All-in-One Heimserver? Infrastruktur und Netzwerkfragen

[Crossfire]

Hallo Experten,

ich habe mich ein wenig mit HomeAssistant auseinandergesetzt, wie ich dieses am besten nutzen kann. Bis dahin habe ich eine Synology DS218+ im Einsatz, auf der auch ein paar Docker-Container laufen.

Vor wenigen Wochen habe ich mir einen EliteDesk 800 G4 SFF mit Intel Core i5 8500 und 8 GB DDR4, sowie 250 GB NVMe SSD gegönnt.
Darauf läuft PVE mit Adguard, Vaultwarden und Cloudflare als LXC sowie HomeAssistant als VM.

Die Synology DS218+ ist gespickt mit 2x Seagate IronWolf Pro 12TB in Raid1 und SMB-Freigabe.
Es laufen noch 2 Docker-Container, PBS als VM und die Synology dient als Plex Media Server.

Ich wollte ebenfalls noch Plex auf den EliteDesk umziehen. Dabei stolpere ich aber (wie viele) über die SMB-Einbindung in einen unprivilegierten LXC, da die Mediadateien auf der Synology liegen und per SMB eingebunden werden müssen. Das gleiche ist bei weiteren Programmen der Fall.
Ebenfalls wollte ich die externe Anbindung ohne Portfreigabe im Router umsetzen. Hier stolpere ich aber noch darüber, wie ich das darstelle, die meine Domain mittels Cloudflare-Tunnel auf HomeAssistant zeigt und auch Subdomains in Cloudflare mit Tunnel angebunden sind. Plex soll/darf aber nicht über den Tunnel laufen.
Wenn hierzu jemand eine Empfehlung hat, nehme ich dies gerne auf.

Dann kam die Überlegung in PVE TrueNAS Scale als VM auszuführen und dort drin Plex und co auszuführen. Die HDDs könnte ich dann in den EliteDesk überführen.
Sinnvollerweise dann mit einem ZFS RaidZ1 - aber dafür fehlt mir wiederum um im EliteDesk der Platz für eine dritte 3,5" HDD.
Proxmox-Backups könnte ich mittels Einbindung auf die TrueNAS HDD machen. Dann ohne PBS. Die Synology wäre dann überflüssig.

Oder lieber die Synology als reine Datenablage mit RAID1 belassen und SMB-Einbindung in Proxmox und in die notwendigen unprivilegierten LXC? Hat dazu jemand für mich eine verständliche Anleitung? Mit UID/GID, MountPoint und co haben mich bisher erschlagen.
Oder einen 2. Rechner hinstellen und TrueNAS Bare-Metal betreiben mit Plex und Co.?
Oder so lassen, wie es jetzt gerade läuft?

Was wäre euer Aufbau für einen Haushalts-Server mit meinen Anwendungszwecken?
Ausfall ist grundsätzlich kein Thema. Wenn was ausfällt, sind wir trotzdem "lebensfähig" - Lichter und co. lassen sich trotzdem bedienen. Für Internet muss kurz der Router konfiguriert werden. Passwörter sind zusätzlich nochmal gesichert, sodass diese in andere Software eingelesen werden können.

Ich würde mich freuen, wenn ihr mir, einen Proxmox-Anfänger, ein bisschen unter die Arme greift.

Grüße
Michael

 

[Lord_Neksus]

du musst um eine smb freigabe einzubinden den lxc previliegiren das geht nur direkt bei der installation oder du machst ein backup von dem lxc und spielst es als priveligierten container wieder auf dann kannst du fstab zum einbinden nutzen.

 

[Johannes S]

du musst um eine smb freigabe einzubinden den lxc previliegiren das geht nur direkt bei der installation oder du machst ein backup von dem lxc und spielst es als priveligierten container wieder auf dann kannst du fstab zum einbinden nutzen.

Das würde ich nicht tun:

Unprivileged Containers
Unprivileged containers use a new kernel feature called user namespaces. The root UID 0 inside the container is mapped to an unprivileged user outside the container. This means that most security issues (container escape, resource abuse, etc.) in these containers will affect a random unprivileged user, and would be a generic kernel security bug rather than an LXC issue. The LXC team thinks unprivileged containers are safe by design.

This is the default option when creating a new container....
Privileged Containers
Security in containers is achieved by using mandatory access control AppArmor restrictions, seccomp filters and Linux kernel namespaces. The LXC team considers this kind of container as unsafe, and they will not consider new container escape exploits to be security issues worthy of a CVE and quick fix. That’s why privileged containers should only be used in trusted environments.
https://pve.proxmox.com/wiki/Linux_Container#pct_settings

Eine bessere Möglichkeit wäre mit bind mounts zu arbeiten, wie das geht steht auf der gleichen wikiseite: https://pve.proxmox.com/wiki/Linux_Container#_bind_mount_points

Die bessere Variante wäre meiner Meinung (kann man anders sehen) die ganzen docker-Container in eine VM zu packen (TrueNAS Scale kann ja z.B. auch Docker), dann ist das vom Ressourcenverbrauch her erträglich, das Einbinden der Netzwerkordner geht problemlos und eine VM ist besser isoliert als lxc (ob privileged oder unpriviliged). Dazu kommt, dass ja die Proxmox Entwickler eh seit gefühlt schon immer empfehlen, Docker bitte NICHT in eine nLXC-Container zu betreiben, da das bei Updates immer mal wieder Probleme macht Eine Ausnahme würde ich dabei für Dienste machen, die nicht als Docker laufen und keinen Zugriff auf Netzwerkshares benötigen (z.B. Adguard) oder denen z.B. sowas wie die Graphikkarte fürs transcoding durchgereicht werden muss (jellyfin oder Plex). Die CPU sollte ein derartiges Setup locker hergeben, man sollte dann aber noch dem ganzen etwas RAM spendieren, der Elitedesk verträgt ja laut den Specs bis zu 64 GB, aber bereits 16 GB mehr sollten erstmal reichen für die Anforderungen des OP.