Proxmox Homeserver Cluster Build 4 Nodes · 80 TB · Segmentiertes Netzwerk
Hardware-Komponentenliste
Alle Bestandteile im Detail — vom Server-Rack bis zum letzten Kabel.
Server-Rack (9U–12U)
Kompaktes 19-Zoll Rack mit Rollen und Seitenwänden. Empfehlung: 12U für genügend Freiraum und zukünftige Erweiterung.
- Startech 12U Open Frame oder Navepoint 12U
- 19" Standard-Rackbreite (EIA-310)
- Lastkapazität: mind. 100 kg
- Kabelmanagement-Panels (1U) × 2
- Rackschienen / Shelf-Brackets × 6
- Käfigmuttern + Rackschrauben Set (50x)
4× Lenovo ThinkCentre
Empfohlen: ThinkCentre M920q / M720q Tiny — kompakt, leise, und leistungsfähig. Ideal für Rack-Shelf-Montage.
- CPU: Intel i5-8500T / i7-8700T (6C/12T)
- RAM: 32 GB DDR4 SO-DIMM pro Node (128 GB total)
- Boot-Drive: 256 GB NVMe SSD pro Node
- NIC: Intel I219-LM GbE (onboard)
- USB 3.1 NIC Adapter als 2. Interface
- TDP: 35W–65W pro Node
- Form Factor: USFF (Ultra Small Form Factor)
2× Managed Switches
Zwei Layer-2/3 Managed Switches für Netzwerksegmentierung. Empfehlung: TP-Link TL-SG108E / Netgear GS308E (8-Port) oder MikroTik CSS326.
- Switch A: Management & Cluster Traffic (8 Port)
- Switch B: Storage & Lab Traffic (8 Port)
- VLAN 802.1Q Tagging Support
- IGMP Snooping, QoS, Port Mirroring
- Link Aggregation (LACP) wenn möglich
- Rackmount-Kit / 1U Shelf
80 TB HDD Storage
Konfiguration für maximale Kapazität mit Redundanz. Empfohlen: WD Red Plus oder Seagate IronWolf NAS-HDDs.
- Option A: 4× 20 TB (WD Red Pro / Exos X20)
- Option B: 5× 16 TB (Seagate IronWolf Pro)
- HDD-Gehäuse: 4-Bay USB3/eSATA Enclosure
- Oder: Dedicated NAS-Node (ThinkCentre #4)
- RAID-Level: RAIDZ2 (ZFS) empfohlen
- Nutzbare Kapazität: ~48–56 TB (bei RAIDZ2)
Stromversorgung
Zentrale Stromverteilung im Rack mit Überspannungsschutz und Monitoring.
- 1U Rack PDU (Power Distribution Unit), 8-fach
- Brennenstuhl Premium-Line oder APC AP7900B
- USV/UPS: APC Back-UPS 900VA (optional, empfohlen)
- Gesamtverbrauch: ~250–400W (Dauerbetrieb)
- ThinkCentre OEM-Netzteile: 65W–90W je Node
- C13/C14 Kaltgerätekabel × 8
Belüftung & Kühlung
Rack-Lüfter für konstanten Airflow. Front-Intake, Rear-Exhaust Prinzip.
- 1U Rack Fan Tray (2–4 Lüfter, 120mm)
- AC Infinity CLOUDPLATE T7 oder ähnlich
- Lüfter: Noctua NF-A12x25 (leise, effizient)
- Rack-Thermometer mit Alarm
- Temperaturbereich: 18–28°C optimal
- Staubfilter für Front-Intake
Kabel & Zubehör
Alle notwendigen Kabel für saubere und professionelle Verkabelung.
- Cat6a Patchkabel (0.3m, 0.5m, 1m) × 20
- Farbcodiert: Blau/Grün/Orange/Rot
- Cat6a Keystone-Patchpanel 12-Port (1U)
- Kabelkanal / Kabelmanagement (1U) × 2
- Kabelbinder (Klett) × 50
- Beschriftungsetiketten für Ports
Optionale Ergänzungen
Zusätzliche Komponenten für erweiterte Funktionalität.
- KVM-Switch (4-Port) für lokalen Zugriff
- Raspberry Pi als Monitoring-Dashboard
- USB-NIC-Adapter (für zusätzliche NICs)
- Kleine SSD-Caches (für ZFS L2ARC/SLOG)
- IPMI/BMC Remote-Management (wenn ThinkStation)
- Label-Drucker für Portbeschriftungen
Rack-Bauplan — Frontansicht
Technische Zeichnung des 12U-Racks mit Belegungsplan aller Höheneinheiten.
⬛ 12U Server Rack — Frontansicht
| HE | Komponente | Funktion | Stromverbrauch | Anschlüsse |
|---|---|---|---|---|
| 12U | Rack Fan Tray | Abluft / Exhaust | ~15W | 1× PDU |
| 11U | Kabelmanagement | Kabelführung | — | — |
| 10U | Switch A (Managed) | Management + Cluster | ~8W | 8× RJ45 GbE |
| 9U | Switch B (Managed) | Storage + Lab | ~8W | 8× RJ45 GbE |
| 8U | Patchpanel 12-Port | Kabelorganisation | — | 12× Keystone RJ45 |
| 7U | Kabelmanagement | Kabelführung | — | — |
| 6U–5U | Shelf + Node 1 & 2 | Proxmox Compute | ~65W × 2 | 2× ETH je Node |
| 4U–3U | Shelf + Node 3 & NAS | Compute + NAS | ~65W × 2 | 2× ETH je Node |
| 2U | HDD Enclosure (80 TB) | Massenspeicher | ~40W | USB 3.1 → Node 4 |
| 1U | PDU (8-fach) | Stromverteilung | — | 8× C13 Outlets |
Netzwerk-Topologie & VLAN-Segmentierung
Logische Netzwerkarchitektur mit VLAN-Separation für Management, Storage, Lab und WAN.
⬛ Netzwerk-Topologie — Logisch
| VLAN ID | Name | Subnetz | Switch | Zweck | Zugriff |
|---|---|---|---|---|---|
| VLAN 10 | Management | 10.10.10.0/24 | Switch A | Proxmox WebUI, SSH, IPMI | Admin only |
| VLAN 20 | Cluster | 10.10.20.0/24 | Switch A | Proxmox Corosync, Migration | Inter-Node |
| VLAN 30 | Storage | 10.10.30.0/24 | Switch B | NFS/SMB, ZFS Replication | Nodes only |
| VLAN 40 | Lab / Pentest | 10.10.40.0/24 | Switch B | Isolated CyberSec Lab | No WAN ⚠️ |
| VLAN 50 | WAN / Services | 10.10.50.0/24 | Switch A | Internet-facing Services | Via Firewall |
Verkabelungsplan
Vollständige Verkabelungsmatrix mit Farbcodierung und Port-Zuordnung.
⬛ Physischer Verkabelungsplan
Switch A — Port-Zuordnung
| Port | Ziel | VLAN | Kabel |
|---|---|---|---|
| P1 | Node 1 — eth0 | V10 | Cat6a Blau 0.5m |
| P2 | Node 2 — eth0 | V10 | Cat6a Blau 0.5m |
| P3 | Node 3 — eth0 | V10 | Cat6a Blau 1m |
| P4 | Node 4 — eth0 | V10 | Cat6a Blau 1m |
| P5 | → Switch B Trunk | ALL | Cat6a Gelb 0.3m |
| P6 | WAN Uplink | V50 | Cat6a Rot 1m |
| P7 | Reserve | — | — |
| P8 | Reserve | — | — |
Switch B — Port-Zuordnung
| Port | Ziel | VLAN | Kabel |
|---|---|---|---|
| P1 | Node 1 — eth1 | V30 | Cat6a Grün 0.5m |
| P2 | Node 2 — eth1 | V30 | Cat6a Grün 0.5m |
| P3 | Node 3 — eth1 | V40 | Cat6a Orange 1m |
| P4 | Node 4 — eth1 | V30 | Cat6a Grün 1m |
| P5 | Lab-Erweiterung | V40 | Cat6a Orange |
| P6 | ← Switch A Trunk | ALL | Cat6a Gelb 0.3m |
| P7 | Reserve | — | — |
| P8 | Reserve | — | — |
Storage-Architektur
ZFS-basierte Speicherarchitektur mit RAIDZ2-Redundanz und Backup-Strategie.
⬛ ZFS Storage Layout
📂 ZFS Datasets
# ZFS Dataset-Struktur tank/ ├── documents # SMB/NFS Share ├── backups # VM Backups (PBS) │ ├── proxmox # Proxmox Backup │ └── config # Config Backups ├── media # Medien-Dateien ├── iso # ISO Images ├── container # CT Templates ├── nextcloud # Nextcloud Data └── lab-evidence # CyberSec Captures
📸 Snapshot-Policy
# Sanoid Snapshot-Konfiguration [tank] use_template = production recursive = yes [template_production] hourly = 24 # 24 Stunden daily = 30 # 30 Tage weekly = 8 # 8 Wochen monthly = 12 # 12 Monate yearly = 2 # 2 Jahre autosnap = yes autoprune = yes
Proxmox VE — Cluster Setup
Installation, Konfiguration und Cluster-Bildung der vier Proxmox-Nodes.
Proxmox VE Installation (alle 4 Nodes)
Proxmox VE 8.x ISO auf USB-Stick flashen (Balena Etcher / Rufus). Von USB booten und auf die 256 GB NVMe SSD installieren. Bei der Installation statische IPs aus VLAN 10 vergeben:
# Management-IPs (VLAN 10) Node-01: 10.10.10.11/24 # Gateway: 10.10.10.1 Node-02: 10.10.10.12/24 Node-03: 10.10.10.13/24 Node-04: 10.10.10.14/24 # NAS Node # DNS: 10.10.10.1 (OPNsense) oder 1.1.1.1
Netzwerk-Konfiguration (/etc/network/interfaces)
Jeder Node bekommt zwei Netzwerk-Interfaces konfiguriert — eines für Management (vmbr0) und eines für Storage/Lab (vmbr1).
# Loopback auto lo iface lo inet loopback # Management Interface (onboard NIC) auto enp0s31f6 iface enp0s31f6 inet manual # Management Bridge — VLAN 10 auto vmbr0 iface vmbr0 inet static address 10.10.10.11/24 gateway 10.10.10.1 bridge-ports enp0s31f6 bridge-stp off bridge-fd 0 # Storage Interface (USB NIC) auto enx00e04c680001 iface enx00e04c680001 inet manual # Storage Bridge — VLAN 30 auto vmbr1 iface vmbr1 inet static address 10.10.30.11/24 bridge-ports enx00e04c680001 bridge-stp off bridge-fd 0
Cluster erstellen
Auf Node-01 den Cluster initialisieren, dann die anderen Nodes beitreten lassen.
# Auf Node-01: Cluster erstellen root@node01:~# pvecm create homelab-cluster \ --link0 10.10.10.11 \ --link1 10.10.20.11 # Auf Node-02, 03, 04: Cluster beitreten root@node02:~# pvecm add 10.10.10.11 \ --link0 10.10.10.12 \ --link1 10.10.20.12 # Cluster-Status prüfen root@node01:~# pvecm status # Quorum: 4/4 (OK) # Nodes: node01, node02, node03, node04
Storage hinzufügen (NFS vom NAS-Node)
ZFS-Pool von Node-04 per NFS an den gesamten Cluster freigeben.
# Auf Node-04 (NAS): NFS Export einrichten root@node04:~# apt install nfs-kernel-server root@node04:~# cat /etc/exports /tank/backups 10.10.30.0/24(rw,sync,no_subtree_check) /tank/iso 10.10.30.0/24(ro,sync,no_subtree_check) # In Proxmox WebUI: Datacenter → Storage → Add → NFS # Server: 10.10.30.14 # Export: /tank/backups # Content: VZDump, ISO, Container Templates
Firewall & OPNsense VM
OPNsense als VM auf Node-01 installieren. Diese VM bekommt das WAN-Interface (VLAN 50) und routet/filtert den gesamten Traffic.
# VM-Konfiguration für OPNsense VM ID: 100 Cores: 2 RAM: 4096 MB Disk: 32 GB (local-lvm) Net0: vmbr0 (LAN — VLAN 10) Net1: vmbr1 (WAN — VLAN 50) Start: on boot (Order: 1)
Software & Services
Alle VMs, Container und Dienste, die auf dem Cluster laufen.
🛡️ OPNsense
Open-Source Firewall & Router. Verwaltet VLANs, NAT, VPN (WireGuard), DNS, DHCP. Alle Subnetze werden hier geroutet und gefiltert.
📊 Grafana + Prometheus
Monitoring-Stack für alle Nodes. Node Exporter auf jedem Host, Prometheus als Datensammler, Grafana für Dashboards (CPU, RAM, Netzwerk, ZFS).
📡 Pi-hole
DNS-basierter Ad-Blocker und lokaler DNS-Server. Alle VLANs nutzen Pi-hole als primären DNS. Logging aller DNS-Anfragen.
🐧 Ubuntu Server 22.04
Allzweck-Linux-Server für Development, Testing und Dienste. SSH-Zugang, Docker optional, Webserver-Experimente.
🪟 Windows Server 2022
Active Directory Lab, Group Policies, WSUS. Ideal für Enterprise-Security-Training und Windows-Penetration-Testing.
🐳 Docker Host
Dedizierte Docker-VM mit Portainer-Management. Hosting von Containern: Nginx Proxy Manager, Uptime Kuma, Heimdall, Gitea, etc.
🔐 HashiCorp Vault
Secrets Management für den gesamten Cluster. API-Keys, Passwörter, Zertifikate — zentral und verschlüsselt verwaltet.
🎯 Kali Linux
Penetration Testing Distribution. Alle gängigen Tools: Nmap, Burp Suite, Metasploit, John the Ripper, Wireshark, Aircrack-ng.
🕸️ Metasploitable 2/3
Absichtlich verwundbare Linux-VMs für Exploit-Übungen. Isoliert im Lab-VLAN ohne Internet-Zugang.
🏴 DVWA / WebGoat
Web Application Security Training. SQL Injection, XSS, CSRF, Command Injection — hands-on üben.
🔬 Malware Analysis Sandbox
Isolierte Windows-VM mit REMnux / FlareVM für Malware-Analyse. Netzwerk komplett abgekoppelt. Snapshots vor jeder Analyse.
📁 TrueNAS Core / Scale
Oder alternativ: direkt ZFS auf Proxmox. NFS/SMB Shares, iSCSI Targets, Snapshots, Replication. Zentraler Storage für den Cluster.
☁️ Nextcloud
Selbstgehostete Cloud für Dateien, Kalender, Kontakte. WebDAV, Mobile Apps, Collabora Office Integration.
📼 Proxmox Backup Server
Dedizierte Backup-Lösung für Proxmox. Inkrementelle Backups, Deduplizierung, Verschlüsselung. Speichert auf ZFS-Dataset.
🌐 WireGuard VPN
VPN-Zugang zum Homelab von unterwegs. Site-to-Site oder Road-Warrior-Config. Zugriff auf Management-VLAN von extern.
🔄 Nginx Proxy Manager
Reverse Proxy mit Let's Encrypt SSL. Zentrale Verwaltung aller Web-Services mit automatischen HTTPS-Zertifikaten.
🔍 Wazuh SIEM
Security Information & Event Management. Log-Analyse, Intrusion Detection, Compliance Monitoring für das gesamte Lab.
📋 Uptime Kuma
Einfaches Service-Monitoring mit Notifications. Überwacht alle Dienste auf Verfügbarkeit. Telegram/Discord Alerts.
Security-Konzept
Sicherheitsmaßnahmen für den Homelab-Betrieb — von Netzwerk bis Host-Level.
🔒 Netzwerksicherheit
- VLAN-Segmentierung: Strenge Trennung zwischen Management, Storage, Lab und WAN
- OPNsense Firewall: Stateful Packet Inspection, IDS/IPS (Suricata)
- Lab VLAN 40: Kein Internet-Zugang, kein Zugriff auf andere VLANs
- Inter-VLAN Routing nur über OPNsense mit expliziten Regeln
- Port Security auf Switches: MAC-Address Filtering
- DNS über Pi-hole mit Blocklisten für bekannte Malware-Domains
🔐 Host-Level Security
- SSH Key-Only Authentication (Passwort deaktiviert)
- Fail2Ban auf allen Nodes
- Proxmox 2FA (TOTP) für Web-Interface
- Automatische Security Updates (unattended-upgrades)
- ZFS-Snapshots vor jeder größeren Änderung
- Separate Admin-Accounts (kein root für Alltag)
📊 Monitoring & Alerting
- Prometheus + Grafana für System-Metriken
- Wazuh SIEM für Security Events und Log-Analyse
- Uptime Kuma für Service-Verfügbarkeit
- Alerts via Telegram / Discord / E-Mail
- ZFS scrub Ergebnisse überwachen
- SMART-Monitoring für alle HDDs
💾 Backup & Recovery
- Proxmox Backup Server: tägliche VM-Backups
- ZFS Snapshots: stündlich (Sanoid/Syncoid)
- 3-2-1 Regel: 3 Kopien, 2 Medien, 1 Off-Site
- Off-Site: verschlüsselter rsync zu externem Server
- Regelmäßige Restore-Tests
- Disaster Recovery Dokumentation
Schritt-für-Schritt Aufbauanleitung
Vom leeren Rack zum fertigen Proxmox-Cluster — in der richtigen Reihenfolge.
Rack aufstellen & vorbereiten
Rack an gewünschter Position aufstellen (kühler Raum, gute Belüftung). Rollen arretieren oder Standfüße montieren. Rackschienen für alle Höheneinheiten einsetzen. Käfigmuttern an den vorgesehenen Positionen anbringen (siehe Rackplan oben).
PDU (Stromverteilung) montieren — 1U
PDU ganz unten (1U) montieren. Alle Kaltgerätekabel vorbereiten. PDU noch nicht einstecken. Überprüfen, ob die Steckdose ausreichend abgesichert ist (mind. 16A Sicherung empfohlen).
HDD Enclosure einbauen — 2U
HDD-Gehäuse auf 2U-Position auf ein Rackshelf setzen. Alle 4× 20TB HDDs einsetzen und verriegeln. USB 3.1 Kabel vorbereiten (noch nicht anschließen). Sicherstellen, dass genug Airflow um das Gehäuse besteht.
ThinkCentre Nodes auf Shelves platzieren — 3U–6U
Zwei Rackshelf-Bretter auf 3U–4U und 5U–6U montieren. Je 2 ThinkCentre pro Shelf nebeneinander platzieren. Netzteile und Stromkabel vorbereiten. NVMe-SSDs und RAM vorab einbauen/aufrüsten.
Kabelmanagement-Panel einbauen — 7U
1U Kabelmanagement-Panel zwischen Nodes und Switches montieren. Kabelführungsringe oder -bügel befestigen. Hier werden die Patchkabel von den Nodes zu den Switches sauber durchgeführt.
Patchpanel montieren — 8U
12-Port Keystone-Patchpanel auf 8U einbauen. Keystones einrasten. Rear-Seite: Kabel zu den Nodes / externen Anschlüssen. Front-Seite: kurze Patchkabel zu den Switches. Alle Ports beschriften.
Switches einbauen — 9U & 10U
Switch B (Storage/Lab) auf 9U, Switch A (Management) auf 10U montieren. Strom anschließen (je 1× an PDU). Initial-Konfiguration per Browser (Default-IP des Switches) — VLANs, Trunk-Port, Port-Zuweisungen konfigurieren.
Kabelmanagement-Panel — 11U
Zweites Kabelmanagement-Panel oberhalb der Switches. Dient der sauberen Führung von Uplink-Kabeln und externen Anschlüssen.
Rack Fan Tray montieren — 12U
Lüftereinheit ganz oben montieren. Auf Exhaust (Abluft) konfigurieren — warme Luft steigt auf und wird oben abgesaugt. Lüfter an PDU anschließen. Temperatur-Alarm konfigurieren.
Verkabelung durchführen
Alle Netzwerkkabel gemäß dem Verkabelungsplan (Sektion 04) anschließen. Farbcodierung einhalten: Blau → MGMT, Grün → Storage, Orange → Lab, Gelb → Trunk, Rot → WAN. USB-Kabel vom HDD-Enclosure an Node 4. Kabel mit Klettbändern in den Management-Panels fixieren.
Strom einschalten & BIOS-Check
PDU einstecken. Alle Geräte nacheinander einschalten. Bei jedem ThinkCentre ins BIOS: Boot-Reihenfolge (USB first für Installation), Virtualisierungstechnologie (VT-x, VT-d) aktivieren, Wake-on-LAN aktivieren.
Proxmox VE Installation & Cluster-Bildung
Gemäß Sektion 06: Proxmox auf allen Nodes installieren, Netzwerk konfigurieren, Cluster bilden, Storage einbinden. Danach VMs und Container gemäß Sektion 07 ausrollen. Fertig! 🎉
Optische 3D-Darstellung
Isometrische Ansicht des fertigen Homeserver-Racks mit allen Komponenten.
⬛ Isometrische Rack-Ansicht (Perspektive)
Stromverbrauch & Kostenrechnung
Geschätzte Leistungsaufnahme und monatliche Stromkosten.
| Komponente | Anzahl | Watt (je) | Watt (gesamt) | 24/7 kWh/Monat |
|---|---|---|---|---|
| ThinkCentre M920q (Idle) | 4 | ~25W | 100W | 72 kWh |
| ThinkCentre M920q (Last) | 4 | ~55W | 220W | 158 kWh |
| Managed Switch | 2 | ~8W | 16W | 11.5 kWh |
| HDD Enclosure (4× HDD) | 1 | ~40W | 40W | 28.8 kWh |
| Rack Fan Tray | 1 | ~15W | 15W | 10.8 kWh |
| PDU (Standby) | 1 | ~2W | 2W | 1.4 kWh |
| TOTAL (Idle / Durchschnitt) | ~175W | ~126 kWh | ||