Grafana oder Home Assistant von überall öffnen – ohne Portweiterleitung.

01  /  das Problem

Warum nicht einfach 8123 oder 3000 weiterleiten.

Den Port eines Dashboards ins Internet weiterzuleiten, stellt einen Anmeldebildschirm – oder schlimmer, eine offene Oberfläche – vor jeden Scanner im Internet. Die üblichen Alternativen sind ein eigenes Projekt für sich: Ein VPN bedeutet einen Client auf jedem Gerät, von dem aus du dich verbindest, und ein Konto für jeden, der hineinmuss; ein Reverse-Proxy mit Domain und Zugriffsrichtlinien ist eine Menge beweglicher Teile für eine interne Seite. Eine interne Website spart sich das alles: Der Connector verbindet immer nur nach außen, und die Seite ist für dich und namentlich genannte Leute erreichbar, sonst niemand.

02  /  so funktioniert es

Die Maschine verbindet nach außen. Du öffnest einen Link.

• ▸Nur ausgehend. Der Connector hält eine Verbindung zu termal.in und lauscht nie – nichts weiterzuleiten oder zu scannen, und genau das lässt ihn hinter NAT, CGNAT und einer strengen Firewall funktionieren.
• ▸Eine eigene private Adresse. Jede Website bekommt eine 10-stellige Adresse wie https://k7m4p9qrst.termal.ink/. termal.ink ist eine eigene Site, getrennt von termal.in; ihre Seiten tragen noindex und bleiben aus der Suche heraus.
• ▸Ein echter Browser-Tab. Das Dashboard lädt wie jede Website – kein Client, den du auf dem Rechner, an dem du sitzt, installieren musst.

03  /  einrichten

Eine Website in etwa einer Minute.

Öffne im Web-Kabinett die Karte Interne Websites (neben Backups) und klicke auf Website hinzufügen:

• ▸Den Connector, der die Website erreichen kann.
• ▸Die Adresse, wie die Maschine des Connectors sie sieht – z. B. http://10.0.0.5:8080 oder http://localhost:3000.
• ▸Einen optionalen Namen (bis zu 80 Zeichen), ob die interne Website https nutzt, und ob die eigene Adresse des Links als Host-Name gesendet werden soll (für Apps, die beim Host-Header pingelig sind).

Drück auf Hinzufügen und öffnen, und das Dashboard öffnet sich in einem neuen Tab. Das Kontextmenü eines Connectors hat außerdem Interne Website öffnen …. Die Desktop-App listet deine Websites auf (Einstellungen → Interne Websites) und öffnet sie bereits angemeldet; Hinzufügen und Teilen laufen im Web-Kabinett, und mobil wird die Liste angezeigt.

04  /  was funktioniert

Live-Dashboards, WebSockets und alles.

Der Datenverkehr strömt ohne Pufferung durch, und WebSockets gehen durch – die Dinge, die an einem naiven Proxy scheitern, funktionieren also einfach:

• ▸Grafana-Live-Panels, Home Assistant, Portainer und Proxmox verhalten sich alle wie im LAN.
• ▸http oder https, jeder Port. Ein selbstsigniertes oder internes Zertifikat auf dem Dashboard ist in Ordnung – setz das Häkchen bei „Die interne Website nutzt https“; das Zertifikat auf diesem Abschnitt wird nicht geprüft, weil er im Netz des Connectors bleibt.
• ▸Nur private Adressen. localhost, 10/8, 172.16/12, 192.168/16, link-local, Tailscales 100.64/10, IPv6-ULA – auch Host-Namen, wenn sie auf eine private Adresse auflösen. Eine öffentliche Adresse wird abgelehnt.

05  /  teilen

Lass eine Kollegin oder ein Familienmitglied rein – für einen Tag oder eine Woche.

Teile eine Website mit einer E-Mail-Adresse auf einmal, für 24 Stunden oder 7 Tage (erneutes Teilen verlängert sie), bis zu 25 Leute pro Link gleichzeitig. Deine eigene E-Mail-Adresse muss zuerst bestätigt sein.

• ▸Die Person bekommt eine Einladungs-E-Mail mit einem persönlichen Link und meldet sich mit einem 6-stelligen Code an, der an diese Adresse gesendet wird (10 Minuten gültig, fünf Versuche). Wer sonst die Adresse der Website öffnet, sieht nur „Dieser Link funktioniert nicht“ – nichts verrät, dass dort eine Website liegt.
• ▸Kein Termalin-Konto nötig – der Code ist alles, was sie brauchen.
• ▸Sie sehen nur dieses eine Dashboard, solange die Freigabe gilt; läuft sie ab, endet ihre Sitzung.

06  /  das Sicherheitsmodell

Wer hineinkommt und wie du es zurücknimmst.

• ▸Kein öffentlicher Modus. Du öffnest deine eigene Website mit einem Einmal-Link (120 Sekunden gültig), der dich für 12 Stunden dort anmeldet; alle anderen werden per E-Mail eingeladen.
• ▸Ein abgeriegeltes Cookie. Das Sitzungs-Cookie ist host-only auf dem Slug, __Host-, HttpOnly, Secure und SameSite=Lax, und es wird entfernt, bevor irgendetwas dein Dashboard erreicht.
• ▸Sofort widerrufen. Entfernen nimmt einer Person den Zugriff und stoppt ihre offenen Seiten sofort; Abschalten wirft den Link für alle weg. Fällt dein Tarif auf Free zurück, sehen die Leute, mit denen du geteilt hast, „Zugriff beendet“.
• ▸Ein Aktivitätsprotokoll hält es fest: wann die Website erstellt, geöffnet, geteilt, von jemandem geöffnet wurde, mit dem du geteilt hast, wann Zugriff entfernt oder sie abgeschaltet wurde.

07  /  im Vergleich

Gegen einen Tunnel-Dienst, Tailscale oder ein VPN.

Der Kompromiss ist ehrlich: Es gibt keinen dauerhaften öffentlichen Link und eine weiche Obergrenze von 5 GB pro Tag und Link – ein Vorteil für ein privates Dashboard und eine Grenze für ein öffentliches. Eine Homelab-Anleitung gibt es unter Home Assistant oder Grafana aus der Ferne erreichen.

08  /  Tarife und Grenzen

Teil von Pro und Team.

Interne Websites brauchen einen Connector und gehören daher zu den bezahlten Tarifen.

• ▸Free: nicht enthalten. Testphase: Du kannst Websites öffnen, aber nicht teilen.
• ▸Pro und Team: keine Begrenzung der Anzahl der Websites.
• ▸5 GB Datenverkehr pro Link und 20 GB pro Konto je UTC-Tag – eine weiche Bremse, kein harter Stopp: Ein laufender Transfer wird zu Ende geführt, dann übernimmt eine kurze „Komm morgen wieder“-Seite. Eine einzelne Anfrage ist auf 1 GB begrenzt.
• ▸TLS während der Übertragung, nicht Ende-zu-Ende. Der Datenverkehr läuft über TLS und wird am Proxy entschlüsselt, um weitergeleitet zu werden.

Preise ansehen →