IT industrija već neko vrijeme sve više naginje prema service modelima. Jako puno već postojećeg softvera i usluga je također prešlo na modele clouda i pretplate, što je često i dodatni izvor frustracija iz više razloga. Mnogo toga se seli u oblak, podatke predajemo trećim stranama na čuvanje, vlasništvo nad softverom je diskutabilno jer sad ustvari unajmljujemo uslugu korištenja, a ne posjedujemo krajnji proizvod. Razna „freemium“ rješenja su često većinom dovoljno dobra, ali za neke dodatne mogućnosti ili više online prostora za pohranu zahtijevaju prelazak na plaćene modele. Sve redom problematike koje potiču ljude da jednostavno migriraju neke od tih usluga u vlastiti pogon i time se u jednom potezu riješe pretplata, ograničenja i ikakvih dilema oko sigurnosti podataka. Koncept self-hostinga kojim se bavimo u ovoj temi je baziran u lokalnoj mreži i ne izlaže niti jedan od servera niti servisa prema internetu za spajanje izvana. No, VPN rješenja su u stanju omogućiti tuneliranje izvana s laptopa ili mobitela u kućnu mrežu. Sugeriramo VPN projekte bazirane na WireGuard protokolu zbog visoke razine sigurnosti i kriptiranog prometa. U tom su nam slučaju sve aplikacije i servisi koje hostamo doma dostupni i dok smo u pokretu.
Što je zapravo self-hosting?
Podrazumijeva praksu posluživanja i održavanja aplikacija, servisa i pohrane na hardveru u vlastitoj kontroli umjesto na serveru/cloudu trećih strana. Koncept koji se standardno koristi u poslovnim okruženjima, a veće firme generalno imaju vlastite servere za potrebe poslovanja. Takav hardver je u pravilu skup, troši puno struje i više prilagođen za rad u server salama nego za držanje po doma. No, hardver za kućnu upotrebu je zadnjih nekoliko godina dovoljno dobar da se bez problema na dosta kompaktnim, jeftinim i prije svega tihim mašinama mogu izgraditi sasvim solidni kućni serveri koji mogu paralelno pogoniti više usluga i virtualnih mašina. Dovoljno moćni za uzdržavati kompletan cloud s aplikacijama i pohranom, a opet dovoljno mali za sakriti ispod stola ili u mrežni ormar.
Problemi?
Prije upuštanja u self-hosting je dobro ispitati koje točno probleme mislimo time riješiti i je li nam cijela zafrkancija vrijedna truda. Recimo, jedna od stavki je i već spomenuti problem privatnosti i vlasništva nad podacima koje pohranjujemo na razne platforme, pogotovo kad je u pitanju cloud. Valja dobro pročitati „fine print“ kod nekih cloud usluga i servisa, budući da jasno navode kako korisnik nije vlasnik podataka koji se nalaze na njihovim serverima i da se isti podaci mogu koristiti u određene svrhe. To je pogotovo prisutno kod besplatnih usluga za koje vrijedi izreka „Ako ne plaćate za proizvod, vi ste proizvod“. No čak i kod platformi koje se plaćaju ostaje mogućnost da se sadržaj analizira za „unapređenje proizvoda“. To u zadnje vrijeme uglavnom sugerira treniranje modela umjetne inteligencije nad tim podacima. Neki općenito ne žele držati povjerljive ili autorske stvari na online servisima, a još manje da su takvi podaci predmeti analiza ili treniranja AI modela i tu se self-hosting usluga nameće kao logičan odabir. Druga česta problematika su ograničenja na uslugama. Uzmimo za primjer Google Photos i/ili Drive. Sasvim solidna usluga unutar free modela, no fotke s mobitela se stalno gomilaju i u pravilu su sve veće rezolucije i gladne prostora, pa se besplatan plan nekad i jako brzo popuni. Proširenja Google pohrane možda ne izgledaju posebno skupo, no koliko će nam to prvo proširenje trajati prije nego moramo podebljati pretplatu? Zašto odmah doma ne podignuti neku free alternativu (recimo, Immich) i u startu osigurati 500 ili 1.000 gigabajta prostora samo za fotografije. Pri tome cijelu stvar dodatno konfigurirati s automatskom pohranom na server tako da efektivno nema razlike u načinu korištenja. Ograničenja ne moraju samo biti na prostoru, budući da se radi o kućnom serveru kojem svi unutar mreže imaju pristup, moguće je podignuti i usluge za više korisnika. Recimo, password manageri koje omogućavaju dijeljenje lozinki s više od jedne osobe, koliko je limit besplatne Bitwarden varijante. Općenito, svi servisi s nekim limitom na broj korisnika imaju besplatne self-hosted alternative koje se mogu koristiti bez takvih ograničenja.
Analiza sadržaja kod svih slučajeva je nedorečena definicija pozadinskih mehanizama i krajnje svrhe
Odabir platforme
Odluka je pala, hostamo stvari doma, ostaje samo pitanje kako krenuti i koju platformu odabrati. Generalno se sve svodi na dvije glavne varijante, NAS ili zasebnu server mašinu. Varijacija ima nekoliko i sve su balans snage, potrošnje, diskovnog prostora i fizičke veličine koje moramo odvagnuti ovisno o tome kakve su nam želje i potrebe. NAS je odličan način za lagani uvod u self-hosting, pogotovo ako ga već posjedujete. Bilo da je riječ o komercijalnom proizvodu ili nekom vlastitom slagancu, velika većina NAS platformi ima podršku za kontejnere koji su nekad i najpoželjnija metoda za hostanje stvari. Kontejneri na NAS-u na svim platformama u pravilu podrazumijevaju Docker. To je platforma za virtualizaciju aplikacija u zasebnim kontejnerima skupa sa svime potrebnim za njihovo pokretanje. Kontejnersko okruženje osigurava kompatibilnost bez obzira na kojem sustavu se nalaze. Jako su jednostavni za podizanje i idealni za NAS sustave. Ljepota kontejneriziranih aplikacija je u tome da sam kontejner već sadrži sve potrebne neophodne mehanizme za izvođenje aplikacije. I ako nekim slučajem nešto ne krene po planu kod instalacije ili želimo stvar postaviti drugačije ispočetka, obrišemo kontejner i krenemo ponovno. Sve to bez ikakvih posljedica za mašinu na kojoj se to pokreće jer zapravo ne diramo ništa na razini samog OS-a, tako da nema straha da ćemo i cijeli komp skršiti s previše prčkanja. Jako popularne aplikacije će NAS sustavi imati uvrštene i u službeni katalog kontejnera, tako da ih je moguće s par klikova već imati u pogonu. Synology, recimo, dosta stvari već ima i u Package Centru, tako da ne treba posebno niti konfigurirati kontejnere, jedan klik i stvar je instalirana. One van kataloga nije problem jednostavno ubaciti kao „custom container“ i samo priložiti konfiguracijsku datoteku iz dokumentacije. Možemo ih čak kreirati skroz ručno kroz terminal ili neki container manager (Portainer, Dockhand) kao što bi to i inače odradili na svakoj Linux distribuciji. Valja voditi brigu i o zahtjevima svih stvari koje želimo hostati, posebno na jeftinijem komercijalnom NAS-u, jer takvi često znaju biti dosta ograničeni glede procesorske snage radi uštede energije. Stoga valja biti oprezan da stroj ne pretrpamo s dodatnim stvarima jer su resursi dijeljeni između NAS funkcija i kontejnera koje dodajemo. Jedno od rješenja je i nabava moćnijeg i skupljeg NAS-a ili posegnuti sa samogradnjom jer vlastitim odabirom komponenti prilikom izgradnje NAS uređaja možemo osigurati da su i nama specifični zahtjevi pokriveni s hardver strane.
Drive: Dovoljno online prostora nikad dosta i brzo se popunjava, pogotovo kad više usluga dijeli isti prostor za pohranu
Server varijanta
Druga varijanta je osposobiti dediciranu server mašinu s operativnim sustavom po odabiru. Ako se i dalje mislimo držati samo kontejnera, tu je dovoljna i neka Linux distribucija koja će vrtjeti Docker, pa onda imamo puno više slobode za podizanje većeg broja kontejnera što se zahtjeva tiče u usporedbi sa slabijom NAS mašinom. No, puno fleksibilnija varijanta je instalirati dedicirani operativni sustav za virtualizaciju, konkretno, Proxmox Virtual Environment.
To nam omogućava ne samo instalaciju kontejneriziranih aplikacija, već i kompletnih virtualnih mašina koje se ponašaju kao zasebna računala za dodatnu razdjelu uloga i testiranje ako želimo. Ista stvar kao i kod kontejnera, ako u nekom trenu nismo zadovoljni s virtualkom, obrišemo ju i krenemo ispočetka, a da pri tome ništa ne skršimo u samom Proxmox sustavu. Dodatni benefiti su i backupi i snapshotovi virtualki. Ako već imamo mašinu s nekim uslugama u pogonu, u bilo kojem trenu možemo kreirati sigurnosnu kopiju, recimo, prije kritičnih nadogradnji, a ako nešto krene po zlu i cijela stvar više ne radi nakon nadogradnje, samo vratimo prijašnje stanje virtualke. Budući da ne servira klasično grafičko sučelje, Proxmox za sam OS nema neke visoke zahtjeve i moguće ga je postaviti praktički na bilo kakvom računalu sa procesorom koji podržava virtualizaciju. Stvari koje mislimo virtualizirati su glavni potrošači i odabir hardvera treba prilagoditi shodno tome. Za virtualku/dvije i nekoliko kontejnera je recimo i stariji četverojezgreni NUC ili Micro PC s dodatnim diskom za pohranu dovoljan za početak. Za to može komotno poslužiti i stariji PC, mada tu NUC definitivno ima prednost zbog malih dimenzija i niže potrošnje električne energije. Ali, isto tako za veće zahtjeve i puno diskovnog prostora, full tower računalo nakrcano s 3.5» diskovima za pohranu je sasvim legitiman odabir. Voditi samo brigu o tome da se sistemski diskovi virtualnih mašina nalaze na SSD-u servera zbog brzine, a mehaničare koristiti za pohranu. Slično kao i kod NAS scenarija, samogradnja tu daje određenu fleksibilnost ako unaprijed znamo odokativne zahtjeve koji su nam potrebni i za razliku od NUC-a imamo više opcija za nadogradnje i proširenja. Čak ni migracija nije problem ako zahtjevi s vremenom nadmaše resurse kompletne platforme na kojoj se sve vrti. Virtualne mašine se lako backupiranju, backupi se samo prebace i učitaju na novom, jačem Proxmox stroju i mogu odmah nastaviti s radom. Spomenuli bismo još i „passthrough“ mogućnosti dodjeljivanja direktnog pristupa hardveru virtualnim mašinama, poput grafičkih kartica, diskova, čak i vanjske opreme preko USB sučelja. Konfigurabilnost i mogućnosti su stvarno brojne i teško ih je sve pokriti - za tako nešto Proxmox zaslužuje i zasebnu temu. Instalacija je jako jednostavna, a dokumentacija i savjeti zajednice su brojni, stoga potičemo i vlastito detaljnije istraživanje teme.
Docker arhitektura omogućuje potpuno samostalne i sustavno izolirane aplikacije. Neovisno o platformi pozadinskog OS-a, kontejner sadrži sve potrebno da bi appovi nesmetano radili
Small Form Factor: Manji SFF format i dalje može skrivati mATX stvari s puno performansi. Jedini pravi limit je količina 3.5“ diskova koje je moguće pospremiti u kućište
VM vs LXC
Virtualna okruženja u Proxmoxu se generalno grade na dva načina. Imamo klasičnu virtualnu mašinu (VM), slično kao VMware ili Hyper-V varijante, na kojima podižemo kompletan operativni sustav i na njemu dalje dižemo usluge. No, istovremeno možemo imati i jednostavnost instalacije servisa kao na NAS-u koju nudi Docker. Kreiramo klasičnu virtualku na koju instaliramo neku Linux distribuciju, recimo, Debian. Zatim uspostavimo Docker okruženje koje dalje koristimo za kreiranje Docker kontejnera u kojima će biti hostane aplikacije i servisi. Druga opcija je direktno kreiranje kontejnera (CT ili češće zvan LXC). Koncept je sličan kao kod Dockera, ali Proxmox to malo drugačije radi ispod haube. Za razliku od VM-ova, LXC dijeli kernel s primarnim OS-om servera. I dalje se ponaša kao odvojeno, zasebno virtualno okruženje, ali može imati direktan pristup nekim resursima OS-a i generalno je manje zahtjevan od VM-a jer ne simulira kompletan PC. Ako već nemamo dediciranu Docker virtualku ili je ta platforma nedostupna, za neke laganije servise koji ne troše puno sami po sebi je LXC bolji odabir od dizanja kompletnog VM-a. Nedostaci su ipak malo manja separacija u usporedbi s VM-om tako da je glede sigurnosti lošiji odabir jer ima direktan pristup nekim resursima. Također, ako se postavlja ručno, ponekad treba odraditi i neke dodatne instalacije jer aplikacije uglavnom ne dolaze s kompletnim okruženjem za izvođenje kao što je slučaj s Dockerom. Tu doduše uskaču automatske instalacijske skripte, pa je taj dio donekle pokriven. Time smo takli sve tehničke pojmove, vrijeme je da konačno pogledamo i neke interesantne projekte zbog kojih smo i krenuli ovim putem.
NAS samogradnja: Desktop komponente upakirane u mini PC. Ne zauzima previše prostora, a može biti poprilično moćna mašina s puno prostora za pohranu
NUC: je sićušan format za ne pretjerano zahtjevan kućni server s više nego dovoljno performansi
Postoji: više NAS operativnih sustava i svi omogućavaju pokretanje Docker kontejnera, no Synology dobar dio aplikacija već ima uvrštene u Apps sekciji, tako da je instalacija jako brza i jednostavna
Cloud platforma
Nextcloud
Često prva stvar s kojom ljudi krenu nakon uranjanja u self-hosting. Nextcloud je cloud i kolaboracijska platforma koja ima besplatnu community verziju ako ju podignemo kod sebe. To je kompletno cloud rješenje s velikom količinom dodatnih appova koji se naknadno mogu integrirati. Ima ih previše za nabrojati, ali neki od popularnijih mogućnosti su dashboard, pohrana, fotografije, kalendar, bilješke, taskovi, office, mape, password manager, chat i još štošta. Sugeriramo pregledati i kompletan popis na: https://apps.nextcloud.com/ jer toga stvarno ima puno. Sve to naravno s podrškom za više korisnika i praktički jedini limit su resursi i diskovni prostor servera. Sadrži dodatne funkcije koje premašuju potrebe kućnih korisnika i komotno bi se moglo koristiti kao kolaborativna i cloud platforma u nekoj firmi. Dosta appova je također i odlična direktna alternativa Google alatima i popularna je solucija za ljude koji žele smanjiti ili kompletno maknuti ikakvu ovisnost o Googleu. Moguća je instalacija kroz Docker - Synology ga ima već uvrštenog pod standardne aplikacije, tako da je tu situacija još i glađa oko postavljanja. Privatni cloud, u potpunosti open source, prilagodljive mogućnosti i prije svega, vlastita kontrola nad podacima.
Nextcloud: ima sve potrebno za izgraditi privatni cloud sustav koji je moguće skrojiti po vlastitim željama
Helper scripts
Zgodna pomoć prilikom instalacija aplikacija i servisa su i „community helper scripts“. Projekt je oformila zajednica s automatiziranim skriptama koji mogu drastično ubrzati proces podizanja servisa, aplikacija, ali i cijelih virtualnih mašina. Dovoljno je ukucati jednu komandu u terminal na Proxmoxu i automatski će se kreirati VM/LXC s instaliranim OS-om i već postavljenom aplikacijom ili servisom. Zgodno za dignuti nešto na brzinu ili za prvu ruku dok se ne snađete oko ručnog postavljanja svih mogućnosti prilikom kreiranja virtualki. Svakako provjeriti i dodatnu dokumentaciju na stranicama skripti za predefinirane lozinke i postavke OS-a: https://community-scripts.org/ Naravno, kod automatizacija ikakve vrste uvijek treba biti pažljiv, pogotovo ako ukucavamo nerazumljive komande u terminal. Sam repozitorij skripti je češljan od strane zajednice, tako da se ne može baš bilo što podvaliti. Ali svakako provjerite dokumentaciju i provjerite komentare drugih na projektima koji su vam interesantni i ne vjerujte na slijepo.
Helper scripts je odlična kolekcija skripti za automatizirano kreiranje virtualnih mašina
Immich
Immich je specijalizirana platforma za backup i organizaciju fotografija i videa s malo fluidnijim i naprednijim mogućnostima u usporedbi s Nextcloud Photos. Po svemu skoro pa identičan kao Google Photos, te je period navikavanja zapravo jako mali budući da funkcionira na istom principu. Funkcije su manje-više identične - organizacija po albumima, podržava tagove, geotagging, kao i strojno učenje koje se može koristiti za prepoznavanje lica ili pametno pretraživanje fotografija po zadanim pojmovima. Defaultni model za strojno učenje generalno odrađuje posao, ali ako planirate često koristiti smart search s upitima, preporuka je malo detaljnije proučiti dostupne modele jer neki napredniji daju puno preciznije rezultate jednom kad prođu kroz cijelu kolekciju fotki. Naravno, imati na umu da veći modeli zahtijevaju i više resursa, pa pripaziti je li dovoljno RAM-a na raspolaganju za takve pothvate. Machine Learning Settings se nalazi u sistemskim postavkama i sadrži linkove na repozitorije s dostupnim modelima. Također, na webu postoji mnoštvo rasprava i testiranja različitih modela koje sugeriramo proučiti kako biste našli nešto što vama konkretno najviše paše. Nama se „ViT-B-16-SigLIP-384__webli“ model pokazao dosta solidnim bez posebno povećanih zahtjeva, a značajno je precizniji od default modela. Cijela stvar podržava više korisnika bez ograničenja. Svatko ima zaseban prostor za sadržaj, ali moguće je kreirati i dijeljene albume koje onda dva ili vise korisnika mogu zajednički popunjavati s fotografijama. Valja spomenuti i mobilnu aplikaciju koja - osim što može pregledavati albume - automatski može i iskrcavati datoteke iz označenih foldera na mobitelu direktno u Immich. Odlična besplatna alternativa za Google/Apple Photos koja u nekim segmentima i nadmašuje dotične. Recimo, Google Photos niti danas nije u stanju filtrirati sve fotografije koje nisu u niti jednom albumu, što Immich podržava. Preporuka od developera je instalacija kroz Docker koji je na NAS platformama dio standardne kolekcije, tako da je jednostavan za podizanje te ga svakako preporučamo isprobati.
Immich: donosi prepoznatljivo sučelje i mogućnosti koje ne zahtijevaju puno prilagodbe, ali i neke napredne mogućnosti ispod haube
Pi-hole
Pi-hole je alat za filtriranje oglasa, malicioznih i općenito neželjenih domena. Kao što i ime sugerira, kreiran za Raspberry Pi računala, ali mnogi ga jednostavno upregnu kao kontejner ili LXC radi lakšeg održavanja i backupa. Radi na principu filtriranja DNS zahtjeva i automatski na razini mreže blokira sve domene koje se nalaze na crnoj listi i time sprječava prikazivanje neželjenih reklama i oglasa na webu. Budući da ordinira unutar mreže, može biti dostupan svim uređajima, uključujući mobitele, tablete, pa i smart TV. Korisno za uređaje koji ne mogu koristiti adblockere ili dotični više ne rade (Chrome). Filtriranje radi standardno out of box nakon instalacije i sve što je potrebno da bi funkcioniralo je DNS upite računala uperiti na pi-hole. Zapravo je idealan scenarij ruter postaviti tako da DNS upite ne šalje prema Internet provideru nego direktno na lokalnu mrežnu adresu gdje se nalazi pi-hole. To dobrim dijelom ovisi i o samome ruteru, odnosno koliko opcija je ISP zaključao ako se direktno koristi njihov. Ako nema DNS opcija, alternativa je postaviti i vlastiti uređaj nakon njihovoga, pa tako imati pristup svim postavkama za konfiguraciju. U krajnjem slučaju, svaki uređaj u mreži zasebno podesiti kroz mrežne postavke da za DNS upite gleda na pi-hole. Sam pi-hole u startu dolazi s nekom osnovnom listom za blokiranje, ali uvijek možemo dodati i vlastite, bitno detaljnije i prilagođene liste. Jedne od popularnijih su „hagezi“ liste (https://github.com/hagezi/dns-blocklists/), ima ih nekoliko, a kategorizirane su po vrsti sadržaja koje blokiraju i neke su agresivnije od drugih po pitanju filtriranja. Može ih se dodati i više te kombinirati s ostalima, ali treba pripaziti jer opsežnije liste blokiraju i dio sadržaja koji vjerojatno želimo biti u stanju otvoriti. Uvijek je moguće zasebno pojedine stranice dodati na whitelistu ako se tako nešto i dogodi, ali valja ne pretjerati, inače ćemo provesti puno vremena u pi-hole dashboardu i odobravati si siteove ručno. Liste nisu ništa drugo nego .txt datoteke s popisom blokiranih domena, a za dodavanje lista je dovoljno samo ubaciti link željene liste u pi-hole i nakon toga odraditi update. Nije ni sve samo u DNS filtriranju, pi-hole je u pravilu dosta sposoban mrežni alat te je u stanju identificirati specifična računala na mreži koja zatim možemo dodijeliti u grupe, pa primijeniti drugačije liste ovisno o grupi ili specifičnom računalu. Par naprednijih konfiguracija uključuju i DHCP server, lokalne DNS zapise, kao i vlastiti DNS server. U slučaju zadnje opcije, pi-hole ne prosljeđuje DNS upite dalje kao u standardnoj konfiguraciji, već se ponaša kao rekurzivni DNS server i sam rješava upite. Dolazi uz dashboard s generalnim statistikama i količini blokiranih upita koji se rapidno množe.
Samo pokazuje koliko se „smeća“ nalazi na standardnim web stranicama koje svakodnevno posjećujemo. Za razliku od adblocker ekstenzija koje samo ne prikazuju oglase, u ovom scenariju sadržaj nikad niti ne dođe do nas, tako da je na kraju dana i mrežni promet puno čišći. Definitivno preporuka.
Pi-hole je malen, ali jako moćan mrežni alat. Može ga bez problema pokretati i starija generacija Raspberry Pi računala.
Tailscale
Za kraj jedan dodatak nije u potpunosti self-hostan, ali daje puno veći smisao cijelom konceptu. Tailscale je VPN koji se koristi za tuneliranje u kućnu mrežu za pristup lokalnim resursima kad smo „on the go“. Koristi WireGuard protokol i stvara mesh mrežu. Nema centralni VPN server, pa se uređaji mogu direktno povezivati jedni s drugima. Autentikacija se odrađuje preko postojećeg identiteta (Google, Microsoft, GitHub, Apple) te je nakon instalacije dovoljno s istim identitetom prijaviti se na obje strane da bi dva uređaja bila međusobno povezana i sav promet između njih kriptiran. U slučaju da imamo više od jednog servisa ili računala na koje se želimo povezati kad nismo doma, najbolje je instalirati Tailscale na NAS ili Proxmox LXC i u opcijama ga podesiti kao „exit node“. Tada preko te jedne konekcije imamo direktan izlaz u cijelu lokalnu mrežu i praktički možemo pristupiti svemu. Dok smo „na terenu“, s laptopa ili mobitela na taj način imamo pristup Nextcloud servisima, dostupan je Immich za backup fotki s telefona iako nismo fizički u lokalnoj mreži, a čak i filtriranje oglasa radi ako Tailscale node u opcijama podesimo tako da DNS upite šalje na lokalnu pi-hole adresu. Kompletan privatni cloud i aktivno filtriranje prometa za laptop ili mobitel gdje god da se nalazimo. Sigurnost je također jako solidna, svakako preporučamo da za izgrađenu vlastitu Tailnet mrežu uključite ručno odobravanje novih računala u mrežu kao dodatnu zaštitu. Tailscale doduše ima i neke limite ako želimo više korisnika uključiti u priču. Do 3 usera je korištenje besplatno, za sve više od toga treba odabrani neki od plaćenih planova. Ali naravno, postoji i alternativa, self-hostana varijacija bez ograničenja Headscale - no to je malo kompliciranija tema za drugu zgodu
Tailscale nudi jako jednostavno postavljanje, konfiguriranje i administraciju VPN-a. Za osobnu potrebu najbezbolnije rješenje zbog lakoće korištenja.
