Access & Network
Private Einstiegspfade und kontrollierte Exponierung.
- Tailscaleprivates Overlay-Netzwerk
- UFWInterface-basierte Firewall-Regeln
- Nginx Proxy Managerkontrollierte Reverse-Proxy-Einstiegspunkte
Security & Plattformbetrieb
Praktische Plattformhärtung für eine selbst betriebene Web-Umgebung: private Administrationswege, reduzierte öffentliche Angriffsfläche, persistente Host- und Docker-Regeln, DNS-Filterung, Monitoring, Backups und nachvollziehbare Betriebsdokumentation.
Öffentliche Zusammenfassung: interne Hostnamen, Adressen, Secrets, Firewall-Details und vollständige Konfigurationen werden nicht veröffentlicht.
Security-Architekturüberblick
Layer-Ansicht der aktuellen Plattform: Public Ingress, privater Management-Pfad, DNS-/Firewall-Kontrollen, Observability, Analytics und Recovery mit klar getrennten Verantwortlichkeiten.
Aktuelle Kontrollen und Betriebsbausteine
Architektur-Snapshot
- Public Web
- VPS / Ingress
- Tailscale Overlay
- Private Proxmox Runtime
- Docker Services
Private AccessReduced ExposureFirst-Party AnalyticsMonitoringScheduled Local Backups
Verifiziert sind private Administrationspfade, persistente Host- und Docker-Filterung, Monitoring sowie Anwendungs- und Datenbackups mit isolierter Restore-Probe. Verschlüsselte Sekundärkopien auf Wechselmedien werden operator-gesteuert erstellt; automatische Failover- und vollständige Infrastrukturwiederherstellung sind nicht umgesetzt.
Filtering & Defense
DNS-Filterung, Angriffserkennung und Community Threat Intelligence.
- Pi-holeDNS-Filterung
- CrowdSecErkennung und CAPI Threat Intelligence; kein Bouncer aktiv
Analytics & Data
First-Party-Metriken und Speicherkomponenten.
- Plausible AnalyticsFirst-Party Web Analytics
- PostgreSQLrelationaler Datenspeicher
- ClickHouseAnalytics- und Event-Speicher
Observability
Runtime-Sichtbarkeit über Hosts und Services.
- NetdataEchtzeit-Host-Metriken
- Uptime KumaService-Verfügbarkeitsprüfungen
- DozzleContainer-Log-Sichtbarkeit
Operations
Container-Administration und Update-Flow.
- PortainerContainer-Management
- WatchtowerContainer-Update-Lifecycle
Security Stack
Netzwerk-Segmentierung
Prinzip: Angriffsfläche minimieren. Impl: Private Overlay-Pfade, workloadnahe Trennung auf Proxmox und kontrollierte Service-Einstiegspunkte statt ungebündelter Direkt-Exponierung.
Firewall-Strategie
Prinzip: Mehrschichtige Abwehr. Impl: Interface-basierte UFW-Regeln, eine persistente DOCKER-USER-Policy, Pi-hole für DNS-Filterung, CrowdSec für Erkennung und Nginx Proxy Manager für gebündelte Service-Exponierung.
Sicherer Fernzugriff
Prinzip: Keine offenen Management-Ports. Impl: Tailscale-Overlay auf WireGuard-Basis für private Administration, konsistente SSH-Pfade und kontrollierten Remote-Zugriff auf interne Plattformen.
Observability
Prinzip: Betriebszustand sichtbar halten. Impl: Netdata für Echtzeit-Metriken, Uptime Kuma für Service-Checks, Dozzle für Live-Logs und Watchtower für den routinemäßigen Container-Update-Lifecycle.
Operative Ergebnisse
- Die Umgebung kombiniert privaten Tailscale-Ingress, DNS-Filterung, persistente Host- und Docker-Regeln, kontrollierte Service-Exponierung und nachvollziehbare Erkennung statt sich auf einen einzelnen Schutzmechanismus zu verlassen.
- Metriken, Uptime, Logs, Analytics und der Container-Update-Zyklus sind sichtbar und strukturierter betreibbar, was den Wartungsaufwand für die Self-Hosted-Plattform senkt.
Fallstudien
Mehrschichtige DNS-Filterung & IPS
Herausforderung: Interne Dienste und Clients brauchten Basisschutz gegen unerwünschte Domains und auffällige Zugriffsmuster.
Vorgehen: Pi-hole für DNS-Filterung eingesetzt, CrowdSec für Erkennung angebunden und Service-Zugriffe über definierte Einstiegspunkte gebündelt.
Ergebnis: DNS-Filterung, Detection und Service-Zugriff sind getrennt nachvollziehbar; aktive Blockierung bleibt bis zur verifizierten Bouncer-Konfiguration bewusst ausstehend.
Privater Administrationspfad
Herausforderung: Verteilte Dienste und Dashboards mussten remote administrierbar sein, ohne Management-Flächen breit freizugeben.
Vorgehen: Administration über Tailscale und SSH-Aliasse geführt; öffentliche Zugriffe auf Nutzer-Dienste beschränkt und Management-Flächen privat gehalten.
Ergebnis: Management bleibt vom öffentlichen Web getrennt, während die erreichbaren Dienste klarer betrieben und leichter geprüft werden können.
The Vienna Fortress
Herausforderung: Ein werkzeugorientiertes privates Infrastruktur-Lab wurde mit wachsendem Stack schwerer zu überwachen, abzusichern und im Alltag wartbar zu halten.
Vorgehen: Eine Proxmox- und Docker-Plattform um Nginx Proxy Manager, Pi-hole, CrowdSec, Netdata, Uptime Kuma, Dozzle, Watchtower und Homepage aufgebaut und zusätzlich eine Proxmox-API-Integration für ein React-Dashboard stabilisiert.
Ergebnis: Entstanden ist eine produktionsnähere interne Plattform mit klareren Betriebswegen, zentraler Sichtbarkeit und reduzierter Exponierung.