Domain, DNS und Erreichbarkeit

Damit Mitglieder und Vorstand die Dienste von überall erreichen, braucht es eine Domain und einen Weg vom Internet zum Server im Vereinsheim oder Wohnzimmer.

Die Grundbegriffe

Domain	der Name, z. B. meinverein.de. Kostet bei deutschen Anbietern wenige Euro im Jahr.
Subdomain	ein Unter-Name pro Dienst, z. B. docs.meinverein.de oder mitglieder.meinverein.de. Kostet nichts extra.
DNS	das „Telefonbuch“ des Internets: übersetzt Namen in IP-Adressen.
A- / AAAA-Eintrag	DNS-Eintrag, der einen Namen auf eine IPv4- bzw. IPv6-Adresse zeigen lässt.
CNAME	ein Name, der auf einen anderen Namen zeigt. Praktisch für viele Subdomains.

Welche Subdomains ich anlege

home.meinverein.de        A      → öffentliche IP (per DynDNS aktuell gehalten)
docs.meinverein.de        CNAME  → home.meinverein.de     (Paperless)
medien.meinverein.de      CNAME  → home.meinverein.de     (ResourceSpace)
mitglieder.meinverein.de  CNAME  → home.meinverein.de     (Admidio)
flows.meinverein.de       CNAME  → home.meinverein.de     (n8n)
www.meinverein.de         CNAME  → home.meinverein.de     (WordPress)
cloud.meinverein.de       CNAME  → home.meinverein.de     (Nextcloud)
tresor.meinverein.de      CNAME  → home.meinverein.de     (Vaultwarden)
status.meinverein.de      CNAME  → home.meinverein.de     (Uptime Kuma)
login.meinverein.de       CNAME  → home.meinverein.de     (Keycloak, optional)

Alle Namen zeigen auf dieselbe Adresse. Welcher Dienst geantwortet wird, entscheidet später der Reverse Proxy anhand des Namens.

Der Weg ins Heimnetz

Weg A: Portfreigabe + DynDNS (klassisch)

Funktioniert, wenn der Internetanschluss eine echte öffentliche IPv4-Adresse hat.

1. DynDNS: Heimanschlüsse bekommen regelmäßig eine neue IP. Ein DynDNS-Dienst hält den Namen aktuell. Viele Router können das selbst (bei der FRITZ!Box unter Internet → Freigaben → DynDNS), viele Domain-Anbieter bieten eine passende Update-URL an.
2. Portfreigabe: Im Router die Ports 80 und 443 (TCP) an den Proxy-Container weiterleiten, hier 192.168.178.30. Sonst nichts! Insbesondere nicht 8006 (Proxmox) oder 22 (SSH).

Weg B: Tunnel (wenn Portfreigabe nicht geht)

Viele Glasfaser- und Kabelanschlüsse haben keine eigene öffentliche IPv4-Adresse mehr (Stichwort DS-Lite oder CGNAT). Dann kommt von außen nichts an. Zwei Auswege:

• Kleiner VPS als Brücke: Ein günstiger virtueller Server mit fester IP, verbunden per WireGuard-VPN mit dem Thin Client. Der VPS nimmt die Anfragen an und reicht sie durch den Tunnel weiter. Volle Kontrolle, etwas mehr Aufwand.
• Cloudflare Tunnel: Ein kleiner Dienst auf der VM baut eine ausgehende Verbindung zu Cloudflare auf, ohne Portfreigabe. Sehr bequem, aber der Datenverkehr läuft über einen US-Anbieter. Für Mitgliederdaten genau abwägen.

Nicht alles gehört ins Internet

Die Proxmox-Oberfläche, SSH und reine Verwaltungsdienste bleiben im lokalen Netz. Wer von unterwegs darauf zugreifen muss, verbindet sich per VPN. Die FRITZ!Box bringt WireGuard bereits mit, alternativ läuft WireGuard in einem eigenen kleinen Container aus der Vorlage.

Prüfen, ob alles stimmt

# zeigt der Name auf die richtige IP?
dig +short docs.meinverein.de

# meine aktuelle öffentliche IP
curl -4 ifconfig.me

Weiter: nginx als Reverse Proxy →