|
|
|
@@ -60,7 +60,7 @@ Es gibt **keine künstlichen globalen Zusatznetze** wie `admin_net`, `monitoring
|
|
|
|
|
Postgres, Redis und ähnliche Dienste laufen ausschließlich in `backend_net` oder einem eigenen internen Compose-Netz.
|
|
|
|
|
|
|
|
|
|
### P4 — Admin-UIs sind nicht öffentlich
|
|
|
|
|
Komodo, filebrowser, scrutiny, UptimeKuma, code-server, Traefik-Dashboard, backrest und beszel sind standardmäßig **Tailscale-only** oder hinter Traefik **mit zentraler Middleware** abgesichert.
|
|
|
|
|
Komodo, filebrowser, scrutiny, UptimeKuma, code-server, Traefik-Dashboard, backrest, borg-ui und beszel sind standardmäßig **Tailscale-only** oder hinter Traefik **mit zentraler Middleware** abgesichert.
|
|
|
|
|
|
|
|
|
|
### P5 — Compose-first
|
|
|
|
|
Alle produktiven Container werden als Compose verwaltet. Bestehende Dockerman-/Ad-hoc-Container werden schrittweise migriert.
|
|
|
|
@@ -100,7 +100,7 @@ traefik (80/443)
|
|
|
|
|
│
|
|
|
|
|
└── frontend_net
|
|
|
|
|
├── öffentliche Apps (vaultwarden, mealie, paperless, immich, gitea, ntfy, homepage)
|
|
|
|
|
├── Admin-UIs mit Middleware (komodo, uptime-kuma, filebrowser, scrutiny, code-server, backrest, beszel)
|
|
|
|
|
├── Admin-UIs mit Middleware (komodo, uptime-kuma, filebrowser, scrutiny, code-server, backrest, borg-ui, beszel)
|
|
|
|
|
└── Hybrid-Dienste mit Internetbedarf (mail-archiver, ddns-updater)
|
|
|
|
|
|
|
|
|
|
backend_net (internal: true)
|
|
|
|
@@ -148,6 +148,7 @@ Diese Dienste sind **keine Public Apps**:
|
|
|
|
|
- `code-server` — Traefik + Middleware
|
|
|
|
|
- `beszel` — beszel.kaleschke.info (Middleware ausstehend)
|
|
|
|
|
- `backrest` — Traefik + Middleware
|
|
|
|
|
- `borg-ui` — borg.kaleschke.info (Middleware)
|
|
|
|
|
- `Traefik-Dashboard`
|
|
|
|
|
- `AdGuard Home` — Port 3000 direkt (kein Traefik, nur LAN-Zugang)
|
|
|
|
|
|
|
|
|
@@ -263,6 +264,7 @@ Legende Status:
|
|
|
|
|
| `code-server` | ✅ | `frontend_net` | Traefik + Middleware | `PASSWORD_FILE` aktiv | — |
|
|
|
|
|
| `PortainerCE` | ⚠️ Legacy | `frontend_net` | Traefik + Middleware | wird durch Komodo abgelöst | abschalten Sprint 5 |
|
|
|
|
|
| `filebrowser` | ✅ | `frontend_net` | Traefik + Middleware | aktiv via `files.kaleschke.info` | Mounts einschränken (Block F) |
|
|
|
|
|
| `borg-ui` | 🔄 | `frontend_net` | Traefik + Middleware | Git-Stack für Borg/BorgBase-Backups; Borg UI bündelt Borg-CLI im Container | BorgBase-SSH-Key hinterlegen, erstes Repo initialisieren, Quell-Mounts bei Bedarf gezielt erweitern |
|
|
|
|
|
| `mail-archiver` | ✅ | `frontend_net`, `backend_net` | intern | IMAP-Abruf + DB-Zugang, kein öffentlicher Zugang | — |
|
|
|
|
|
|
|
|
|
|
### 7.6 Monitoring / Status
|
|
|
|
@@ -465,6 +467,7 @@ Dieses Projekt wird **blockweise** umgesetzt, nicht wild containerweise.
|
|
|
|
|
| Sprint 5 | `Plex-Media-Server` Compose-Migration + `PortainerCE` abschalten | ✅ Abgeschlossen |
|
|
|
|
|
| Sprint 6 | Hardening / Secrets / Volumes / Sonderfälle (`immich_default` ✅, Volumes, Mounts, AdGuard Traefik) | ✅ Abgeschlossen |
|
|
|
|
|
| Sprint 7 | `Authelia` SSO/2FA: Compose + Config im Repo, Traefik ForwardAuth Middleware, NAS-seitige Einrichtung | 🔄 In Bearbeitung |
|
|
|
|
|
| Sprint 8 | `borg-ui` Git-Stack + BorgBase Offsite-Backup-Workflow | 🔄 In Bearbeitung |
|
|
|
|
|
|
|
|
|
|
### 11.3 Regel für jede Änderung
|
|
|
|
|
1. Zielbild in diesem Dokument prüfen
|
|
|
|
@@ -553,6 +556,13 @@ Host-Pfade in `env_file` (z.B. `/mnt/...`) sind in Git-Stacks nicht verfügbar.
|
|
|
|
|
|
|
|
|
|
**Regel:** Wenn `_FILE` nicht unterstützt wird → Stack Environment Variable. Kein Secret im Git.
|
|
|
|
|
|
|
|
|
|
### Borg UI / BorgBase (2026-04-12)
|
|
|
|
|
- `borg-ui` läuft als Admin-Dienst in `ops/borg-ui/docker-compose.yml`
|
|
|
|
|
- nur `frontend_net`, weil Web-UI + externer SSH-Zugang zu BorgBase benötigt werden
|
|
|
|
|
- keine direkten Host-Ports; Zugriff ausschließlich via Traefik + Middleware über `borg.kaleschke.info`
|
|
|
|
|
- Mounts bewusst klein gehalten: `/mnt/user/appdata` read-only als erste Backup-Quelle, separates Restore-Ziel unter `/mnt/user/appdata/borg-ui/restore`
|
|
|
|
|
- kein separater Borg-CLI-Container nötig, da Borg UI die Borg-CLI bereits im Container mitbringt
|
|
|
|
|
|
|
|
|
|
| Container | `_FILE` Support |
|
|
|
|
|
|---|---|
|
|
|
|
|
| Vaultwarden | ✅ ja |
|
|
|
|
@@ -581,4 +591,4 @@ Beispiel (Mealie): `mealie` → `frontend_net` + `mealie_mealie_internal`, `meal
|
|
|
|
|
Dieses Dokument ist keine lose Notiz, sondern das **operative Masterdokument** für die Docker- und Zugriffsarchitektur des Homelabs.
|
|
|
|
|
|
|
|
|
|
**Zielbild in einem Satz:**
|
|
|
|
|
`frontend_net` für alle Web-UIs und Dienste mit Internetbedarf, `backend_net` für interne Backends, app-interne Netze nur wenn technisch nötig, Tailscale für Remote-Admin-Zugriff, Traefik als einziger Web-Einstieg (100% Docker-Labels), Komodo als GitOps-Stack-Manager, AdGuard Home + Unbound für DNS, keine produktiven `bridge`-Container mehr.
|
|
|
|
|
`frontend_net` für alle Web-UIs und Dienste mit Internetbedarf, `backend_net` für interne Backends, app-interne Netze nur wenn technisch nötig, Tailscale für Remote-Admin-Zugriff, Traefik als einziger Web-Einstieg (100% Docker-Labels), Komodo als GitOps-Stack-Manager, AdGuard Home + Unbound für DNS, keine produktiven `bridge`-Container mehr.
|
|
|
|
|
