Hetzner VPS – alle Dienste, die von außen erreichbar sein müssen. Reverse Proxy: NGINX Proxy Manager (ersetzt Caddy seit Juni 2026), TLS via Let’s Encrypt (DNS-01 über Hetzner API).
Container-Verwaltung: Komodo Core (+FerretDB/Postgres) läuft hier und managt beide Hosts – die NAS hängt als Outbound-Periphery dran. Löste im Juli 2026 Portainer (Server hier + Edge Agent auf der NAS) und Watchtower ab. Image-Tags durchgängig gepinnt (nicht :latest).
In meinem Remote Server laufen aktuell folgende Services als Docker Container.
Produktiv
Stacks / Docker Compose
- Komodo Core (+FerretDB/Postgres) — Container-Management für beide Hosts (bewusst außerhalb der Selbstverwaltung – es ist das Management-Werkzeug)
- Authentik — Live-Instanz (SSO/IdP)
- NGINX Proxy Manager — Reverse Proxy (Admin nicht öffentlich verlinkt)
- Forgejo — Git-Hosting (seit Oktober 2026, vorher Gitea), siehe Forgejo
- Karakeep — Live-Instanz
- Kimai — Live-Instanz
- Monitoring Stack
- CadVisor — Container-Metriken (Basic Auth, nicht öffentlich)
- Node-Exporter — Host-Metriken (Basic Auth, nicht öffentlich)
- Plausible Analytics — Quelle · Live-Instanz
Standalone
- Stirling PDF — Quelle · Live-Instanz
- PrivateBin — Live-Instanz
- PairDrop — Live-Instanz
- Ntfy — Live-Instanz
- Endlessh – kein Web-UI (SSH-Tarpit)
- Bind - Für DynDNS-Updater (Siehe HomeServer)
- Custome Docker-Image auf Basis von Ubuntu/bind9
Im Aufbau
Stacks / Docker Compose
Zugriff & Domains
Öffentliche Dienste
Nur öffentliche End-User-Dienste — Infra-/Admin-Oberflächen (Reverse-Proxy-, CI-, Container-Management) sind bewusst nicht gelistet.
| Domain | Dienst | Anmerkung |
|---|---|---|
| authn.nettailor.net | Authentik | SSO/IdP für alle Dienste |
| ntfy.nettailor.net | ntfy | Push-Notifications |
| drop.nettailor.net | Pairdrop | Lokales AirDrop-Äquivalent |
| txt.nettailor.net | PrivateBin | Verschlüsseltes Paste-Tool |
| pdf.nettailor.net | Stirling PDF | PDF-Toolbox, Auth via Authentik Forward Auth |
| hamster.rikes.design | Karakeep | Bookmark-Manager |
| analytics.nettailor.net | Plausible Analytics CE | Webanalyse, Auth via Authentik Forward Auth |
| time.maisec.de | Kimai | Zeiterfassung |
| djk.veedel.net | WordPress | Externe Seite |
| garden.nettailor.net | Digital Garden | Quartz/Obsidian, Build+Deploy über Komodo-Repo (Push → on_pull → node:22-Build → statisch nach NPM-Webroot) |
| lost.nettailor.net | Lost Page | Statische Seite (plain HTML), Deploy über Komodo-Repo (Push → on_pull → copy nach NPM-Webroot) |
| www/nettailor.net | – | 301 Redirect auf garden.nettailor.net |
Monitoring
Host- und Container-Metriken (node-exporter, cAdvisor, Docker-Daemon) werden per Prometheus erfasst und sind nur hinter Basic Auth erreichbar.
Sicherheit
- endlessh-go (tarpit) – SSH-Tarpit auf dem Standard-SSH-Port, der Scanner in Endlosschleifen festhält. Der echte SSH-Zugang läuft auf einem abweichenden, nicht veröffentlichten Port.
- Hetzner Cloud Firewall – nur die nötigen Ports offen (HTTP/HTTPS, DNS, SSH).
- BIND – Autoritativer Nameserver (Details siehe Infrastruktur).