarmierung, Backup-Prüfung und isolierte Wiederherstellung.
Security-Härtung und Zugriffsmodell
Administrationspfade bleiben über Tailscale privat. Verwaltete SSH-Dienste nutzen schlüsselbasierte Authentifizierung; Root-Login und passwortbasierte Anmeldung sind dort deaktiviert, wo dies dokumentiert ist. Host-Firewalls arbeiten eingehend nach Deny-by-Default. Der öffentlich erreichbare Anwendungs-Ingress auf dem VPS ist auf die erforderlichen HTTP-/HTTPS-Endpunkte beschränkt; administrative Zugriffe bleiben über Tailscale privat. Webbasierte Administration bleibt privat, ungenutzte administrative oder veraltete Dienste wurden deaktiviert, und UFW, Fail2Ban sowie CrowdSec wirken als getrennte Kontrollen, wo sie konfiguriert sind.
Das private Fortress Operations Dashboard, mit Homepage umgesetzt und über Ansible verwaltet, trennt Ansichten für öffentliche Dienste, Monitoring, den Public VPS, Debian-Core-Container und Netzwerkinfrastruktur; es wird über Tailscale Serve erreicht, und der zuvor direkt veröffentlichte Anwendungsport ist geschlossen.
Abbildung 3 — Zugriffspfade und Dienstexposition
Öffentliche, private und administrative Zugriffspfade mit ihren Grenzen der Dienstexposition.
Verifizierte Betriebsergebnisse
- Öffentlicher Web-Ingress erfordert keine direkte eingehende Exponierung des privaten Wohnnetzes mehr; Administrationsoberflächen bleiben auf dem privaten Tailscale-Pfad.
- Check Mode, Diff-Prüfung, Assertions, Post-Change-Checks und wiederholte Läufe liefern Nachweise für sensible Konfigurationsänderungen und Idempotenz.
- Das Monitoring deckt repräsentative Service-Erreichbarkeit, Infrastrukturzustand, Datenträgerzustand und Backup-Aktualität ab.
- Anwendungs- und Datenbankarchive werden vor der Nutzung geprüft; die Wiederherstellung wurde gegen ein isoliertes Ziel geprobt, ohne Produktionsdaten zu ersetzen.
- Eine verschlüsselte Sekundärkopie auf Wechselmedien steht über einen manuell ausgelösten Restic-Workflow zur Verfügung.
Aktuelle Grenzen
Die Umgebung ist bewusst klein gehalten und bietet weder Hochverfügbarkeit noch automatisches Failover. Die verschlüsselte Sekundärkopie auf Wechselmedien erfordert einen Eingriff durch den Betreiber; die aktuelle Wiederherstellungsprüfung deckt Anwendungs- und Datenwiederherstellung statt vollständiger Infrastrukturrekonstruktion ab. Ein Teil der Ressourcenprovisionierung liegt außerhalb der Ansible-verwalteten Konfiguration.
Nächste Verbesserung
Den Umfang deklarativer Provisionierung erweitern und die isolierte Restore-Probe für Anwendungen und Daten nach einem dokumentierten Zeitplan wiederholen.
Technologien
Plattform
Konfiguration & Netzwerk
Sicherheit
Monitoring & Wiederherstellung