myl3z.me

Boot-Stick im Terminal

Mon, 01 Jan 0001 00:00:00 +0000

Boot-Stick im Terminal#

Ein bootfaehiger USB-Stick aus einer ISO — ohne Zusatzsoftware, nur mit lsblk, umount und dd. Das Beispiel schreibt einen Debian-Netinst-Installer, funktioniert aber mit jeder Hybrid-ISO gleich. Was die einzelnen Befehle genau tun, steht unter lsblk, umount, dd, sync.

dd fragt nicht nach und kennt kein Undo. Ein falscher Geraetename ueberschreibt die Systemplatte. Das Ziel vor dem Ausfuehren zweimal pruefen.

Geraet ermitteln#

lsblk -o NAME,SIZE,MODEL,TRAN,MOUNTPOINTS

Beispielausgabe:

NAME SIZE MODEL TRAN MOUNTPOINTS
nvme0n1 1.8T Samsung SSD
├─nvme0n1p1 1G /boot
└─nvme0n1p2 1.8T /
sdb 28.7G SanDisk Ultra usb
└─sdb1 28.7G /run/media/xander/USB

TRAN usb, die passende Groesse und der Modellname identifizieren den Stick: hier /dev/sdb.

Pi-hole per DHCP verteilen (UDM)

Mon, 01 Jan 0001 00:00:00 +0000

Pi-hole per DHCP verteilen#

Ein DNS-Server, den niemand fragt, filtert nichts. Nach der Installation von Pi-hole laeuft der Dienst zwar, aber jedes Geraet im Haushalt bekommt beim Verbinden weiterhin die Adresse des Gateways als Nameserver genannt und haelt sich daran. Der Filter steht daneben und sieht zu.

Die Stelle, an der das entschieden wird, ist ein einziges Feld im DHCP-Server des Gateways — bei einer UniFi Dream Machine also in der Netzwerk-Konfiguration, nicht auf dem Server, auf dem Pi-hole liegt.

Was ist ddev

Mon, 01 Jan 0001 00:00:00 +0000

Was ist ddev#

ddev ist ein Open-Source-Werkzeug, das lokale Entwicklungsumgebungen in Docker-Containern erzeugt und verwaltet. Statt PHP, MySQL, Node und nginx auf dem eigenen Rechner zu installieren und zu pflegen, beschreibt man in einer Datei, was ein Projekt braucht — und ddev baut daraus eine laufende Umgebung.

Konkret: ddev start in einem Projektverzeichnis, und wenige Sekunden spaeter laeuft der Shop unter einer HTTPS-Adresse.

Das Problem, das es loest#

Ohne so ein Werkzeug hat jeder Entwickler eine andere Umgebung. Ein Shop verlangt PHP 8.2, der naechste 8.4. Auf dem Server laeuft MySQL 8.4, lokal MariaDB 10.6. Der Kollege hat eine andere Node-Version, deshalb sieht sein Storefront-Build anders aus. Das Ergebnis kennt jeder: “Bei mir laeuft es.”

Wie diese Seite gebaut ist

Mon, 01 Jan 0001 00:00:00 +0000

Wie diese Seite gebaut ist#

Die Seite laeuft auf Hugo mit dem Theme hugo-book und wird auf GitHub Pages deployed. Diese Seite ist gleichzeitig Referenz fuer das Setup und Demo der Theme-Shortcodes.

Struktur#

myl3z.me/
├── hugo.toml # eine Config, beide Sprachen
├── content.en/ # Standardsprache → myl3z.me/
│ ├── docs/ # Sidebar-Baum
│ └── posts/ # datierte Eintraege, ein Ordner je Projekt
├── content.de/ # → myl3z.me/de/
├── assets/_custom.scss # eigene Styles
├── layouts/posts/ # Blog-Liste und -Feed, siehe unten
├── themes/hugo-book/ # Git-Submodule, gepinnt auf v13
└── .github/workflows/hugo.yml

Uebersetzungen werden ueber den Pfad zugeordnet: content.en/docs/tooling/site-setup.md und content.de/docs/tooling/site-setup.md sind dieselbe Seite in zwei Sprachen. Der Sprachumschalter erscheint nur, wenn die Uebersetzung existiert — es muss also nicht alles doppelt geschrieben werden.

VLANs verstehen

Mon, 01 Jan 0001 00:00:00 +0000

VLANs verstehen#

Ein Switch leitet Frames anhand von MAC-Adressen weiter und kennt keine Netze. Alles, was an ihm haengt, liegt in derselben Broadcast-Domain: Ein ARP-Request erreicht jeden Port, jedes Geraet sieht jedes andere. Genau das soll die Segmentierung beenden — und ein VLAN ist das Mittel, mit dem ein einzelner Switch so tut, als waere er mehrere.

Das Tag#

Die Grundlage ist IEEE 802.1Q: vier zusaetzliche Bytes im Ethernet-Frame, direkt hinter der Absender-MAC. Darin stehen unter anderem zwoelf Bit VLAN-ID, also 4094 nutzbare Nummern — 0 und 4095 sind reserviert.

ddev installieren

Mon, 01 Jan 0001 00:00:00 +0000

ddev installieren#

Einmal pro Rechner. Danach ist jedes weitere Projekt eine Sache von Minuten.

Es braucht genau zwei Dinge: Docker und ddev. Alles andere — PHP, Composer, Node, MySQL — liefert ddev in Containern mit.

Schritt 1: Docker#

ddev braucht einen Docker-Provider. Welcher, ist weitgehend egal, solange er laeuft.

Linux

Docker CE direkt aus der Distribution, das ist die schnellste Variante:

# Arch
sudo pacman -S docker docker-buildx
sudo systemctl enable --now docker
sudo usermod -aG docker "$USER"

# Debian / Ubuntu
curl -fsSL https://get.docker.com | sudo sh
sudo usermod -aG docker "$USER"

Nach usermod einmal ab- und wieder anmelden, sonst fehlen die Rechte auf den Docker-Socket.

lsblk, umount, dd, sync

Mon, 01 Jan 0001 00:00:00 +0000

lsblk, umount, dd, sync#

Die vier Befehle, mit denen man unter Linux an Blockgeraete herangeht: eines finden, es freigeben, es beschreiben und sicherstellen, dass die Daten wirklich drauf sind. Angewandt werden sie unter Boot-Stick im Terminal.

lsblk — Blockgeraete auflisten#

lsblk liest den Geraetebaum aus dem Kernel (/sys/block) und stellt ihn als Baum dar: physische Datentraeger als Wurzel, ihre Partitionen als Kinder. Es braucht keine Root-Rechte und fasst nichts an.

lsblk

NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINTS
nvme0n1 259:0 0 1.8T 0 disk
├─nvme0n1p1 259:1 0 1G 0 part /boot
└─nvme0n1p2 259:2 0 1.8T 0 part /
sdb 8:16 1 28.7G 0 disk
└─sdb1 8:17 1 28.7G 0 part /run/media/xander/USB

Die Standardspalten sagen wenig ueber die Herkunft eines Geraets. Mit -o waehlt man selbst aus:

Netz-Layout mit VLANs

Mon, 01 Jan 0001 00:00:00 +0000

Netz-Layout mit VLANs#

Das Netz bestand aus einem einzigen Segment: 10.10.0.0/16, alles darin, vom Gateway ueber den Thin Client bis zum Fernsehgeraet. Das funktioniert, solange man nur eine Maschine hat. Es bedeutet aber, dass jedes Geraet jedes andere direkt erreicht — der Saugroboter den Arbeitsrechner, der Fernseher das Management der UDM.

Seit dem 23. August 2026 sind es sechs Segmente. Diese Notiz beschreibt das Layout und die Ueberlegungen dahinter; der Ablauf des Umbaus steht unter VLANs auf der UDM einrichten, die Begriffe unter VLANs verstehen.

Shopware 6 aufsetzen

Mon, 01 Jan 0001 00:00:00 +0000

Shopware 6 aufsetzen#

Vom leeren Verzeichnis zum eingerichteten Shop. Als Beispiel dient tydace, ein frisch aufgesetzter Shopware-6.7-Shop.

Zeitbedarf: knapp zehn Minuten, davon das meiste Warten auf Composer.

Grundgeruest#

1. Projekt anlegen#

mkdir tydace && cd tydace
ddev config --project-type=shopware6 --docroot=public

ddev config schreibt .ddev/config.yaml. Der Projekttyp shopware6 setzt die passende nginx-Konfiguration und die Umgebungsvariablen, die Shopware erwartet; --docroot=public sagt ddev, wo index.php liegt.

Der Projektname ergibt sich aus dem Verzeichnisnamen und bestimmt die spaetere Adresse: tydace -> https://tydace.ddev.site.

Statische IP mit ifupdown

Mon, 01 Jan 0001 00:00:00 +0000

Statische IP mit ifupdown#

Ein Server, den andere Geraete ansprechen sollen, braucht eine Adresse, die sich nicht aendert. Per DHCP bekommt er irgendeine — nach einem Neustart des Routers moeglicherweise eine andere, und jede Konfiguration, die auf die alte zeigt, laeuft ins Leere. Besonders bei einem DNS-Server ist das keine Option: dessen Adresse tragen alle Clients fest ein.

Eine Debian-Installation ohne Desktop verwaltet das Netzwerk mit ifupdown ueber /etc/network/interfaces. NetworkManager und systemd-networkd loesen dieselbe Aufgabe, sind auf einem Netinst-System aber nicht im Spiel.

VLANs auf der UDM einrichten

Mon, 01 Jan 0001 00:00:00 +0000

VLANs auf der UDM einrichten#

Der Ablauf, in dem der Umbau von einem flachen 10.10.0.0/16 auf sechs Segmente tatsaechlich funktioniert hat — inklusive der zwei Stellen, an denen der geplante Ablauf nicht funktioniert hat. Das Layout dahinter steht unter Netz-Layout mit VLANs, die Begriffe unter VLANs verstehen.

Zuerst: das alte Netz verkleinern#

Der Plan sah vor, die neuen Netze anzulegen, waehrend das bestehende unberuehrt bleibt, und das alte Netz erst zum Schluss auf /24 zu verkleinern. Das laesst sich nicht durchhalten.

Firewall zwischen Segmenten

Mon, 01 Jan 0001 00:00:00 +0000

Firewall zwischen Segmenten#

Segmente allein trennen nichts. Sobald die Netze geroutet werden — und das tun sie, sonst kaeme niemand ins Internet — entscheidet ausschliesslich das Regelwerk auf dem Gateway, wer wen erreicht. Das VLAN sorgt nur dafuer, dass der Verkehr ueberhaupt am Gateway vorbeikommt und dort bewertet werden kann.

Die Grundregel#

Verbot als Standard, Erlaubnis als Ausnahme. Jedes Segment darf ins Internet, keines untereinander — und davon abweichend nur, was einen konkreten Anlass hat.

SSH-Config und Key-Login

Mon, 01 Jan 0001 00:00:00 +0000

Ohne Konfiguration besteht jede Verbindung aus derselben Tipparbeit:

ssh -i ~/.ssh/id_rsa xander@10.10.10.3

Adresse, Benutzer und Schluessel gehoeren nicht in die Kommandozeile, sondern in die Client-Konfiguration unter ~/.ssh/config. Dort steht pro Host, wie die Verbindung aussehen soll — danach genuegt der Alias:

ssh dns01

Der Eintrag#

Host dns01
 HostName 10.10.10.3
 IdentityFile /home/xander/.ssh/id_rsa
 IdentitiesOnly yes

Zeile	Bedeutung
`Host dns01`	der Name, den man auf der Kommandozeile tippt. Frei waehlbar und unabhaengig vom echten Hostnamen; alles bis zum naechsten `Host` gehoert zu diesem Block
`HostName 10.10.10.3`	wohin tatsaechlich verbunden wird — IP oder DNS-Name
`IdentityFile`	der private Schluessel fuer diese Verbindung. Der oeffentliche daneben (`.pub`) liegt auf dem Server
`IdentitiesOnly yes`	nur diesen Schluessel anbieten, nichts anderes

Der Datei-Abschnitt ist eine Sammlung von Defaults, keine Verbindung fuer sich. Er greift bei allem, was auf den Alias passt — also auch bei scp, rsync und git, die denselben SSH-Client verwenden:

Taeglich damit arbeiten

Mon, 01 Jan 0001 00:00:00 +0000

Taeglich damit arbeiten#

Der Shop laeuft. Was jetzt zaehlt, sind die zehn Kommandos, die man wirklich taeglich benutzt — und ein paar Gewohnheiten, die viel Zeit sparen.

Die Grundregel#

Alles, was den Shop betrifft, laeuft im Container. Also ddev composer statt composer, ddev console statt bin/console, ddev npm statt npm. Der Grund ist immer derselbe: im Container gelten die PHP- und Node-Versionen des Projekts, auf dem Rechner die des Rechners.

sudo nachruesten

Mon, 01 Jan 0001 00:00:00 +0000

sudo nachruesten#

Auf einer frischen Debian-Installation kann sudo fehlen — und zwar abhaengig von einer Entscheidung, die man beim Installieren getroffen hat, ohne die Folge zu sehen:

Root-Passwort im Installer	Ergebnis
vergeben	root ist aktiv, `sudo` wird nicht installiert
leer gelassen	root ist gesperrt, `sudo` wird installiert und der erste Benutzer in die Gruppe `sudo` aufgenommen

Wer also ein Root-Passwort gesetzt hat, steht anschliessend vor einem sudo: command not found und muss nachruesten.

WLAN auf VLANs verteilen

Mon, 01 Jan 0001 00:00:00 +0000

WLAN auf VLANs verteilen#

Am Kabel entscheidet der Switch-Port, in welchem Segment ein Geraet landet. Im WLAN gibt es keinen Port — dort entscheidet die SSID. Jedes Funknetz wird genau einem VLAN zugeordnet, und womit sich ein Geraet verbindet, bestimmt, wo es liegt.

Eine SSID je Segment#

SSID	Netz	Besonderheit
`xlab`	Clients (20)	WPA3/WPA2 gemischt, beide Baender
`xlab-IoT`	IoT (30)	nur 2,4 GHz, WPA2, PMF aus
`xlab-Kids`	Kids (25)	wie Clients, zusaetzlich Zeitfenster
`xlab-Guests`	Gaeste (40)	Client Device Isolation

Die Zuordnung steht in UniFi unter Settings → WiFi → SSID → Network. Das Feld heisst je nach Version Network oder VLAN; gemeint ist immer dasselbe.

Grundausstattung nach der Installation

Mon, 01 Jan 0001 00:00:00 +0000

Grundausstattung nach der Installation#

Eine Netinst-Installation ohne Desktop bringt bewusst wenig mit. Das ist die richtige Ausgangslage fuer einen Server — es haelt Angriffsflaeche und Update-Aufwand klein —, hat aber zur Folge, dass Werkzeuge erst dann auffallen, wenn man sie braucht. Diese Seite sammelt, was auf dem Homelab-Rechner nachtraeglich dazugekommen ist.

Ob ein Programm ueberhaupt fehlt, beantwortet:

command -v curl # Pfad, wenn vorhanden; sonst leer und Exit-Code 1
dpkg -l curl # Paketstatus: ii = installiert und konfiguriert

curl#

sudo apt install curl

curl holt Daten ueber HTTP, HTTPS und ein Dutzend weiterer Protokolle und schreibt sie standardmaessig nach stdout. Auf einem Server ohne Browser ist es das Standardwerkzeug fuer alles, was ueber das Netz kommt: Installations-Skripte, API-Abfragen, der schnelle Test, ob ein Dienst antwortet.

Pi-hole als DNS-Server

Mon, 01 Jan 0001 00:00:00 +0000

Pi-hole als DNS-Server#

Pi-hole ist ein DNS-Server mit Filter. Fragt ein Geraet nach einer Domain, die auf einer Blockliste steht, reicht Pi-hole die Anfrage nicht an den Upstream weiter, sondern beantwortet sie selbst — mit einer Adresse, die ins Leere zeigt. Der Vorteil gegenueber einem Blocker im Browser ist die Stelle, an der gefiltert wird: die Namensaufloesung nutzt jedes Geraet im Netz, auch das Fernsehgeraet und das Telefon des Besuchs, auf denen sich nichts installieren laesst.

Upstream-DNS waehlen

Mon, 01 Jan 0001 00:00:00 +0000

Upstream-DNS waehlen#

Pi-hole kennt die Adressen der Welt nicht. Es kennt Blocklisten und einen Cache — alles andere reicht es weiter an einen Upstream, und dessen Antwort gibt es an den Client zurueck. Damit ist der Upstream die Stelle, an der die Namensaufloesung des ganzen Haushalts das eigene Netz verlaesst.

Der Installer stellt die Frage einmal, mit Google als erstem Vorschlag, und wer bestaetigt, hat eine Entscheidung getroffen, ohne sie zu treffen.

Homelab, dritter Schritt — das Netz in Segmente schneiden

Sun, 23 Aug 2026 00:00:00 +0000

Homelab, dritter Schritt — das Netz in Segmente schneiden#

Der zweite Teil endete mit einem sauberen Aufbau und einem Plan fuer den naechsten Schritt: fuenf Segmente statt einem flachen /16. Der Plan lag seit Tagen fertig da, mit einer nummerierten Reihenfolge fuer den Umbau-Abend.

Von dieser Reihenfolge hat Schritt eins funktioniert. Danach fing das Netz an, zurueckzureden.

Warum ueberhaupt schneiden#

Bis zu diesem Abend war das Heimnetz ein einziger Raum. Alles darin: die Dream Machine, der Thin Client mit dem DNS-Filter, Telefone, der Arbeitsrechner, der Fernseher, der Drucker, ein paar Smart-Home-Geraete. Jedes Geraet konnte jedes andere direkt erreichen. Nicht, weil das irgendwo so eingestellt war, sondern weil nichts es verhinderte.

Homelab, zweiter Schritt — wem der DNS-Server vertraut

Thu, 20 Aug 2026 00:00:00 +0000

Homelab, zweiter Schritt — wem der DNS-Server vertraut#

Der erste Teil endete mit einem laufenden Pi-hole und dem Satz, dass ein laufender Dienst und ein benutzter Dienst zwei verschiedene Dinge sind. Drei Punkte standen offen. Zwei davon sind jetzt erledigt, und der dritte ist es bewusst nicht.

Der eine Haken im Router#

Der Filter lief seit Tagen und filterte nichts, weil ihn niemand fragte. Die UDM verteilte per DHCP weiterhin ihre eigene Adresse als Nameserver, und jedes Geraet im Haushalt hielt sich daran — ein Telefonbuch, das im Regal steht, waehrend alle beim alten nachschlagen.

Homelab, erster Schritt — Thin Client mit Debian 13

Sun, 16 Aug 2026 00:00:00 +0000

Homelab, erster Schritt — Thin Client mit Debian 13#

Ich baue mir ein Homelab. Nicht als Rack im Keller, sondern als etwas, das schrittweise waechst: ein Geraet, ein Dienst, aufschreiben, weitermachen.

Der erste Knoten ist ein Thin Client. Fuer den Anfang ist das die passende Klasse Hardware — er laeuft lautlos, zieht im Dauerbetrieb kaum Strom und ist gebraucht guenstig zu bekommen. Fuer die Dienste, die zuerst drauf sollen, reicht das mit Abstand.

Ueber mich

Mon, 01 Jan 0001 00:00:00 +0000

Ueber mich#

Ich bin Alexander Wolf, Co-Founder und CTO von 8mylez, einer Shopware-Agentur. Im Netz meist als myl3z unterwegs, auf GitHub als xndrdev.

Diese Seite#

Kein Portfolio, sondern ein Notizbuch, das oeffentlich liegt.

Der Grund ist eigennuetzig: Was man aufschreibt, versteht man besser, und was man erklaeren muss, hat man vorher nicht so gut verstanden, wie man dachte. Beim Schreiben der Notiz zu Pi-hole ist mir aufgefallen, dass der Server als einziges Geraet im Haus seinen eigenen Filter nicht benutzte. Das faellt beim Konfigurieren nicht auf, beim Formulieren schon.

myl3z.me

Boot-Stick im Terminal

Boot-Stick im Terminal#

Geraet ermitteln#

Pi-hole per DHCP verteilen (UDM)

Pi-hole per DHCP verteilen#

Was ist ddev

Was ist ddev#

Das Problem, das es loest#

Wie diese Seite gebaut ist

Wie diese Seite gebaut ist#

Struktur#

VLANs verstehen

VLANs verstehen#

Das Tag#

ddev installieren

ddev installieren#

Schritt 1: Docker#

lsblk, umount, dd, sync

lsblk, umount, dd, sync#

lsblk — Blockgeraete auflisten#

Netz-Layout mit VLANs

Netz-Layout mit VLANs#

Shopware 6 aufsetzen

Shopware 6 aufsetzen#

Grundgeruest#

1. Projekt anlegen#

Statische IP mit ifupdown

Statische IP mit ifupdown#

VLANs auf der UDM einrichten

VLANs auf der UDM einrichten#

Zuerst: das alte Netz verkleinern#

Firewall zwischen Segmenten

Firewall zwischen Segmenten#

Die Grundregel#

SSH-Config und Key-Login

SSH-Config und Key-Login#

Der Eintrag#

Taeglich damit arbeiten

Taeglich damit arbeiten#

Die Grundregel#

sudo nachruesten

sudo nachruesten#

WLAN auf VLANs verteilen

WLAN auf VLANs verteilen#

Eine SSID je Segment#

Grundausstattung nach der Installation

Grundausstattung nach der Installation#

curl#

Pi-hole als DNS-Server

Pi-hole als DNS-Server#

Upstream-DNS waehlen

Upstream-DNS waehlen#

Homelab, dritter Schritt — das Netz in Segmente schneiden

Homelab, dritter Schritt — das Netz in Segmente schneiden#

Warum ueberhaupt schneiden#

Homelab, zweiter Schritt — wem der DNS-Server vertraut

Homelab, zweiter Schritt — wem der DNS-Server vertraut#

Der eine Haken im Router#

Homelab, erster Schritt — Thin Client mit Debian 13

Homelab, erster Schritt — Thin Client mit Debian 13#

Ueber mich

Ueber mich#

Diese Seite#