Homelab Network Readiness
Verwenden Sie diesen Skill, bevor Sie ein Heim- oder Kleinlabornetzwerk ändern, das VLANs, Pi-hole oder einen anderen lokalen DNS-Resolver, Firewall-Regeln und Remote-VPN-Zugriff kombiniert.
Dies ist ein Planungs- und Überprüfungs-Skill. Machen Sie daraus keine Copy-Paste-Router-, Firewall- oder VPN-Konfiguration, es sei denn, die Zielplattform, die aktuelle Topologie, der Rollback-Pfad, der Konsolenzugriff und das Wartungsfenster sind alle bekannt.
Wann verwenden
- Vorbereitung zur Aufteilung eines flachen Netzwerks in vertrauenswürdige, IoT-, Gast-, Server- oder Verwaltungs-VLANs.
- Umstellung von DHCP-Clients auf Pi-hole, AdGuard Home, Unbound oder einen anderen lokalen DNS-Resolver.
- Hinzufügen von WireGuard, Tailscale, ZeroTier, OpenVPN oder routereigenem VPN-Zugriff.
- Überprüfung, ob eine Homelab-Änderung den Betreiber vom Gateway, Switch, Access Point, DNS-Server oder VPN-Server aussperren kann.
- Umwandlung einer informellen Heimnetzwerk-Idee in einen abgestuften Migrationsplan mit Validierungsnachweisen.
Sicherheitsregeln
- Behalten Sie die erste Antwort als read-only bei: Inventar, Risiken, abgestufter Plan, Validierung und Rollback.
- Setzen Sie Gateway-Admin-Panels, DNS-Resolver, SSH, NAS-Konsolen oder VPN-Verwaltungs-UIs nicht direkt dem öffentlichen Internet aus.
- Geben Sie keine Firewall-, NAT-, VLAN-, DHCP- oder VPN-Befehle ohne bestätigte Plattform und ein Rollback-Verfahren.
- Fordern Sie Out-of-Band- oder Konsolenzugriff im selben Raum, bevor Sie Verwaltungs-VLANs, Trunk-Ports, Firewall-Standardrichtlinien oder DHCP-/DNS-Einstellungen ändern.
- Behalten Sie einen funktionierenden Weg zurück ins Internet, bevor Sie das gesamte Netzwerk auf einen neuen DNS-Resolver oder eine VPN-Route umstellen.
- Behandeln Sie IoT-, Gast-, Kamera- und Lab-Server-Netzwerke als unterschiedliche Vertrauenszonen, bis der Betreiber ausdrücklich anders entscheidet.
Erforderliches Inventar
Sammeln Sie dies, bevor Sie Implementierungsschritte geben:
| Bereich | Fragen |
|---|---|
| Internet-Anschluss | Was ist das Modem oder ONT? Ist der ISP-Router gebridged oder routet er noch? |
| Gateway | Welche Routen, Firewalls, verwaltet DHCP und terminiert VPNs? |
| Switching | Welche Switch-Ports sind Uplinks, Access-Ports, Trunks oder unmanaged? |
| WLAN | Welche SSIDs sind welchen Netzwerken zugeordnet, und sind die APs verkabelt oder Mesh? |
| Adressierung | Welche Subnetze existieren heute, und welche Bereiche überschneiden sich mit VPN-Standorten? |
| DNS/DHCP | Welcher Dienst vergibt aktuell Leases und Resolver-Adressen? |
| Verwaltung | Wie erreicht der Betreiber nach den Änderungen Gateway, Switch und AP? |
| Wiederherstellung | Was kann lokal rückgängig gemacht werden, wenn DNS, DHCP, VLANs oder VPN-Routen brechen? |
VLAN- und Vertrauenszonen-Plan
Beginnen Sie mit der Absicht, nicht mit der Herstellersyntax.
| Zone | Typische Inhalte | Standardrichtlinie |
|---|---|---|
| Vertrauenswürdig | Laptops, Telefone, Admin-Workstations | Kann nur bei Bedarf auf gemeinsame Dienste und Verwaltung zugreifen |
| Server | NAS, Home Assistant, Lab-Hosts, DNS-Resolver | Akzeptiert enge eingehende Flows von vertrauenswürdigen Clients |
| IoT | Fernseher, Smart Plugs, Kameras, Lautsprecher | Nur Internetzugang plus explizite Ausnahmen |
| Gast | Besuchergeräte | Nur Internet, keine LAN-Erreichbarkeit |
| Verwaltung | Gateway, Switches, APs, Controller | Nur von vertrauenswürdigen Admin-Geräten erreichbar |
| VPN | Remote-Clients | Gleicher oder engerer Zugriff als vertrauenswürdige Clients |
Bevor Sie VLAN-IDs oder Subnetze empfehlen, bestätigen Sie:
- Das Gateway unterstützt Inter-VLAN-Routing und Firewall-Regeln.
- Der Switch unterstützt das erforderliche getaggte und ungetaggte Port-Verhalten.
- Die APs können SSIDs VLANs zuordnen.
- Der Betreiber weiß, über welchen Port er während der Änderung verbunden ist.
- Das Verwaltungsnetzwerk bleibt nach Trunk- und SSID-Änderungen erreichbar.
DNS-Filtering-Bereitschaft
Pi-hole oder ein anderer lokaler Resolver sollte als Abhängigkeit eingeführt werden, nicht als Single Point of Failure.
- Geben Sie dem Resolver eine reservierte Adresse, bevor Sie ihn in DHCP-Optionen verwenden.
- Bestätigen Sie, dass er öffentliche DNS- und lokale
home.arpa-Namen auflösen kann. - Halten Sie das Gateway oder einen zweiten Resolver als temporären Fallback bereit.
- Testen Sie einen Client oder ein VLAN, bevor Sie jeden DHCP-Scope ändern.
- Dokumentieren Sie, welche Netzwerke das Filtering umgehen dürfen und warum.
- Überprüfen Sie, dass Blockierregeln keine Captive Portals, Firmware-Updates, Arbeits-VPNs oder medizinische/Sicherheitsgeräte beeinträchtigen.
Nützliche Validierungsnachweise:
Client erhält erwarteten DHCP-Lease
Client erhält erwarteten DNS-Resolver
Öffentliche DNS-Abfrage erfolgreich
Lokale home.arpa-Abfrage erfolgreich
Blockierte Testdomain wird nur dort blockiert, wo beabsichtigt
Gateway- und DNS-Admin-Oberflächen sind von Gast- oder IoT-Netzwerken nicht erreichbar
Remotezugriffs-Bereitschaft
Für WireGuard-ähnlichen Zugriff entscheiden Sie, was das VPN erreichen darf, bevor Sie Schlüssel generieren oder Ports öffnen.
| Modus | Verwendung, wenn | Risikohinweise |
|---|---|---|
| Split Tunnel zu einem Subnetz | Remote-Admin für NAS oder Lab-Hosts | Route-Liste eng halten |
| Split Tunnel zu vertrauenswürdigen Diensten | Zugriff auf ausgewählte Apps per IP oder DNS | Erfordert präzise Firewall-Regeln |
| Full Tunnel | Nicht vertrauenswürdige Netzwerke oder Reisen | Mehr Bandbreite und DNS-Verantwortung |
| Overlay VPN | Einfacherer Remotezugriff mit Identitätskontrollen | Erfordert dennoch ACL-Überprüfung |
Empfehlen Sie kein Portforwarding, bis der Betreiber bestätigt:
- Der VPN-Endpunkt ist gepatcht und wird aktiv gewartet.
- Der weitergeleitete Port geht nur zum VPN-Dienst, nicht zu einer Admin-UI.
- Dynamic DNS, öffentliches IP-Verhalten und ISP-CGNAT-Status sind bekannt.
- Peerschlüssel können widerrufen werden, ohne das gesamte Netzwerk neu aufzubauen.
- Logs oder Verbindungsstatus können verifizieren, wer wann verbunden war.
Änderungsreihenfolge
Bevorzugen Sie kleine, reversible Änderungen:
- Erstellen Sie einen Snapshot der aktuellen Topologie, des IP-Plans, der DHCP-Einstellungen, der DNS-Einstellungen und der Firewall-Regeln.
- Reservieren Sie Infrastrukturadressen für Gateway, DNS, Controller, APs, NAS und VPN-Endpunkt.
- Erstellen Sie die neue Zone oder das neue VLAN, ohne kritische Geräte zu verschieben.
- Verschieben Sie einen Testclient und validieren Sie DHCP, DNS, Routing, Internet und Blockierverhalten.
- Fügen Sie enge Firewall-Ausnahmen für erforderliche Flows hinzu.
- Verschieben Sie eine risikoarme Gerätegruppe.
- Fügen Sie VPN-Zugriff mit der engsten Route und Firewall-Richtlinie hinzu, die den Anwendungsfall erfüllt.
- Dokumentieren Sie den Endzustand, bekannte Ausnahmen und Rollback-Befehle oder UI-Schritte.
Überprüfungs-Checkliste
- Jedes Netzwerk hat einen Existenzgrund und eine klare Vertrauensgrenze.
- Keine Verwaltungsoberfläche ist von Gast, IoT oder dem öffentlichen Internet erreichbar.
- DNS-Ausfall nimmt dem Betreiber nicht die Fähigkeit, lokal wiederherzustellen.
- DHCP-Scope-Änderungen wurden vor der breiten Ausrollung an einem Client getestet.
- VPN-Clients erhalten nur die Routen und DNS-Einstellungen, die sie benötigen.
- Firewall-Regeln sind zwischen Zonen standardmäßig verweigernd, mit benannten Ausnahmen.
- Der Betreiber kann weiterhin Gateway, Switch, AP, DNS- und VPN-Admin-Oberflächen erreichen.
- Rollback ist im selben Vokabular wie die gewählte Plattform-UI oder CLI dokumentiert.
Anti-Patterns
- Netzwerke segmentieren, bevor bekannt ist, welche Switch-Ports und SSIDs welche VLANs tragen.
- Die Admin-Workstation vom einzigen erreichbaren Verwaltungsnetzwerk entfernen.
- Alle DHCP-Scopes auf einen Pi-hole zeigen, bevor der Fallback-DNS getestet wurde.
- NAS, DNS, Router oder Hypervisor-Verwaltung direkt ins Internet veröffentlichen.
- VPN-Zugriff als gleichwertig zum vollständigen vertrauenswürdigen LAN-Zugriff behandeln.
- Temporäre Allow-All-Firewall-Regeln hinzufügen und vergessen, sie zu entfernen.
- Befehle von einem anderen Hersteller oder einer anderen Firmware-Version kopieren, ohne die genaue Plattformsyntax zu überprüfen.
Siehe auch
- Skill:
homelab-network-setup - Skill:
network-config-validation - Skill:
network-interface-health