Einen entfernten Proxmox-Server betreiben, wenn es keinen eingehenden Zugriff gibt

Wer schon mal ein Homelab betrieben hat, kennt die Wahrheit, die alle ungern laut zugeben: Die Hardware ist nie der schwierige Teil. Es ist immer das Netzwerk, das einem irgendwann das Gehirn zermürbt. Und nichts beweist das schneller, als zu versuchen, einen Proxmox-Host im Haus eines anderen zu betreiben, wenn man Ihnen höflich, aber bestimmt mitteilt, dass Sie überhaupt keinen eingehenden Zugriff bekommen.

Genau in dieser Situation fand sich ein Heimserver-Bastler wieder. Ein Freund mit freiem Platz bot an, eine ordentlich potente Maschine zu hosten, nämlich 16 Kerne, 128 GB RAM, ein richtiges kleines Lab-in-a-Box. Ein totaler Gewinn, bis auf das kleine Detail, dass der Freund nur ausgehenden Traffic anbot: kein Port-Forwarding, keine Firewall-Ausnahmen, kein „mach mir einfach Port 8006 auf, Alter“.

Die Frage wird also, wie man eine Proxmox-Maschine betreibt, die man gar nicht erreichen kann. Wie sich herausstellt, haben Leute, die das schon gemacht haben, einiges zu sagen, und das meiste bewegt sich irgendwo zwischen überraschend praktisch und seltsam kreativ. Netzwerk-Nerds enttäuschen da nie.

Der erste Instinkt: „Nimm einfach ein VPN“

Der ursprüngliche Plan war simpel genug: OpenVPN auf dem Proxmox-Host installieren, sich damit zurück nach Hause zu einem bereits laufenden VPN-Server verbinden, fertig. Das funktioniert auch, und eine ganze Reihe Leute macht genau das. Aber es war auch ziemlich klar, dass OpenVPN heutzutage nicht mehr die bevorzugte Wahl ist. Viele Antworten liefen im Grunde auf eines hinaus: OpenVPN funktioniert, aber warum sich das antun?

Ein Kommentator brachte es unverblümt auf den Punkt: WireGuard ist in praktisch allem, was zählt, überlegen, mit saubererem Routing, besseren Geschwindigkeiten und weniger Kopfschmerzen. Eine andere Person erwähnte, alle ihre OpenVPN-Setups auf WireGuard migriert zu haben und seitdem nicht zurückzublicken. Und wenn sich Leute in der Homelab-Welt bei etwas einig sind, ist das normalerweise ein Zeichen.

Die Basisstrategie wurde also: einen schlanken WireGuard-Client auf dem Proxmox-Host oder auf einem Router bei Ihrem Freund laufen lassen, den Tunnel direkt zurück zu Ihrem Heimnetzwerk wählen, und Sie sind drin. Ganz so sauber ist es nur nie.

Winzige Router, große Köpfe

Einer der meistgevoteten Vorschläge war, VPN-Aufgaben komplett vom Proxmox-Host fernzuhalten. Stürzt der Host ab oder spinnt er, ist das Letzte, was Sie wollen, dass das VPN als genau das eine, das Ihnen Zugriff gibt, mit ihm ausfällt. Die Lösung ist eine MikroTik-Box oder ein anderer winziger Router, der einen WireGuard-Tunnel offenhalten kann, egal was Proxmox gerade treibt.

Viele schwören auf diese Taktik. Eine Person sagte, das gebe ihr ununterbrochenen Zugriff selbst während Updates oder Neustarts und ermögliche den Zugriff auf IPMI/iLO/DRAC, wenn wirklich alles schiefläuft. Eine andere schlug einen kleinen GL.iNet-Reiserouter vor, der klaglos 500+ Mbit/s durch WireGuard schiebt, auch wenn dessen WLAN hier vielleicht gar keine Rolle spielt.

Die Logik ist simpel: Wenn der Hypervisor das ist, was Sie erreichen wollen, packen Sie Ihre Lebensader nicht hinein. Sonst landen Sie ausgesperrt und starren auf eine tote Web-UI ohne Weg nach Hause.

Der inzwischen offensichtliche Favorit: Tailscale

Natürlich dauerte es ungefähr sechs Minuten, bis jemand Tailscale vorschlug, und dann stürzten sich mehrere weitere mit geradezu missionarischem Eifer drauf. Man könnte meinen, Tailscale sei ein religiöses Erlebnis, so wie Homelabber darüber reden. Aber es ergibt tatsächlich Sinn: kein eingehender Zugriff nötig, kein Port-Forwarding nötig, und wer etwas braucht, das er fast überall installieren und dann sechs Monate am Stück vergessen kann, bekommt genau das Markenversprechen.

Eine Person sagte sogar, man könne das Ganze vor dem Deployment testen, indem man das WLAN am Handy abschaltet, ins Mobilfunknetz wechselt und sich von dort verbindet, nur um zu beweisen, dass alles funktioniert. Das ist im Grunde die Homelab-Version von „im Flugmodus ausprobieren“.

Ein anderer Nutzer erzählte, Tailscale in einem schlanken Container zu betreiben und es einfach als Subnet-Router zu deklarieren, was im Tailscale-Sprech „alles hinter mir ist auch erreichbar“ bedeutet. Das erlaubte es ihm, die lokale IP des Proxmox-Hosts zu erreichen, noch bevor das gesamte Setup stand. Das klingt vielleicht zu einfach, aber Tailscale hat sich diesen Ruf nicht umsonst erarbeitet.

Cloudflare Tunnel: Der „funktioniert aus jedem Browser“-Trick

Hier nahm der Thread eine andere Wendung, denn Tailscale nutzen kann nicht jeder. Ein Kommentator sagte, sein Arbeitsplatz blockiere es rundweg. Genau da kommt Cloudflare Tunnel als Alternative für alle ins Spiel, die einfach nur „gib mir eine URL, die zu meinem Proxmox-Dashboard führt“ wollen. Es funktioniert, weil Cloudflare Tunnel sich nach außen mit Cloudflares Netzwerk verbindet, sodass selbst eine stark abgeriegelte Umgebung den Tunnel normalerweise ohne eingehende Regeln öffnen kann.

Damit richten Leute eine Subdomain wie pve.example.com ein und haben plötzlich eine ordentliche, HTTPS-geschützte, Cloudflare-authentifizierte Tür zu ihrem Host. Eine Person wies auf die schöne zusätzliche Schicht hin: Cloudflare übernimmt die Authentifizierung, bevor die Anfrage überhaupt Ihren Server berührt. Stimmen die Zugangsdaten nicht, kommt der Angreifer nicht mal in Rufweite von Proxmox.

Der Haken ist natürlich, dass Sie Cloudflare die Schlüssel zum Schloss anvertrauen müssen. Jemand anderes warf ein: „Pangolin ist eine bessere Alternative, wenn man Cloudflare nicht vertrauen will“, aber das ist ein ganz anderes Kaninchenloch. Trotzdem bekam Cloudflare Tunnel überraschend viel Zuspruch.

Wenn Leute richtig kreativ werden: VXLan, genattete virtuelle Netzwerke und Routing in voller Größe

Manche blieben nicht bei „bring mich einfach in den Host“, sondern bauten regelrechte Netzwerktopologien, damit ihre entfernten VMs keine IP-Adressen aus dem LAN des Freundes klauen oder sich in einem Netzwerk exponieren, das sie nicht kontrollieren.

Ein Nutzer beschrieb ein ziemlich elegantes Setup: Der Proxmox-Host bekommt eine LAN-IP, alles andere an VMs, Containern und sonstigem Rummel lebt hinter einem eigenen VNet mit NAT, ein WireGuard-Tunnel verbindet den Host zurück nach Hause, und ein Router auf der Heimseite weiß, wie er das entfernte VNet erreicht, sodass Geräte zu Hause mit Maschinen beim Freund reden können, als wären sie im selben Netzwerk. Das ist ein cleverer Weg, ein guter Gast zu sein, weil Sie den DHCP-Pool Ihres Freundes nicht mit einem Dutzend merkwürdiger VMs überladen.

Eine andere Person erzählte, eine OPNSense- oder pfSense-VM auf Proxmox laufen zu lassen und diese zum VPN-Endpunkt zu machen. Die eigene Firewall in einer VM auf der Maschine laufen zu lassen, die man erreichen will, ist etwas ironisch, funktioniert aber mit stabilem Upstream und guten Snapshots tatsächlich. Homelab-Leute werden eben schnell kreativ.

Wenn Sie nur einen Ratschlag mitnehmen … sorgen Sie für Remote-Stromkontrolle

Es gibt in fast jeder Fernbeziehungs-Homelab-Geschichte einen Moment, in dem jemand leise gesteht, sich einmal wegen einer schlechten Firewall-Regel oder kaputten Netzwerkkonfiguration komplett selbst offline gebracht zu haben. Und mehrere Nutzer im Thread versuchten, dem OP zu helfen, diese Fehler nicht zu wiederholen.

Mehrere Leute empfahlen, ein PicoKVM, JetKVM, Waveshare-Board oder ein anderes winziges IP-KVM mit integriertem Stromrelais einzusetzen. Das ist die Homelab-Version davon, einen Ersatzschlüssel unter einem Stein zu verstecken: Man braucht ihn nie, bis zu dem Tag, an dem man ihn unbedingt braucht. Und dann macht er den Unterschied, ob Sie eine falsch konfigurierte Schnittstelle bequem von der Couch aus reparieren oder Ihren Freund anbetteln müssen, eine Maschine aus- und wieder einzustecken, während Sie dasitzen und hoffen, dass Proxmox wieder hochkommt. Wer einen entfernten Hypervisor betreibt, sollte ein Out-of-Band-Zugriffsgerät deshalb als Versicherung einplanen.

Was ist also die richtige Antwort?

Das Schöne daran ist, dass hier jeder seine eigene Version von „richtig“ hat. Wenn Sie die nützlichsten Ratschläge aus dem Thread zusammenmischen, bekommen Sie ungefähr Folgendes:

1. Einen WireGuard- oder Tailscale-Endpunkt auf einem dedizierten Router bei Ihrem Freund platzieren, damit der Zugriff auch dann steht, wenn der Host spinnt.

2. Dem Proxmox-Host nur eine einzige reservierte IP in deren Netzwerk geben und alles andere hinter einem privaten VNet, NAT oder einer OPNSense-/pfSense-VM leben lassen.

3. Einen Cloudflare- oder Pangolin-Tunnel hinzufügen, wenn Sie Browser-Zugriff ohne VPN wollen, dann aber mit starker Authentifizierung.

4. Und für Ihre eigene geistige Gesundheit ein Remote-KVM mit Stromkontrolle installieren, denn irgendwann werden Sie das Netzwerk kaputt machen.

Der ganze Prozess klingt kompliziert, und das ist er auch, aber es ist die Art von Komplexität, die Homelabber genießen. Chaotisch, leicht über-engineert und voller kleiner „oh, das ist clever“-Momente, also die Art Rätsel, die sich nur zu lösen lohnt, wenn man diesen Kram liebt.

Und wahrscheinlich macht genau das solche Threads so unterhaltsam zu lesen. Einen entfernten Proxmox-Host einzurichten ist eine technische Herausforderung und gleichzeitig eine Art kollaborative Kunstform, bei der ein halbes Dutzend Leute mit Kampfnarben auftaucht und sagt: „So habe ich meine Maschine online gehalten. Hoffentlich erspart es dir ein Wochenende.“

Für viele macht genau das den Spaß am Homelabbing aus: die gemeinsamen Geschichten über alles, was schiefgeht, und all die schrägen Lösungen, die sich Menschen ausdenken, um die Lichter am Leuchten zu halten.