termalDein Home Assistant läuft auf http://homeassistant.local:8123, dein Grafana auf :3000, und beide hängen in deinem Heimnetz fest. Du willst sie im Browser haben – aus dem Büro, vom Smartphone oder mit jemandem geteilt –, ohne deinen Router zur Angriffsfläche zu machen. Hier sind fünf Wege, was jeder davon wirklich kostet, und eine Schritt-für-Schritt-Anleitung für den Weg nur auf Einladung.
Warum nicht einfach 8123 oder 3000 weiterleiten
Den Port an deinem Router weiterzuleiten, stellt eine Anmeldeseite – manchmal ein offenes Dashboard – vor jeden Bot im Internet. Home Assistant und Grafana werden beide ständig abgetastet, sobald sie gefunden sind, und ein wiederverwendetes Passwort oder eine ungepatchte CVE genügt. Carrier-Grade-NAT (bei Glasfaser zu Hause und 4G/5G üblich) macht die Weiterleitung ohnehin oft unmöglich. Jede Option unten existiert, um diesen einen offenen Port zu vermeiden.
Die fünf Optionen
| Option | Öffentliche URL? | Auf dem Gerät des Betrachters | Mehr als HA? | Kosten |
|---|---|---|---|---|
| Nabu Casa (HA Cloud) | Ja, deine eigene Subdomain | Nichts | Nein – nur Home Assistant | Abo |
| Cloudflare Tunnel | Öffentlich oder durch Access geschützt | Nichts oder ein Access-Login | Ja | Kostenlose Stufe; braucht eine Domain |
| Tailscale / WireGuard | Nein – privates Mesh | Ein VPN-Client, überall | Ja | Kostenlose Stufe |
| Reverse-Proxy + Portweiterleitung | Ja – im Internet | Nichts | Ja | Deine Zeit + die Offenlegung |
| Interne Website von Termalin | Nein – Einladung per E-Mail | Nur ein Browser | Ja | Pro-Tarif |
Nabu Casa ist die offizielle Home Assistant Cloud. Es ist der reibungsloseste Weg für Home Assistant – Remote-UI, eine stabile URL, und es finanziert das Projekt –, aber es deckt nur Home Assistant ab, nicht dein Grafana oder Portainer.
Cloudflare Tunnel (cloudflared) verbindet über einen Daemon in deinem LAN nach außen, es öffnet sich also kein Port. Es ist mächtig und hat eine kostenlose Stufe, aber um ein Dashboard privat zu halten, musst du eine Domain besitzen und eine Cloudflare-Access-Richtlinie davorsetzen; ohne das ist der Hostname eine öffentliche URL, die jeder aufrufen kann.
Tailscale oder WireGuard baut ein privates Mesh – nichts wird offengelegt, und für deine eigenen Geräte ist es hervorragend. Der Haken: Jeder, der sich verbindet, installiert den VPN-Client und meldet sich darin an, was einem Familienmitglied oder einem einmaligen Gast schwer zu vermitteln ist.
Ein Reverse-Proxy mit weitergeleitetem Port (nginx, Caddy, Traefik) gibt dir sauberes HTTPS, aber du veröffentlichst den Dienst weiterhin im Internet und verantwortest jeden Patch und jede Auth-Entscheidung selbst.
Eine interne Website von Termalin sitzt an einer anderen Stelle: überhaupt keine öffentliche URL und kein Client auf Seite des Betrachters. Ein Connector in deinem LAN verbindet nach außen, und das Dashboard öffnet sich unter einer privaten Adresse wie https://<10 Zeichen>.termal.ink – für dich und für die Leute, die du per E-Mail einlädst. Es ist der schnellste Weg, ein Dashboard mit einer bestimmten Person zu teilen. Die Kompromisse sind ehrlich: Es braucht einen Pro-Tarif, es gibt eine weiche Obergrenze von 5 GB pro Tag und Link, und es gibt keinen dauerhaften öffentlichen Link – ein Vorteil, wenn du Privatsphäre willst, eine Grenze, wenn du eine öffentliche Statusseite willst.
Schritt für Schritt mit einem Connector
Das funktioniert für Home Assistant, Grafana, Portainer, Proxmox – alles mit einer Web-Oberfläche in deinem Netz, denn WebSockets gehen durch, sodass HAs Live-Updates und Grafanas Live-Panels sich wie im LAN verhalten.
- Installiere einen Connector auf dem Home-Assistant-Rechner oder auf einer beliebigen dauerhaft laufenden Maschine im selben Netz – einem Raspberry Pi, einem NAS, einem kleinen VPS im LAN. Eine Zeile aus dem Installationsbefehl abrufen des Web-Kabinetts; er verbindet nach außen und lauscht nie.
- Füge die Website hinzu. Öffne im Web-Kabinett die Karte Interne Websites (neben Backups) → Website hinzufügen. Wähle den Connector und gib die Adresse ein, wie diese Maschine sie sieht –
http://localhost:8123, wenn der Connector auf dem HA-Host läuft, oderhttp://10.0.0.5:8123von einem anderen Rechner. Setz das Häkchen bei „Die interne Website nutzt https“, wenn dein Dashboard TLS ausliefert (ein selbstsigniertes Zertifikat ist in Ordnung). - Hinzufügen und öffnen. Das Dashboard öffnet sich in einem neuen Tab unter seiner
termal.ink-Adresse. Du bist dort für 12 Stunden angemeldet; die Adresse allein lässt niemanden sonst hinein.
Erlaubt sind nur private Adressen – localhost, 10.x, 172.16–31.x, 192.168.x, link-local, Tailscales 100.64/10, IPv6-ULA –, und eine öffentliche Adresse wird grundsätzlich abgelehnt.
Mit einem Familienmitglied für 7 Tage teilen
Teile die Website im Web-Kabinett mit einer E-Mail-Adresse, für 24 Stunden oder 7 Tage (bis zu 25 Leute pro Link gleichzeitig; erneutes Teilen verlängert sie). Die Person bekommt eine Einladungs-E-Mail und meldet sich mit einem 6-stelligen Code an – kein Termalin-Konto anzulegen. Sie sieht nur dieses eine Dashboard, und läuft die Freigabe ab, endet ihre Sitzung. Du kannst eine Person entfernen oder den Link ganz abschalten, und jedes Öffnen taucht im Aktivitätsprotokoll der Website auf. Teilen braucht einen kostenpflichtigen Tarif; in der Testphase kannst du Websites öffnen, aber nicht teilen.
Wann du etwas anderes wählst
- Nur Home Assistant, reibungslos → Nabu Casa, und du unterstützt das Projekt.
- Du hast eine Domain und willst eine dauerhafte, womöglich öffentliche URL → Cloudflare Tunnel mit einer Access-Richtlinie.
- Alle, die sich verbinden, bist du selbst, über deine eigenen Geräte → Tailscale oder WireGuard.
- Ein oder zwei Dashboards, mit namentlich genannten Leuten geteilt, nichts offengelegt → eine interne Website von Termalin.
Für die SSH-Seite eines Homelabs hinter NAT siehe SSH hinter NAT ohne Portweiterleitung und SSH in ein Heim-NAS oder einen Server.