Remote access vragen voor Unraid Server (Immich, etc)

[Divolex]

Hallo medetweakers,

Sinds kort heb ik een Unraid server thuis draaiend, maar loop nog een beetje vast op wat de juiste manier is van het openstellen van sommige containers die ik heb draaien.

Mijn grootste struikelpunt is bepalen wat de juiste manier is om containers zoals Immich en vaultwarden te gebuiken als ik of mijn familie weg is van huis. Nu is mijn familie niet heel technisch, dus moet het niet al te moeilijk opgezet worden.

Nu heb ik al wat onderzoek gedaan en heb de volgende dingen gevonden.

1. Het gebruik van Tailscale, zodat er geen poorten open hoeven worden gezet op mijn router. Mijn grootste vraag is dan is de always on vpn functie stabiel genoeg om bijvoorbeeld auto-upload te laten werken en is het makkelijk te gebruiken voor de familie. Niet dat ze het steeds aan/uit moeten zetten.

2. Een reverse-proxy opzetten met een eigen domeinnaam, zodat ik alleen maar een URL hoef in te vullen en ik kom bij mijn Immich pagina terecht. Nadeel is dan dat echt iedereen er bij zou kunnen miscchien.

3. Cloudflare Tunnels, maar deze valt denk ik al snel weg vanwege de uploadlimieten die Cloudflare heeft.

Mijn vraag is dus nu uiteindelijk.
Als jullie opnieuw zouden beginnen met het opzetten van remote access voor jezelf, maar ook voor familie hoe zouden jullie dat aanpakken en waarom?

[donny007]

Ik ben begonnen met Cloudflare Tunnels, dat werkt op zich goed maar dan staan je diensten nog steeds wagenwijd open naar de buitenwereld. Je kunt een tunnel wel afschermen met Cloudflare Access, maar dat werkt alleen goed in een webbrowser; client apps als Home Assistant en Immich kunnen daar niet lekker mee overweg.

Toen ben ik aan de slag gegaan met Cloudflare warp-to-warp, dat is een Tailscale-achtige peer-to-peer netwerkoplossing van Cloudflare. Warp-to-warp werkt met dezelfde serversoftware als Cloudflare Tunnels (cloudflared). Omdat het p2p is heb je ook geen HTTP uploadlimiet.

Warp-to-warp heb ik een tijdje gebruikt en werkte redelijk, al moest ik de Clouflare One app soms wel opnieuw verbinden om de routering aan de praat te krijgen. Het is wel echt een enterprise-grade oplossing, dus er is veel mogelijk maar ook heel veel uit te zoeken en te configureren.

Nu ben ik langzaamaan Amerikaanse big tech aan het uitfaseren, dus Cloudflare is inmiddels vervangen door plain Wireguard.

Wireguard draait op de router (OpenWRT), samen met een dynamic DNS tooltje om de DNS records van mijn domein up-to-date te houden.

Eenmaal geconfigureerd is het helemaal transparant, zodra ik mijn thuisnetwerk verlaat maakt de Wireguard app automatisch verbinding. Immich en Home Assistent blijven braaf werken met het lokale IP van mijn server, ook het uploaden van grote video's is geen probleem.

Het onboarden van een nieuwe Wireguard client is iets meer werk (je moet een keypair aanmaken, etc.), maar zodra het eenmaal is ingesteld (met on-demand activatie) heb je er geen omkijken meer naar.

Ik routeer overigens alleen lokaal verkeer over de VPN tunnel, dus niet al het internetverkeer van mijn clients. Eventueel zou je ook een tweede VPN-profiel kunnen maken om al het verkeer te routeren (voor wanneer je op een onvertrouwd netwerk zit).

Als je comfortabel bent met Wireguard zou ik dat eerst proberen, anders kun je altijd nog naar Cloudflare of Tailscale kijken.