Projekte

🏠 Linux-Infrastruktur im Eigenbetrieb

Zwei Debian-Server (Raspberry Pi 4) im 24/7-Betrieb. Ziel: Dienste sicher aus dem Internet erreichbar machen, ohne einen einzigen Port am Router zu öffnen – und den Betrieb so absichern, dass ein Ausfall auffällt und sich beheben lässt. Diese Website läuft auf dieser Infrastruktur.

Aufbau

• Dienste: Webserver (nginx), Passwort-Manager (Vaultwarden), DNS-Filter (AdGuard Home), Datei-Freigabe, Monitoring (Uptime Kuma, Netdata) – alle als Docker-Container, verwaltet mit Compose und Portainer.
• Erreichbarkeit: Veröffentlichung über Cloudflare Tunnel (Zero Trust) statt Portweiterleitung; Fernwartung über Tailscale mit Subnet-Router ins Heimnetz.
• Zweiter Server: übernimmt Monitoring und nimmt die Backups des ersten Servers entgegen.

Sicherheit

• SSH nur mit Schlüssel, Passwort- und Root-Login abgeschaltet; fail2ban gegen Brute-Force.
• TLS ≥ 1.2, HSTS und Security-Header inkl. Content-Security-Policy für die Website.
• Öffentlich erreichbarer Container ohne Root-Rechte, mit schreibgeschütztem Dateisystem und Prozesslimit.
• Geheimnisse (API-Tokens) getrennt von Skripten in Dateien, die nur der Dienst-Benutzer lesen kann.

Backup & Monitoring

• Bash-Skript per Cron: konsistenter Datenbank-Snapshot, Archiv der Nutzdaten plus Systemarchiv (Konfiguration, Crontabs, Container-Inventar).
• Der Zweitserver holt die Archive über einen nur lesenden rsync-Zugang ab, prüft ihre Integrität und rotiert alte Stände.
• Meldung bei Erfolg oder Fehler per Messenger; Uptime Kuma schlägt Alarm, wenn ein Backup ganz ausbleibt.
• Tägliche Netzwerk-Inventarisierung mit nmap/ndiff – neue Geräte oder offene Ports werden gemeldet.

Gelernt

Eine Sicherheitsprüfung der eigenen Infrastruktur zeigte u. a. einen öffentlich erreichbaren Dienst mit zu weiten Rechten, Backup-Dateien im Web-Verzeichnis und eine Datenbank in einem flüchtigen Docker-Volume. Alles behoben, dokumentiert und ins Backup-Konzept übernommen – seitdem prüfe ich Änderungen gezielt von außen nach.

🖥️ Proxmox-VE-Testumgebung

Laufendes Lernprojekt: Proxmox VE als VM unter KVM (verschachtelte Virtualisierung) auf meinem Arbeitsrechner – isoliert vom übrigen Netz.

Umgesetzt

• Installation, Paketquellen (No-Subscription statt Enterprise) und Updates inkl. Kernel-Wechsel.
• Debian-13-Vorlage aus dem offiziellen Cloud-Abbild, cloud-init mit Benutzer und SSH-Schlüssel.
• VMs per CLI (qm clone) ausgerollt – einsatzbereit in unter einer Minute.

Als Nächstes

• Backup und Wiederherstellung mit vzdump – inklusive echtem Restore-Test.
• AD-Domäne mit Windows Server 2022 (DNS, DHCP, Gruppenrichtlinien).
• Mehrere Debian-VMs einheitlich mit Ansible konfigurieren.

🗺️ IHK-Abschlussprojekt: IPAM/DDI-Proof-of-Concept

Ziel war, die IP-Adressverwaltung per Tabelle durch ein zentrales IP Address Management abzulösen. Dafür habe ich eine isolierte Labordomäne aufgebaut und die DNS/DHCP-Integration einer DDI/IPAM-Lösung evaluiert.

Vorgehen

• Labordomäne: Windows Server 2022 mit AD DS, DNS und DHCP.
• DDI/IPAM: DNS/DHCP-Integration eingerichtet und Datenqualität geprüft.
• RBAC: Rollen- und Rechtemodell für Admin, Betrieb und Nur-Lesen.
• Audit/Reporting: nachvollziehbare Änderungen und Exporte (z. B. CSV/PDF).

Ergebnis

• DNS/DHCP-Integration in der Laborumgebung durchgängig verifiziert.
• Mehr Transparenz: Leases, Einträge, Änderungshistorie und Berichte statt manueller Tabellen.
• Grundlage für Pilot und Betrieb (Backup, Updates, Monitoring) geschaffen.

📡 Security-Lab

Um Systeme gut zu schützen, will ich verstehen, wie Angriffe funktionieren: Funkprotokolle, RFID/NFC und WLAN-Sicherheit – ausschließlich in eigenen bzw. ausdrücklich autorisierten Testumgebungen.