🌐 Dahoam Mesh-Weiche

Zentrale Vermittlungsstelle (Traefik v3 & Headscale) zur Anbindung dezentraler Homeserver via IPv64.

Status Was bisher gezaubert wurde

VPS Basis & Härtung: 2-Core / 2GB Hostkey VPS mit Debian gehärtet (Key-only SSH mit prohibit-password, UFW Firewall für Port 22/80/443, Fail2ban, automatische Upgrades).
Traefik v3: Zentraler Reverse Proxy auf Port 80 & 443 mit automatischer Let's Encrypt TLS-Terminierung via HTTP-01 Challenge.
Headscale: Open-Source Tailscale Control-Plane läuft intern auf Port 8080.
DNS & Wildcard Routing: Umstellung von dynv6 auf aopen.nas64.de mit Wildcard-A-Record auf die VPS-IP. Keine Rate-Limit-Konflikte mehr.
Zero-Touch Client-Verbindung: Pre-Auth-Keys erlauben es Homeservern (Dahoam-Knoten), sich per Einzeiler vollautomatisch anzumelden.

📖 Das Rezept: Client verbinden (Onboarding)

1. Auf dem VPS einen Pre-Auth-Key für den Kunden / Node generieren:

# User-ID ermitteln
docker exec headscale headscale users list

# Einmal-Key erzeugen (z. B. für User ID 1)
docker exec headscale headscale preauthkeys create --user 1 --expiration 24h

2. Auf dem Homeserver / Client den Tailscale-Tunnel starten:

tailscale up \
  --login-server https://headscale.aopen.nas64.de \
  --authkey <GENERIERTER-KEY> \
  --hostname dahoam-client01 \
  --accept-routes

3. Status prüfen:

docker exec headscale headscale nodes list

To-Do Was jetzt noch fehlt

Traefik Auto-Sync Script: Ein kleiner Daemon/Cronjob, der headscale nodes list -o json parst und für jeden aktiven Client automatisch eine Traefik-Konfiguration (z. B. für Immich auf Port 2283, Nextcloud auf Port 80) in /opt/headscale-traefik/traefik/dynamic/kunden/ ablegt.
Tailscale Container im VPS Docker-Netzwerk: Damit Traefik die internen 100.64.x.x-IPs der Clients direkt ansprechen kann, benötigt Traefik Zugriff auf das Tailscale-Netzwerk (entweder über Tailscale auf dem Host oder als Sidecar-Container).
Bootstick Disaster Recovery Script: Ein Autostart-Script für Debian/DietPi, das beim Erststart eine Konfigurationsdatei vom Stick liest, tailscale up ausführt und den Dienst meldet.
Kunden- & Buchungsverwaltung: Schlankes Backend (z. B. PocketBase) für Lizenzen und Domain-Zuweisung.