Small Office Architektur
Ein robustes Heimnetz mit SoHo-Prinzipien
Die Kernidee
Eine gute SoHo-Architektur ist keine verkleinerte Enterprise-IT.
Sie verbindet professionelle Prinzipien mit pragmatischen Lösungen, die zu den
eigenen Anforderungen passen.
Kurz gesagt: So viel Architektur wie nötig – und so wenig Komplexität wie
möglich.
Die Bausteine
Netzwerkarchitektur
Bildet die physische Basis und bietet eine logische Segmentierung
Serverarchitektur
Redundante Server und externe Backups für eine hohe Datensicherheit
Anwendungsarchitektur
Souverän und alltagstauglich
Netzwerkarchitektur
Physische Stabilität und logische Segmentierung
Das physische Netzwerk
Ein Cloud Gateway steuert zwei WAN-Verbindungen. Zwei Core-Switches im Keller
und im Büro bilden den Backbone für kabelgebundene Geräte und Access Points.
Ausfallsicherheit beginnt beim Internetzugang
- Glasfaser als schnelle Primärverbindung
- DSL als automatisches Dual-WAN-Fallback
- FritzBoxen für Telefonie, Zwangstrennung und autarken Notbetrieb
Ein physisches Netz, fünf Sicherheitszonen
VLANs trennen Geräte und Datenflüsse logisch voneinander. Zugriffe werden nur
dort erlaubt, wo sie tatsächlich benötigt werden.
Fünf VLANs mit klaren Aufgaben
Produktive Netze
- Server für zentrale Dienste und Peripherie
- Geschützte Clients mit Malware-Schutz und Adblocker
- Ungeschützte Clients als gezielte Ausweichmöglichkeit
Isolierte Netze
- IoT ohne Zugriff auf andere VLANs und mit gefiltertem Internetzugang
- Gäste ausschließlich mit einfachem Internetzugang
Segmentierung begrenzt den Schaden, wenn ein Gerät kompromittiert wird.
WLAN ist der Eingang – das VLAN bestimmt die Regeln
Drei WLANs
- Client-WLAN
- IoT-WLAN
- Gäste-WLAN
Vier verkabelte Access Points versorgen das Haus flächendeckend und werden per
PoE betrieben.
Bewusste Zuordnung
Jedes WLAN führt in die passende Sicherheitszone. Einzelne Clients lassen sich
bei Bedarf gezielt zwischen geschütztem und ungeschütztem VLAN umbuchen.
Die Funkverbindung ändert nicht das Sicherheitsmodell.
Zwei Tunnel für zwei Aufgaben
WireGuard ermöglicht den sicheren Zugriff auf interne Daten. Ein
Cloudflare-Tunnel veröffentlicht Anwendungen aus einer physisch getrennten
DMZ – trotz Carrier-Grade NAT.
Server und Backups
Aufgaben trennen, Ausfälle einplanen, Daten schützen
Vier Server mit klaren Rollen
Dienste
- Cloud-Server: öffentliche Anwendungen in der DMZ
- Primäres NAS: Daten, Docker-Anwendungen und lokale Sicherungen
Resilienz
- Sekundäres NAS: externes Backup-Ziel und möglicher Ersatz
- Raspberry Pi: unabhängiger Betrieb von Home Assistant
Die Trennung reduziert Abhängigkeiten und hält kritische Funktionen verfügbar.
Mehrstufige Backup-Architektur
Produktivdaten werden lokal versioniert, auf ein zweites NAS repliziert und
verschlüsselt außer Haus gesichert. Die täglichen Läufe begrenzen den möglichen
Datenverlust auf höchstens einen Tag.
Anwendungsarchitektur
Selbst gehostet, containerisiert und alltagstauglich
Die Systemlandschaft
Ein Reverse Proxy, internes DNS und eine eigene Zertifizierungsstelle schaffen
lesbare URLs und verschlüsselte Zugriffe auf die internen Anwendungen.
Betrieb und Anwendungen trennen
Systemverwaltung
- Docker Compose und Portainer
- nginx als Reverse Proxy und TLS-Terminierung
- HoLa Log für Logging und Monitoring
- rsync, Borg und Autopacker für Backups
Endnutzer
- Homepage als Intranet-Startseite
- Samba und OpenCloud für Dateien
- Paperless NGX für Dokumente
- Forgejo für Quellcode
Der Nutzer sieht Dienste – die Betriebswerkzeuge bleiben im Hintergrund.
Ein einfacher Zugang zu vielen Diensten
Homepage bündelt Bookmarks und Systemstatus unter https://home.lan. Die
Technik dahinter bleibt für Endnutzer weitgehend unsichtbar.
Pragmatismus schlägt technischen Ehrgeiz
Bewusst eingesetzt
- 1 GBit/s als ausreichender Standard
- verkabelte Access Points statt Repeater
- Docker für portable Anwendungen
- kleine Skripte für konkrete Aufgaben
Bewusst verworfen
- unnötig komplexe Modem-Konfigurationen
- Enterprise-Logging für ein Heimnetz
- zusätzliche Container-Verwaltung ohne Mehrwert
- Anwendungen, die nicht zum eigenen Workflow passen
Eine Architektur ist keine Blaupause
Technologien sind nur dann sinnvoll, wenn sie konkrete Anforderungen erfüllen.
Robustheit entsteht nicht durch maximale Komplexität, sondern durch passende
Strukturen, klare Grenzen und einen Plan B.
Fazit
Eine gute Small-Office-Architektur verbindet Netzwerk, Sicherheit, Server,
Backups und Anwendungen zu einer robusten Systemlandschaft.
Sie wächst durch Ausprobieren – und durch den Mut, unnötige Komplexität wieder
zu entfernen.