Aufbau Heimnetz NAS/Backup/Remote, sowie weitere Software

[G_Tonic]

Hallo zusammen, ich will ein Heimnetzwerk aufbauen und hoffe, dass die Community mich unterstützen kann, ob meine Idee so umsetzbar ist. Hier sind mehrere verschiedene Themen, wenn ich es in verschiedene Unterforen aufteilen soll, so bitte mir schreiben.

Ich habe einen Server (Sharkoon QB One, AMD Ryzen 3600, 16 GB RAM) zusammengebaut. Ich will diesen Server für NAS, Backup, Paperless und ich werde möglicherweise für Remote-Arbeit(Linux) nutzen.
Die Distribution bzw. die Software soll auf einer NVMe liegen.
Für die NAS ist eine 2 TB SSD vorgesehen, dort werden Fotos und Videos gespeichert und im privaten Netzwerk, sowie per VPN der Zugriff aus dem Internet erfolgen.
Das Backup soll auf einer 8 TB HDD abgespeichert werden. Zusätzlich wird für das Backup eine externe HDD verwendet, hier soll automatisch beim einstecken in den Server die HDD gespiegelt werden. Angedacht sind mindestens 2 Komplett-Backups, sowie der Backup bestimmter Ordner. Wichtige Dateien und co. würde ich auch noch verschlüsselt in der Cloud ablegen.
Da ich ich per Kabel ins Internet gehe wird die geliehene Fritzbox als Modem genutzt. Ich habe mir auch einen HP T740 Thin Client (AMD Ryzen, 8 GB RAM) mit einer 4 Lan Port PCIe-Karte gekauft, auf welcher ich PFsense installieren will. Diesen Server will ich auch nutzen um VLAN aufzubauen.
Ich habe ein weiteres Fritzbox, welche ich als WLAN-Router nutzen will. Per WLAN werden mein Computer, ein Laptop, Handys, Tablets und co. mit dem Netzwerk verbunden.
Somit ergibt sich folgendes Bild:
Internet-Modem-Thin Client(PFsense)- Parallel angeschlossen an Thin Client: Modem, WLAN Router, Server.
Mein Fragen sind:
1. Ist es so wie angedacht möglich und auch sinnvoll umzusetzen?
2. Welche Software OMV/Unraid/ Proxmox/ Docker bzw. was komplett anderes, soll ich für Server und den Thin Client nutzen?(Bin hier Anfänger).
3. Ich weiß, dass der Server durch die dedizierte Grafikkarte nicht optimal ist und der Stromverbrauch nicht so niedrig ist, jedoch hatte ich schon Komponenten hier herum liegen. Deswegen sehe es hier als eine Möglichkeit mich mit verschiedenen Themen zu befassen.

Ich danke im Voraus für die Hilfe

 

[Methylherd]

Was mir bei Remote Zugriff und Kabelinternet direkt einfällt, ist Dualstack/CGNat. Also keine öffentliche IPV4. Dann muss der Zugriff von außen via IPV6 erfolgen, das ist auch 2025 nicht immer trival einzurichten wie ich erst kürzlich gemerkt habe.

Zu 3. Die Grafikkarte kann ja nach der (Basis) Installation raus, da dann alles weitere Remote erledigt werden kann.

 

[Renegade334]

Zu 3. Die Grafikkarte kann ja nach der (Basis) Installation raus, da dann alles weitere Remote erledigt werden kann.

Aber nur, wenn das Board beim Headless Betrieb nicht wegen fehlender GPU den Boot verweigert
Ansonsten kann man die aber gut an eine VM durchreichen, was z.B. das Arbeiten per Remote angenehmer macht. Software GPU hakelt bei Videos und manchen Anwendungen etwas, auch wenn eigentlich nur grundlegende Funktionen gebraucht werden.

Backup hört sich erstmal halbwegs solide an.

Umsetzen kann man das ganze so wie du es willst. Mit der PFSense hinter deinem Router hast du allerdings Doppel-NAT. Getrennte Netze zum testen sind nett, aber theoretisch bräuchtest du das nicht.

Auf dem Server installierst du einen Hypervisor deiner Wahl und kannst dann deine VMs entweder direkt in dein LAN lassen (nach deiner Planung dann hinter der PFSense), oder über ein internes, virtuelles Netzwerk routen. Du könntest die PFSense auch virtuell betreiben und den Zugriff auf dein Netzwerk nur der PFSense VM geben, damit alle anderen darüber routen müssen. Mit weiteren Netzwerkkarten (oder VLAN Gefrickel auf einem einzelnen Adapter) kannst du den Rest anbinden.

VPN von außen kannst du über die PFSense machen, aber theoretisch ist es einfacher das über die FritzBox mit Wireguard zu regeln. Die kann dir auch bei einem DynDNS Anbieter deiner Wahl deine IPv6 registrieren. PFSense kann das auch, aber da dauert es bei jedem Prefix Wechsel etwas, bis die neue Adresse registriert wird, während deine Haupt FritzBox den Wechsel immer sofort mitbekommt und die neue Adresse registrieren kann. Wenn man sich etwas Mühe gibt, kann man mit PFSense und FritzBox ein komplettes Dualstack Netz betreiben, inklusive Prefix Delegierung für jedes VLAN mit öffentlich Routbaren (aber durch Firewall gefilterten) Adressen.

Bis letztes Jahr hatte ich ein ähnliches Setup, habe aber meine VLANs seitdem durch 2 physisch getrennte Netze ersetzt, da im Prinzip nachher eh nur ~5 Geräte pro VLAN existierten.
Jetzt habe ich nur noch Heimnetz ("DMZ", normales Netz der FritzBox), Labornetz hinter OPNSense und ein Gäste WLAN.

Bei deiner Planung mit der zusätzlichen FritzBox als WLAN AP kannst du leider kein Mesh oder ähnliches mit deiner Haupt FritzBox machen. Dafür kannst du immerhin 2 Netze mit der extra FritzBox verwalten (Gäste-WLAN kannst du über Port 4 in ein eigenes VLAN packen).


Die Frage ist aber, was genau du mit deinem Setup erreichen oder testen willst. Manchmal ist weniger mehr

 

[Methylherd]

theoretisch ist es einfacher das über die FritzBox mit Wireguard zu regeln.

Ohne öffentliche IPV4 leider nicht. Zwar kann Wireguard IPV6, aber scheinbar nicht ohne weiteres auf der Fritzbox.
Falls jmd. dazu eine einfache Lösung hat, ich bin interessiert 😁

 

[RealQuality]

Ist das die Lösung?
ipv64

 

[Renegade334]

Ich muss zugeben, dass ich WireGuard bisher nur über die OPNSense und Windows genutzt habe.
Aber eigentlich muss in der Config des Clients nur der DynDNS Eintrag als Endpoint hinterlegt sein. In der FRITZ!Box muss man dann darauf achten, dass die nicht versucht, ihre IPv4 zu hinterlegen. Bei meinem Anbieter konnte ich das über die URL festlegen.

//edit:
Wobei ich mir gerade sicher bin, dass ich vor längerer Zeit ein Site-To-Site VPN mit der FRITZ!Box eines Bekannten bei Vodafone hergestellt hatte, der ausschließlich IPv6 konnte.
Allerdings war auf meiner Seite komplett Dualstack möglich.

 

[Methylherd]

Allerdings war auf meiner Seite komplett Dualstack möglich.

In dem Fall einfach, Verbindung zu einer öffentlichen IPV4 geht ja 😉
Die Fritzboxen bauen den Wireguard Tunnel über IPV4 auf, ich habe etwas gesucht aber keine Möglichkeit gefunden. AVM ist damit auch nicht alleine, auch Ubiquiti hat in dem Punkt miesen Support ( ist aber besser zugänglich um sich zu helfen).

Ergänzung (19. August 2025)

Ist das die Lösung?
ipv64

Hab's nur kurz überflogen, schaut interessant aus.
Mich stört es allerdings, das ich mich abhängig von fremden Diensten machen muss um eine Verbindung ins eigene Netz aufzubauen 🙃. Aber 6zu4 Tunnel sind eine Lösung, ja.

 

[G_Tonic]

Danke schon mal für die Antworten. Ich habe erst vor kurzem angefangen mich mit den Themen VM, NAS und co. aussereinander zu setzen.

@Renegade334
Meine ursprüngliche Idee war es PfSense, OMV, sowie andere Programme als Containern bzw. VM auf dem selbstgebauten Server laufen zu lassen. Doch nach dem Einlesen hier im Forum, musste ich meinen Plan ändern dem Hardwarebestand eben zusätzlich einen Thin Client für PFSense hinzufügen. Dann wurde geraten, dass man ein VLAN Netzwerk aufbaut, um Sicherheit gegenüber Hackern zu erhöhen.

Das Thema Remote-Arbeit ist nebensächlich und wenn schwer zu realisierbar, dann verwerfe ich es.

Edit 1:
Backup: Ich habe vor, wichtige Dateien auf eine M-Disk zu brennen und diese, sowie zusätzlich eine weitere externe Festplatte an einem anderen Ort aufzubwahren. Somit hätte ich die empfohlene 3-2-1-Strategie erfüllt.

 

[Renegade334]

In dem Fall einfach, Verbindung zu einer öffentlichen IPV4 geht ja 😉
Die Fritzboxen bauen den Wireguard Tunnel über IPV4 auf, ich habe etwas gesucht aber keine Möglichkeit gefunden.

Ich habe gerade noch einmal nachgeschaut. Sobald im DynDNS IPv4 ist, bevorzugt die FritzBox das. Sobald nur AAAA für IPv6 hinterlegt ist, funktioniert alles wie erwartet. Da muss nichts mehr extra konfiguriert werden, auch ohne DualStack.

Meine ursprüngliche Idee war es PfSense, OMV, sowie andere Programme als Containern bzw. VM auf dem selbstgebauten Server laufen zu lassen. Doch nach dem Einlesen hier im Forum, musste ich meinen Plan ändern dem Hardwarebestand eben zusätzlich einen Thin Client für PFSense hinzufügen. Dann wurde geraten, dass man ein VLAN Netzwerk aufbaut, um Sicherheit gegenüber Hackern zu erhöhen.

Ah ok. Physische Firewall getrennt vom Hypervisor ist in Bezug auf Ausfallsicherheit und IT Sicherheit die bessere Lösung, aber streng genommen nicht notwendig. Alles virtuell würde für viele Heimumgebungen ausreichen.
Bei den VLANs kommt es auch etwas darauf an, wie weit du unterteilen möchtest. Dein zusätzlicher WLAN AP (FritzBox) braucht z.B. kein VLAN, wenn er an einem dedizierten Port der PFSense hängt. Das ist dann schon getrennt und nur über die PFSense als Router erreichbar. Für die FritzBox ist das eh irrelevant, da die keine VLANs versteht und alles in dem Netz ohne VLAN laufen würde. Erst an der Firewall könntest du die Pakete taggen.

Im Prinzip wird das eine schöne Test-/Bastellösung an der man viel üben kann, aber eigentlich ist es Overkill.
Gereicht hätte 1 Server mit mindestens 2 Netzwerkports und für Spielereien mit VLANs noch 1 kleiner Switch der VLANs kann, über den man dann Geräte über Trunk mit dem Server verbinden kann.
VMs können intern in einem eigenen Netz kommunizieren und alles was außerhalb ist kann man über die 2 Ports (WAN zur Haupt FB/Modem, LAN zum internen Netz und der WLAN AP FritzBox) lösen.

Remote Arbeit ist kein Problem. Eine Linux oder Windows VM der man die GPU geben könnte (nicht muss, Software reicht für das meiste auch) und Zugriff von außen über dein VPN mit SSH, RDP, X-Forwarding oder VNC reicht völlig.