mm-ds925

Synology DiskStation DS925+ für die Werkstatt. Dieses Repo enthält die Konfiguration, Docker-Stacks, Skripte und die Dokumentation der DiskStation.

Hardware & Netzwerk

• Modell: Synology DS925+
• DSM-Version: DSM 7.4.1-90080
• Hostname: mm-server
• IP: 192.168.178.10 (fest), Gateway 192.168.178.1
• MAC: 90:09:d0:97:96:82
• Zugriff: DSM-Weboberfläche http://192.168.178.10:8000 bzw. https://192.168.178.10:8001 (Ports von 5000/5001 geändert)
• DDNS: medimobility.synology.me (Synology-DDNS, öffentlich → IP der Fritzbox; im LAN liefert der DNS der Fritzbox direkt 192.168.178.10)
• Fritzbox-Portfreigabe: nur TCP 443 → 192.168.178.10:443
• Zertifikat: Let's Encrypt für medimobility.synology.me und *.medimobility.synology.me, von DSM verwaltet und automatisch erneuert; Standardzertifikat für DSM (8001)
• Firewall (DSM, Profil default), Reihenfolge wichtig:
  1. 192.168.178.0/24 → alle Ports: zulassen
  2. alle → TCP 443: zulassen
  3. 172.16.0.0/12 (Docker-Netze) → alle Ports: zulassen — sonst erreichen sich Container untereinander nicht
  4. alle → alle Ports: verweigern
• SSH: ssh mm-ds925@192.168.178.10 (Port 22, nur Schlüssel; Passwort-Anmeldung abgeschaltet)

Speicher

Volume	RAID-Typ	Laufwerke	Dateisystem	Zweck
volume1	SHR-2 (≙ RAID 6)	4 × 8 TB	Btrfs	Daten, Freigaben, Docker (/volume1/docker)

• Ausfallsicherheit: 2 beliebige Platten dürfen gleichzeitig ausfallen.
• Nutzbare Kapazität: entspricht 2 Platten, ca. 14 TB.
• Warum SHR-2 statt RAID 10: RAID 10 übersteht zwei Ausfälle nur, wenn sie in verschiedenen Spiegelpaaren liegen; SHR-2 garantiert es und erlaubt später den Tausch gegen größere Platten.
• Btrfs: Voraussetzung für Snapshots und Datei-Selbstheilung.
• Verschlüsselung: volume1 ist verschlüsselt (DSM-Volume-Verschlüsselung, AES). Schlüssel liegt im lokalen Schlüsseltresor der DS, das Volume entsperrt sich beim Booten automatisch (Docker startet normal).
  • Schützt bei Plattentausch/-entsorgung und Diebstahl einzelner Platten, nicht bei Diebstahl der kompletten DS (Schlüssel liegt mit drauf).
  • Wiederherstellungsschlüssel liegt offline: TODO (Aufbewahrungsort). Ohne ihn sind die Daten bei Verlust des Tresors (z. B. DSM-Neuinstallation) unwiederbringlich verloren. Nie ins Repo.

Freigaben & Benutzer

Freigabe	Pfad	Zugriff	Zweck
geplant	siehe docs/freigaben.md

• Administrator: mm-ds925 (DSM mit 2FA, SSH nur per Schlüssel)
• admin: Standardkonto, deaktiviert

Pakete & Dienste

• Container Manager — Docker-Stacks unter /volume1/docker/<dienst>/
• Snapshot Replication — stündliche/tägliche Btrfs-Snapshots der Freigaben
• TODO Hyper Backup (sobald ein Backup-Ziel existiert)

Docker-Dienste

Compose-Dateien unter docker/<dienst>/, Betrieb und Einrichtung in docs/dienste.md. Alle Web-Ports lauschen nur auf 127.0.0.1 und sind ausschließlich über den DSM-Reverse-Proxy (HTTPS, Wildcard-Zertifikat) erreichbar — auch von außen über Port 443.

Dienst	Adresse	Version	lokal
Vaultwarden	https://bitwarden.medimobility.synology.me	1.37.4	127.0.0.1:8100
Forgejo	https://git.medimobility.synology.me	15.0.9 (LTS bis 07/2027)	127.0.0.1:8200, Git-SSH 2222 (nur LAN)
Paperless-ngx	https://paperless.medimobility.synology.me	3.2.1	127.0.0.1:8300

Für alle Konten ist 2FA aktiv, Registrierung ist überall geschlossen.

Backup

• Snapshots (Snapshot Replication, lokal auf volume1):

  Freigabe	Zeitplan	#snapshot sichtbar
  docker	stündlich 00–23 Uhr	ja
  homes	stündlich 01–23 Uhr	ja
  Reports	täglich 01:00 (wenig Änderungen)	ja

  Aufbewahrung: stündlich 24, täglich 14, wöchentlich 8, monatlich 6; unveränderliche Snapshots 7 Tage (Schutz vor Löschen/Ransomware). Replikation (Port 5566) wird nicht genutzt, der Port bleibt von außen gesperrt.

• Externes Backup: TODO — Ziel existiert noch nicht. Bis dahin gibt es keine Kopie außerhalb der DS: SHR-2 schützt nur vor Plattenausfällen, Snapshots liegen auf denselben Platten (kein Schutz bei Brand, Diebstahl, Totalausfall der DS).

Repo-Struktur

mm-ds925/
├── README.md     # Überblick (diese Datei)
├── docker/       # Docker-Stacks für den Container Manager (je Dienst ein Unterordner)
├── scripts/      # Skripte für den DSM-Aufgabenplaner, Wartung, Backups
└── docs/         # Ausführliche Doku: Einrichtung, Diagnose, bekannte Probleme

Hinweis zu Zugangsdaten: Passwörter, Tokens und .env-Dateien gehören nicht ins Repo. Sie liegen nur auf der DiskStation (siehe .gitignore).