Homelab / Architektur

Architektur

Logische Schichten des Homelabs — Proxmox und Rocky Linux als Basis, darüber Identity, Delivery, Ops und Observability.

Das Homelab ist ein persönlicher Showcase einer kleinen, IaC-getriebenen Plattform. Das Tooling orientiert sich an Enterprise-IT — bevorzugt Open-Source- bzw. Community-Editionen — mit Proxmox als Compute-Basis und Rocky Linux für Enterprise-Kompatibilität. Die Übersicht zeigt, wie Zugriff, Dienste und Betrieb zusammenspielen.

Überblick

Dual 5G hinter Carrier-NAT: Outbound-Tunnel statt Port-Forward; HTTPS/OIDC und Overlay-VPN als parallele Remote-Wege. Zugriff / Dual Remote Dual 5G · CGNAT · Pangolin · Overlay-VPN Zentraler OIDC-IdP und Secrets/PKI — dieselbe Identity-Basis für Apps und Remote-Zugang. Identity & Secrets Keycloak · HashiCorp Vault Forgejo als Lab-SoT; Actions auf Linux, macOS und Windows; Docs und Fachdienste auf dem Compute-Layer. Plattform & Apps Forgejo · Actions · Wiki Proxmox-Cluster als Compute-Basis; managed Gäste auf Rocky Linux, IaC aus Forgejo. Compute Proxmox · Rocky Linux Host-Lifecycle, Patch-Orchestrierung und Service Desk — so weit wie möglich automatisiert. Ops & Automation Lifecycle · Patching · Tickets Metrics, Logs und Alerts gehören von Anfang an zur Plattform — nicht als Nachgedanke. Observability Metrics · Logs · Alerts

Hover oder Fokus auf eine Ebene für Details.

Dual 5G hinter Carrier-NAT: Outbound-Tunnel statt Port-Forward; HTTPS/OIDC und Overlay-VPN als parallele Remote-Wege.

Zentraler OIDC-IdP und Secrets/PKI — dieselbe Identity-Basis für Apps und Remote-Zugang.

Forgejo als Lab-SoT; Actions auf Linux, macOS und Windows; Docs und Fachdienste auf dem Compute-Layer.

Proxmox-Cluster als Compute-Basis; managed Gäste auf Rocky Linux, IaC aus Forgejo.

Host-Lifecycle, Patch-Orchestrierung und Service Desk — so weit wie möglich automatisiert.

Metrics, Logs und Alerts gehören von Anfang an zur Plattform — nicht als Nachgedanke.

Schichten

Zugriff und Dual Remote

Zwei gleichwertige Remote-Wege, bewusst getrennt vom LAN:

  • Pangolin — identity-aware HTTPS-Edge; freigegebene Apps laufen über einen Tunnel (Newt) ins Lab und authentifizieren per OIDC gegen Keycloak.
  • Overlay-VPN — Mesh-/OLM-Zugang für Admin und Betrieb, ohne Port-Forward als Standardstrategie.
  • LAN — Zoraxy terminiert TLS und proxyt Dienste lokal.

Kein klassisches Port-Forwarding als Primärweg: Remote bleibt kontrolliert über Tunnel und Identity. Warum das so ist — Dual 5G hinter Carrier-Grade NAT — steht unter Konnektivität.

Identity und Secrets

Keycloak liefert SSO per OIDC (auch für Pangolin). HashiCorp Vault verwaltet Secrets und die interne PKI. Apps und Remote-Zugang greifen auf dieselbe Identity-Basis zu.

Plattform und Apps

Forgejo ist die Quelle der Wahrheit für den Lab-Code — IaC für Gäste und Dienste, Ansible, Wiki, Academy und die Portfolio-Site. Dokumentation, Collaboration und Fachanwendungen laufen als eigenständige Workloads auf dem Compute-Layer. Die öffentliche Site ist nur eine Delivery-Kette davon: Forgejo → privater GitHub-Spiegel → Cloudflare Pages (Hugo) — Details: Website.

CI

Forgejo Actions laufen auf einer eigenen Runner-Flotte: Linux amd64 (Gäste auf dem Proxmox-Cluster), macOS Apple Silicon, Windows 64-bit (Gast-VM) und Windows ARM64 (Notebook). Hardware-Details zu Mac und ThinkBook: Hardware.

Compute

Proxmox ist die Compute-Basis: Der Cluster hostet fast alle Gäste und Workloads. Managed Linux-Gäste laufen auf Rocky Linux. Infrastructure as Code legt Gäste und Basisdienste aus Forgejo-Repos an; Fleet-Management hält den Betrieb konsistent.

Ops und Automation

Neben dem Build gehört der laufende Betrieb dazu: Host-Lifecycle und Patch-Orchestrierung, Service Desk für Incidents/Changes sowie Backup — so weit wie möglich automatisiert, nah an Enterprise-OPS-Mustern. Wie Storage und Backup geschichtet sind (Ceph vs File-Tiers, Offsite, warum nicht überall RAID): Storage & Backup.

Observability

Metrics, Logs und Alerts gehören von Anfang an zur Plattform. So bleibt der Betrieb nachvollziehbar, statt Monitoring nachträglich anzudocken. Lokale Multi-Pass-LLMs fassen Alerts und Upgrade-Pfade zusammen — Qwen3 8B → Qwen3.6 35B-A3B → GPT-OSS 20B, menschliche Freigabe; kein Blind-Apply. Beispiele: Ops AI Showcases.

Betriebsprinzipien

  1. Infrastructure as Code — Gäste und Dienste entstehen reproduzierbar aus Forgejo (OpenTofu, Ansible, Terrakube); managed Guests auf Rocky Linux.
  2. Enterprise-aligned Ops — Open-Source-/Community-Editionen von Enterprise-Tools; Lifecycle, Patching, Tickets und Changes möglichst automatisiert.
  3. Identity first — OIDC ist der Standardweg; zentrale Identity statt Credential-Wildwuchs.
  4. Dual Remote — Pangolin (HTTPS/OIDC) und Overlay-VPN (OLM/Mesh) sind parallel gedacht; LAN bleibt eigener Pfad.
  5. Observability default — Metrics, Logs und Alerts sind Teil der Plattform.
  6. Secure by design — Secrets in HashiCorp Vault, TLS am Edge, klare Trennung zwischen Portfolio-Darstellung und Betriebszugriff.
  7. Kontrollierte AI — lokale Multi-Pass-Pipeline (Qwen3 / Qwen3.6 / GPT-OSS) und Ops-Hilfe; kein Autopilot, kein Cloud-LLM.