Homelab / Architektur
Konnektivität
Zwei 5G-Uplinks, Carrier-Grade NAT, Outbound-Tunnel und IPv6 per WireGuard-Broker — Internet ohne Port-Forward.
Zwei 5G-Uplinks. Carrier-Grade NAT. Kein eingehender Port.
Das Lab hängt nicht an einer klassischen Festnetz-Leitung mit öffentlicher IPv4. Upstream sind zwei unabhängige 5G-Verbindungen — und beide sitzen hinter Carrier-Grade NAT (CGNAT). Der Provider teilt keine echte öffentliche Adresse zu; Port-Forwarding von außen ist damit keine belastbare Strategie.
Constraint als Feature
CGNAT klingt zuerst wie ein Nachteil. Für das Portfolio ist es die Design-Vorgabe:
- Kein Port-Forward als Primärweg — niemand öffnet Löcher in die Site hinein.
- Outbound first — das Lab baut Tunnel nach außen zu einem identity-aware Edge.
- Dual Remote — Browser/HTTPS und Admin-Overlay bleiben getrennte, gleichwertige Wege.
Kurz: Erreichbarkeit entsteht durch kontrollierte Ausgänge, nicht durch eingehende Ports.
Dual 5G
Zwei mobile Uplinks liefern Redundanz auf der WAN-Seite. Der Site-Router orchestriert beide Wege (Failover / Dual-WAN); die Details bleiben Betriebsgeheimnis — öffentlich zählt nur das Muster: zwei 5G-Pfade, beide hinter Carrier-NAT.
Outbound-Tunnel & Dual Remote
Hover oder Fokus auf einen Knoten für Details.
Beide 5G-Uplinks sitzen hinter Carrier-Grade NAT — Port-Forward von außen ist keine belastbare Basis.
Erster unabhängiger 5G-Uplink — Redundanz auf der WAN-Seite.
Zweiter unabhängiger 5G-Uplink — Dual-WAN statt Single-Point.
Orchestriert beide Uplinks und segmentiert die Site — ohne eingehende Port-Löcher.
Das Lab baut Tunnel nach außen — Erreichbarkeit entsteht durch kontrollierte Ausgänge.
Browser-Remote über identity-aware HTTPS; Admin-Overlay bleibt ein paralleler Pfad.
| Pfad | Rolle |
|---|---|
| Identity-aware HTTPS | Veröffentliche Apps über einen Outbound-Tunnel zum Edge; Login per OIDC |
| Overlay-VPN | Admin- und Betriebszugang — parallel, nicht als Ersatz für den Browser-Pfad |
| IPv6-Uplink | Outbound-WireGuard zu einem Community-Broker → geroutetes Präfix, Dual-Stack im LAN (kein Inbound) |
| LAN-Proxy | TLS und Routing innerhalb der Site — getrennt von Remote |
Mehr zur Schichtentrennung: Architektur. Hardware-Kontext: MikroTik Chateau 5G, UCG-Fiber.
IPv6 trotz CGNAT
Der 5G-Upstream liefert kein natives IPv6 — und hinter Carrier-NAT gibt es keine eingehende v4-Adresse, an die sich klassisches 6in4 (Protocol 41) zuverlässig hängen ließe. Statt auf IPv6 zu verzichten, holt es sich das Lab nach demselben Prinzip wie alles andere: über einen Ausgang.
Ein WireGuard-Tunnel (rein ausgehendes UDP, damit CGNAT-tauglich) verbindet den Site-Router mit einem Community-IPv6-Broker. Der Broker routet ein eigenes IPv6-Präfix ins Lab; der Router zerlegt es in Segment-Präfixe und verteilt sie per Router Advertisement. Ergebnis: Dual-Stack im LAN — Clients erreichen das IPv6-Internet, ohne dass ein einziger Port von außen offen ist.
Die Trennung bleibt bewusst: Der IPv6-Tunnel ist ein eigener Ausgang für Egress und LAN-Präfixe, nicht der App-Ingress. Öffentliche Erreichbarkeit von Diensten läuft weiter über den identity-aware Edge — bei Dual-Stack zusätzlich per AAAA auf denselben Edge, nicht direkt auf Lab-Adressen.
Was hier bewusst fehlt
Keine WAN-IPs, keine IPv6-Präfixe oder GUAs, keine VLAN-Pläne, keine „so kommst du rein“-Anleitung und keine Liste, welche Apps von außen erreichbar sind. Das Portfolio zeigt das Muster — Betrieb bleibt intern.