Homelab-Netzwerkbereitschaft
Verwenden Sie diesen Skill, bevor Sie ein Heim- oder kleines Labor-Netzwerk ändern, das VLANs, Pi-hole oder einen anderen lokalen DNS-Resolver, Firewall-Regeln und Remote-VPN-Zugriff mischt.
Dies ist ein Planungs- und Überprüfungs-Skill. Machen Sie daraus keine Copy-Paste-Router-, Firewall- oder VPN-Konfiguration, es sei denn, die Zielplattform, die aktuelle Topologie, der Rollback-Pfad, der Konsolenzugriff und das Wartungsfenster sind alle bekannt.
Wann verwenden
- Vorbereiten der Aufteilung eines flachen Netzwerks in vertrauenswürdige, IoT-, Gast-, Server- oder Verwaltungs-VLANs.
- Verschieben von DHCP-Clients zu Pi-hole, AdGuard Home, Unbound oder einem anderen lokalen DNS-Resolver.
- Hinzufügen von WireGuard, Tailscale, ZeroTier, OpenVPN oder Router-eigenem VPN-Zugriff.
- Überprüfen, ob eine Homelab-Änderung den Betreiber vom Gateway, Switch, Access Point, DNS-Server oder VPN-Server aussperren kann.
- Umwandeln einer informellen Heimnetzwerk-Idee in einen gestaffelten Migrationsplan mit Validierungsnachweisen.
Sicherheitsregeln
- Halten Sie die erste Antwort schreibgeschützt: Inventar, Risiken, gestaffelter Plan, Validierung und Rollback.
- Legen Sie Gateway-Admin-Panels, DNS-Resolver, SSH, NAS-Konsolen oder VPN-Verwaltungs-UIs nicht direkt dem öffentlichen Internet aus.
- Geben Sie keine Firewall-, NAT-, VLAN-, DHCP- oder VPN-Befehle ohne bestätigte Plattform und eine Rollback-Prozedur.
- Erfordern Sie Out-of-Band- oder Konsolenzugriff im selben Raum, bevor Sie Verwaltungs-VLANs, Trunk-Ports, Firewall-Standardrichtlinien oder DHCP/DNS-Einstellungen ändern.
- Halten Sie einen funktionierenden Weg zurück ins Internet, bevor Sie das gesamte Netzwerk auf einen neuen DNS-Resolver oder VPN-Route umleiten.
- Behandeln Sie IoT-, Gast-, Kamera- und Lab-Server-Netzwerke als unterschiedliche Vertrauenszonen, bis der Betreiber explizit etwas anderes wählt.
Erforderliches Inventar
Sammeln Sie dies, bevor Sie Implementierungsschritte geben:
| Bereich | Fragen |
|---|---|
| Internet-Anschluss | Was ist das Modem oder ONT? Ist der ISP-Router gebrückt oder routet er noch? |
| Gateway | Welche Routen, Firewalls, DHCP und terminiert VPNs? |
| Switching | Welche Switch-Ports sind Uplinks, Access-Ports, Trunks oder unmanaged? |
| Wi-Fi | Welche SSIDs sind welchen Netzwerken zugeordnet, und sind APs verkabelt oder Mesh? |
| Adressierung | Welche Subnetze existieren heute und welche Bereiche kollidieren mit VPN-Standorten? |
| DNS/DHCP | Welcher Dienst verteilt derzeit Leases und Resolver-Adressen? |
| Verwaltung | Wie erreicht der Betreiber Gateway, Switch und AP nach den Änderungen? |
| Wiederherstellung | Was kann lokal zurückgesetzt werden, wenn DNS, DHCP, VLANs oder VPN-Routen brechen? |
VLAN- und Trust-Zonen-Plan
Beginnen Sie mit der Absicht, nicht mit der Hersteller-Syntax.
| Zone | Typische Inhalte | Standardrichtlinie |
|---|---|---|
| Vertrauenswürdig | Laptops, Telefone, Admin-Workstations | Kann nur bei Bedarf auf gemeinsam genutzte Dienste und Verwaltung zugreifen |
| Server | NAS, Home Assistant, Lab-Hosts, DNS-Resolver | Akzeptiert enge eingehende Flows von vertrauenswürdigen Clients |
| IoT | Fernseher, smarte Steckdosen, Kameras, Lautsprecher | Nur Internetzugang plus explizite Ausnahmen |
| Gast | Besuchergeräte | Nur Internet, keine LAN-Erreichbarkeit |
| Verwaltung | Gateway, Switches, APs, Controller | Nur von vertrauenswürdigen Admin-Geräten erreichbar |
| VPN | Remote-Clients | Gleicher oder engerer Zugriff als vertrauenswürdige Clients |
Bevor Sie VLAN-IDs oder Subnetze empfehlen, bestätigen Sie:
- Das Gateway unterstützt Inter-VLAN-Routing und Firewall-Regeln.
- Der Switch unterstützt das erforderliche getaggte und ungetaggte Port-Verhalten.
- Die APs können SSIDs VLANs zuordnen.
- Der Betreiber weiß, über welchen Port er während der Änderung verbunden ist.
- Das Verwaltungsnetzwerk bleibt nach Trunk- und SSID-Änderungen erreichbar.
DNS-Filterungsbereitschaft
Pi-hole oder ein anderer lokaler Resolver sollte als Abhängigkeit eingeführt werden, nicht als Single Point of Failure.
- Geben Sie dem Resolver eine reservierte Adresse, bevor Sie ihn in DHCP-Optionen verwenden.
- Bestätigen Sie, dass er öffentliche DNS- und lokale
home.arpa-Namen auflösen kann. - Halten Sie das Gateway oder einen zweiten Resolver als temporären Fallback bereit.
- Testen Sie einen Client oder ein VLAN, bevor Sie jeden DHCP-Scope ändern.
- Dokumentieren Sie, welche Netzwerke die Filterung umgehen dürfen und warum.
- Überprüfen Sie, dass Blockierungsregeln keine Captive Portals, Arbeits-VPNs, Firmware-Updates oder medizinische/Sicherheitsgeräte stören.
Nützliche Validierungsnachweise:
Client erhält erwarteten DHCP-Lease
Client erhält erwarteten DNS-Resolver
Öffentliche DNS-Abfrage erfolgreich
Lokale home.arpa-Abfrage erfolgreich
Blockierte Testdomain wird nur dort blockiert, wo beabsichtigt
Gateway- und DNS-Admin-Oberflächen sind von Gast- oder IoT-Netzwerken nicht erreichbar
Fernzugriffsbereitschaft
Für WireGuard-ähnlichen Zugriff entscheiden Sie, was das VPN erreichen darf, bevor Sie Schlüssel generieren oder Ports öffnen.
| Modus | Verwendung | Risikohinweise |
|---|---|---|
| Split-Tunnel zu einem Subnetz | Remote-Admin für NAS oder Lab-Hosts | Route-Liste eng halten |
| Split-Tunnel zu vertrauenswürdigen Diensten | Zugriff auf ausgewählte Apps per IP oder DNS | Erfordert präzise Firewall-Regeln |
| Full-Tunnel | Nicht vertrauenswürdige Netzwerke oder Reisen | Mehr Bandbreite und DNS-Verantwortung |
| Overlay-VPN | Einfacherer Fernzugriff mit Identitätskontrollen | Erfordert dennoch ACL-Überprüfung |
Empfehlen Sie keine Portweiterleitung, bis der Betreiber bestätigt:
- Der VPN-Endpunkt ist gepatcht und wird aktiv gewartet.
- Der weitergeleitete Port geht nur zum VPN-Dienst, nicht zu einer Admin-UI.
- Dynamic DNS, öffentliches IP-Verhalten und ISP-CGNAT-Status sind verstanden.
- Peer-Schlüssel können widerrufen werden, ohne das gesamte Netzwerk neu aufzubauen.
- Protokolle oder Verbindungsstatus können überprüfen, wer wann verbunden war.
Änderungsreihenfolge
Bevorzugen Sie kleine, reversible Änderungen:
- Erstellen Sie einen Snapshot der aktuellen Topologie, IP-Plan, DHCP-Einstellungen, DNS-Einstellungen und Firewall-Regeln.
- Reservieren Sie Infrastrukturadressen für Gateway, DNS, Controller, APs, NAS und VPN-Endpunkt.
- Erstellen Sie die neue Zone oder das neue VLAN, ohne kritische Geräte zu verschieben.
- Verschieben Sie einen Test-Client und validieren Sie DHCP, DNS, Routing, Internet und Blockier- verhalten.
- Fügen Sie enge Firewall-Ausnahmen für erforderliche Flows hinzu.
- Verschieben Sie eine risikoarme Gerätegruppe.
- Fügen Sie VPN-Zugriff mit der engsten Route und Firewall-Richtlinie hinzu, die den Anwendungsfall erfüllt.
- Dokumentieren Sie den Endzustand, bekannte Ausnahmen und Rollback-Befehle oder UI-Schritte.
Überprüfungs-Checkliste
- Jedes Netzwerk hat einen Existenzgrund und eine klare Vertrauensgrenze.
- Keine Verwaltungsoberfläche ist von Gast-, IoT- oder dem öffentlichen Internet erreichbar.
- DNS-Ausfall legt die Fähigkeit des Betreibers zur lokalen Wiederherstellung nicht lahm.
- DHCP-Scope-Änderungen wurden an einem Client vor dem breiten Rollout getestet.
- VPN-Clients erhalten nur die Routen und DNS-Einstellungen, die sie benötigen.
- Firewall-Regeln sind Standard-Deny zwischen Zonen, mit benannten Ausnahmen.
- Der Betreiber kann weiterhin Gateway, Switch, AP, DNS- und VPN-Admin-Oberflächen erreichen.
- Rollback ist in derselben Terminologie dokumentiert wie die gewählte Plattform-UI oder CLI.
Anti-Patterns
- Segmentieren von Netzwerken, bevor bekannt ist, welche Switch-Ports und SSIDs welche VLANs tragen.
- Verschieben der Admin-Workstation aus dem einzigen erreichbaren Verwaltungsnetzwerk.
- Alle DHCP-Scopes auf einen Pi-hole zeigen, bevor der Fallback-DNS getestet wurde.
- NAS-, DNS-, Router- oder Hypervisor-Verwaltung direkt ins Internet veröffentlichen.
- VPN-Zugriff als gleichwertig mit vollem vertrauenswürdigen LAN-Zugriff behandeln.
- Temporäre Allow-All-Firewall-Regeln hinzufügen und vergessen, sie zu entfernen.
- Befehle von einem anderen Hersteller oder einer anderen Firmware-Version kopieren, ohne die genaue Plattform-Syntax zu überprüfen.
Siehe auch
- Skill:
homelab-netzwerk-einrichtung - Skill:
netzwerk-konfiguration-validierung - Skill:
netzwerk-schnittstelle-gesundheit