Netzwerkaufbau für Homeassistant und Fernzugriff

[selfmade01]

Hallo
bin gerade beim Konfigurieren eines Raspberry Pi 4 in meinem Heim-Netzwerk auf dem u.a. Homeassistant mit einem Mqtt-Broker (inkl. der Verwaltungssoftware wie Node-Red grafana etc) läuft und der auch als Accespoint für die Mobilgeräte im Lan_Bereich dienen soll .
Siehe Zeichnung
Da ich als Router/Accespoint-Software auf dem Raspi auch raspAp installiert habe möchte ich nun das Netzwerks so konfigurieren das ich es via iptables gut im Griff habe was Sicherheit und Zugriffe angeht.

Dabei frage ich mich wie man solche Dienste wie HA, Portainer, Nginx-Proxy.Manager etc. am besten erreichbar macht.
Nach meiner raspAp Standardinstallation hat diese Software wohl den lokalen IP-Wlan-Bereich mit den Adressen 10.3.141.0/24 so konfiguriert das HA & Co nur noch auf die IP-Adressen 192.168.2.0/24 lauschen.

wäre das von der Logik her ok?
Wie würdet ihr so ein Netz konfigurieren?
Ich dachte an einen Lan-Bereich der hauptsächlich aus seinem Wife-Accespoint besteht
und einer DMZ die dann aus denn Diensten besteht die aus dem Internet erreichbar sein sollen


Mir geht es auch um den Zugriff vom Lan also mit dem IP-Adressbereich 10.3.141.0/24...auf die HA-&-Co-Software
Aktuell habe ich noch eine WS hier stehen die mit einer LAN-Karte (IP-Adresse 192.168.2.x/24 DHCP-Client) als auch mit einer Wlan-Karte IP=10.3.141.x/24 (Wife-DHCP-Client) ausgestattet ist (das möchte ich noch ändern so dass ich nur noch vom 10.3.141.0/24 Netzwerk aus zugreifen kann)
Einen zusätzlichen Lan-Accespoint habe ich auch noch (der steht im 10.3.141.0/24 netzwerk).
Der soll so eingerichtet werden das meine im Heimnetzwerk befindlichen Lan-Geräte auch auf die Wlan-Adresse des Raspberry zugreifen können..

Zum Internet hin habe ich eine Fritzbox 7490. Dort nutze ich auch myfritz so dass ich den Fritz-Dyndns Dienst verwende.
Im Internet habe ich 1 Domain registriert mit der ich dann auf gehostete Seiten und Dienste die auf dem Raspberry Pi laufen zugreifen kann.

Nutzt man hier nun die Fritz-Firewall oder ist es ratsamer die Iptables vom Raspi zu nutzen und dass man auch z.B. das Wlan von der Fritzbox abschaltet so dass der Raspberry eigentlich alles macht?

Die Idee dahinter ist auch folgende:
Der Raspberry wird hier in Deutschland vor konfiguriert mit all seinen Diensten, Sensoren und Schaltern für HA & Co.
Später soll er dann im Ausland eingesetzt werden. Dort bekomme ich für ein paar Euro/Monat eine Uploadgeschwindigkeit die wir hier in D nicht mal als Download haben . Das Haus dort soll von D aus dann managebar und überwachbar sein.


Vielen Dank schon mal für alle Tips

 

[derchris]

Nicht, dass ich alles zu 100% verstanden hätte, was du vor hast.

Du hast mehrere Möglichkeiten.

1. VPN (wg-easy auf dem Pi?) - dann auf das ganze Netzwerk Zugriff
2. Cloudflare Tunnel auf dem Pi - nur gewisse Dienste freigeben
3. DMZ ... puh, eher dann Option 1 oder 2.

 

[selfmade01]

1. VPN (wg-easy auf dem Pi?) - dann auf das ganze Netzwerk Zugriff
2. Cloudflare Tunnel auf dem Pi - nur gewisse Dienste freigeben
3. DMZ ... puh, eher dann Option 1 oder 2.

Danke

aha, es wird also wohl meist so genutzt das man bei solchen System nur einen Tunnel installiert, gibt diesen frei und mehr aber auch nicht. So kann dann die smarthome-app auf dem handy auch diesen Tunnel nutzen...

Da ich noch eine kleine öffentliche Webseite am Raspi hosten möchte, könnnte ich so ja den normalen http-verkehr mit einer simplen iptables konfigurieren

richtig so?

 

[derchris]

Da ich noch eine kleine öffentliche Webseite am Raspi hosten möchte, könnnte ich so ja den normalen http-verkehr mit einer simplen iptables konfigurieren

kannst du eigentlich "alles" mit der Option 2 machen.
Die Domain auf Cloudflare DNS umziehen lassen. den Pi wireguard Tunnel aufbauen lassen und dann "subdomains" konfigurieren.

www -> interneIP:80
homeassistant -> interneIP:8123
wasauchimmer -> interneIP:12345
...

 

[selfmade01]

kannst du eigentlich "alles" mit der Option 2 machen.
Die Domain auf Cloudflare DNS umziehen lassen. den Pi wireguard Tunnel aufbauen lassen und dann "subdomains" konfigurieren.

Genau so wie du das beschreibst habe ich das soeben in einem youtube-video sehen können.
Der hat dort auch seine subdomains konfiguriert. Beim Domain-Provider hinngegen hat er nur die DNS-Servereinträge auf die Cloudfare-DNS-Server gelenkt.

Das bedeutet dann wohl das alle anfragen auf <mainedomain>.de und dort dann zu den subdomains via Tunnel geroutet werden...

Wie macht man das dann mit einer öffentlich gehosteten Webseite die auf dem lokalen Raspi läuft?
wird die auch , unsichtbar dann für den User, im Cloudfare-Tunnel geroutet?
Macht man das mit seinen eigenen mailserver dann auch so?
Zumindest wenn ich mir meinen eigen smtp und po3 server aufsetzen möchte

Wenn dem so ist, dann bräuchte ich ja gar kein myfritz-routing etc... das kann man ja dann tatsächlich alles über cloudflare handeln... wie coooool...
aber wer weiss wie lange das noch kostenlos ist ...mmmhhh.. seine Bankverbindung muss man ja schon vorausschauend mit angeben

 

[derchris]

Von einem eigenen Mailserver würde ich persönlich die Finger lassen.

Gute Frage, ich würde vermuten, dass diese entry level Geschichten kostenlos bleiben ...

 

[selfmade01]

Von einem eigenen Mailserver würde ich persönlich die Finger lassen.

vor ca 20 Jahren war das mal mein job postfix, courier & co aufzusetzen.
Jetzt im Ruhestand wollte ich mal wieder damit etwas "spielen" hauptsächlich ist wegen dem Hobby und weil ich die alten Bücher vor kurzem wieder gefunden habe... habe leider viel vergessen was nun wiederbelebt werden soll.
Und da kam mir die Hass-Lösung für unser kleines Häuschen im Ausland gelegen... dort soll dann der Raspi seinen Dienst machen ... mal sehen ob er noch die Kraft hat einige Kameras mit zu handeln...
Die Mailserverlösung würde also nur für die Mails privaten Mails dienen die also in der Familie versendet werden... was dann wichtiger ist wird weiter von google&co verwaltet