Home lab con Proxmox
Server domestico con servizi self-hosted, backup cifrati su tre livelli e accesso remoto senza porte aperte.
Il problema
Foto di famiglia, password, film e domotica sparsi tra servizi cloud diversi e un NAS ormai senza aggiornamenti di sicurezza. L’obiettivo: riportare tutto in casa, su un unico server piccolo e silenzioso, raggiungibile da ogni telefono della famiglia, senza aprire nemmeno una porta su internet e con backup di cui fidarsi davvero.
Le scelte
Un mini PC da ufficio da 35 W con Proxmox VE. Consuma poco, sta in un rack da 10” stampato in 3D e ha una GPU integrata sufficiente per transcodifica video e riconoscimento delle foto.
Container per l’infrastruttura, VM solo dove serve. I container LXC usano solo la RAM che consumano davvero e condividono la GPU integrata; una VM c’è solo dove è obbligatoria (Home Assistant). Risultato misurato: otto container e una VM occupano circa 5,4 GB di RAM su 24.
GPU condivisa, non assegnata. Il passthrough PCI darebbe la GPU a un solo servizio: condivisa tra container, la usano sia la libreria video sia quella fotografica.
Niente ZFS. Due dischi di taglia diversa non fanno un mirror: la cache di ZFS costerebbe RAM senza dare ridondanza. LVM-thin offre comunque gli snapshot.
Accesso da fuori senza porte aperte. La connessione di casa è dietro CGNAT e nessuna porta è esposta: da fuori si entra solo con Tailscale, che pubblica i singoli indirizzi necessari e non l’intera rete. NAS e dispositivi smart restano irraggiungibili dall’esterno.
HTTPS valido su ogni dispositivo. Un reverse proxy Caddy con certificato wildcard Let’s Encrypt ottenuto via DNS-01: nessuna autorità di certificazione da installare sui telefoni, nessun servizio pubblicato su internet.
Backup su tre livelli, cifrati sul client. Proxmox Backup Server con deduplica; una copia notturna sul NAS, che riceve i dati già cifrati; una copia mensile offline su disco scollegato, l’unica difesa contro un ransomware che cifra anche le condivisioni di rete. La chiave è nel password manager e su carta.
Notifiche solo quando serve. Un unico bot Telegram per host, backup, dischi e servizi. I successi non si notificano: se arriva un messaggio, c’è qualcosa da guardare.
Aggiornamenti prudenti. Automatici solo quelli di sicurezza di Debian; le applicazioni si aggiornano a mano, dopo un avviso e uno snapshot.
Il metodo
Tutto sta in un repository git: configurazioni, procedure di ripristino e un registro delle decisioni, con il perché di ogni scelta e le alternative scartate. C’è anche una guida non tecnica per la famiglia. Ogni notte uno script con credenziali in sola lettura aggiorna l’inventario dei server in Notion.
Cosa ho imparato
A gestire un’infrastruttura su più livelli e a far convergere esigenze diverse (foto, password, film, domotica, backup, accesso da fuori) in un’unica soluzione, semplice e veloce da usare per tutta la famiglia.