Hardware & Grundinstallation: Der eigene LAN-Server auf dem Mini-PC
- Das Fundament: Mini-PC und Debian 13
- Voraussetzungen
- 1. Minimal installieren
- 2. System aktualisieren und Administratorkonto vorbereiten
- 3. SSH-Schlüssel einrichten – vor dem Abschalten des Passworts
- 4. Firewall auf den tatsächlichen Bedarf begrenzen
- 5. Sicherheitsupdates aktivieren
- 6. Root-Konto nur nach erfolgreichem Test sperren
- Kompakte Fehlersuche
- Fazit
- Quellen und technische Dokumentation
Das Fundament: Mini-PC und Debian 13
Für Nginx, PHP-FPM und einige Python-Dienste genügt meist ein kleiner x86-Mini-PC. Wichtiger als eine pauschale Kernzahl sind eine unterstützte CPU, ausreichend RAM, eine austauschbare SSD, Gigabit-Ethernet und eine saubere Kühlung. Für den hier beschriebenen Einstieg sind 8 GB RAM und eine SSD ein vernünftiger Ausgangspunkt; 16 GB schaffen Reserve für Datenbanken, Container oder Bildverarbeitung.
Den realen Strombedarf sollte man am vorgesehenen Gerät messen. Herstellerangaben zur maximalen Leistungsaufnahme sagen wenig über den Leerlaufverbrauch eines konkreten Systems mit SSD, RAM und BIOS-Einstellungen aus.
Affiliate-Hinweis: Der folgende Link führt zu einer Amazon-Suche. Bei einem qualifizierten Kauf kann php99.de eine Provision erhalten; für den Käufer ändert sich der Preis dadurch nicht.
Voraussetzungen
- Debian-13-Netinst-Abbild und ein USB-Stick
- kabelgebundener Netzwerkanschluss
- ein zweiter Rechner für SSH
- lokale Konsole oder Bildschirm/Tastatur als Rückfallweg
- ein Backup aller Daten, falls der Mini-PC bereits genutzt wurde
Debian 13 „Trixie“ ist im August 2026 die aktuelle Stable-Version. Debian 12 „Bookworm“ ist seit dem 11. Juli 2026 oldstable und wird im LTS-Zweig bis zum 30. Juni 2028 unterstützt. Für eine Neuinstallation verwende ich deshalb Debian 13.
1. Minimal installieren
Im Debian-Installer reichen für diesen Server SSH server und standard system utilities. Eine Desktop-Umgebung ist nicht nötig. Der Hostname sollte kurz und eindeutig sein; die IP-Adresse wird anschließend vorzugsweise per DHCP-Reservierung im Router fest zugeordnet.
2. System aktualisieren und Administratorkonto vorbereiten
Als root:
apt update
apt full-upgrade -y
apt install -y sudo openssh-server unattended-upgrades apt-listchanges nftables
adduser max
usermod -aG sudo max
Benutzernamen werden unter Linux üblicherweise kleingeschrieben. Danach einmal als max anmelden und sudo -v testen, bevor der Root-Zugang eingeschränkt wird.
3. SSH-Schlüssel einrichten – vor dem Abschalten des Passworts
Auf dem Client wird ein Ed25519-Schlüssel erzeugt. ed25519 ist ein fester Algorithmusname und keine Vorlage für eine Zahl:
ssh-keygen -t ed25519 -a 64 -C "lanserver-admin"
ssh-copy-id max@SERVER-IP
ssh max@SERVER-IP
Die bestehende Sitzung offen lassen und die Anmeldung in einem zweiten Terminal prüfen. Erst danach folgt die Härtung. In /etc/ssh/sshd_config.d/10-lanserver.conf:
PermitRootLogin no
PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
sshd -t
systemctl reload ssh
Ein abweichender SSH-Port reduziert höchstens belanglose Logmeldungen bei öffentlich erreichbaren Systemen; er ersetzt weder Schlüssel noch Firewall. Für einen reinen LAN-Server kann Port 22 bleiben.
4. Firewall auf den tatsächlichen Bedarf begrenzen
Debian bringt nftables mit. Das konkrete Regelwerk hängt vom eigenen Subnetz und den Diensten ab. Vor dem Aktivieren muss die aktuelle SSH-Verbindung erlaubt sein; sonst sperrt man sich aus. Wer UFW bevorzugt, kann es installieren und beispielsweise nur SSH aus dem eigenen LAN freigeben:
apt install -y ufw
ufw default deny incoming
ufw default allow outgoing
ufw allow from 192.168.188.0/24 to any port 22 proto tcp
ufw enable
ufw status verbose
Die Beispieladresse muss zum eigenen Netz passen. Ports 80 und 443 werden erst geöffnet, wenn dort tatsächlich ein Webdienst lauscht. Eine Router-Portfreigabe ist für einen LAN-Server nicht erforderlich und sollte nicht nebenbei eingerichtet werden.
5. Sicherheitsupdates aktivieren
dpkg-reconfigure unattended-upgrades
systemctl status unattended-upgrades.service
Automatische Updates reduzieren Routinearbeit, ersetzen aber keine Kontrolle. Nach Kernel- oder Bibliotheksupdates kann ein Neustart nötig sein. Protokolle liegen unter anderem in /var/log/unattended-upgrades/.
6. Root-Konto nur nach erfolgreichem Test sperren
Wenn sudo und die Schlüsselanmeldung nachweislich funktionieren:
passwd -l root
Bei Installationen, die bereits ohne Root-Passwort arbeiten, ist dieser Schritt möglicherweise redundant. Entscheidend ist, dass ein getesteter administrativer Zugang und ein lokaler Notfallzugang verbleiben.
Kompakte Fehlersuche
ip addressundip routeprüfen, wenn der Server nicht erreichbar ist.systemctl status sshundjournalctl -u sshbei SSH-Fehlern auswerten.sshd -timmer vor einem Reload ausführen.- Mit
ss -lntupkontrollieren, welche Dienste tatsächlich lauschen. - Firewallregeln bei bestehender Konsolensitzung prüfen; nicht blind über die einzige SSH-Verbindung ändern.
Fazit
Ein belastbarer LAN-Server beginnt mit wenigen, nachvollziehbaren Komponenten. Debian 13, Schlüsselanmeldung, restriktive Freigaben und automatische Sicherheitsupdates bilden eine solide Basis. Zusätzliche Dienste kommen erst danach und jeweils mit eigener Zugriffskontrolle hinzu.
