Nexus: alles op één Pi.
Nexus is de naam van mijn Raspberry Pi 5 die thuis staat te draaien. Geen cloud, geen abonnement. Gewoon mijn eigen hardware. 17 actieve services: van AI modellen en media server tot DNS filtering, honeypot en smart home automation.
De Pi draait op een Samsung T7 SSD (1TB, ~340 MB/s) via USB 3.2. Alle services draaien als systemd services of Docker containers. Externe toegang gaat uitsluitend via Tailscale VPN of Cloudflare Tunnel, nooit direct open naar internet.
Ollama draait meerdere AI modellen volledig lokaal: Naja-Fast (1B), Naja-Smart (3.8B) en AKAI-Code. Geen API kosten, maximale privacy. AKAI, mijn persoonlijke AI assistent, draait ook op Nexus via de OpenClaw gateway op poort 18789.
Services op Nexus
Grafana dashboard op poort 3000 met real-time grafieken. Prometheus scrapt CPU, RAM, temperatuur en disk I/O. Glances geeft een snel overzicht via REST API op poort 61208.
Jellyfin draait als media server op poort 8096. Films en muziek streamen naar elk apparaat. Nextcloud op cloud.nexusakai.com voor persoonlijke cloud opslag. Alles op NAS SSD (238GB).
Cowrie SSH/Telnet honeypot logt aanvalspogingen. Endlessh tarpit vangt portscanners op. UFW blokkeert alles behalve Tailscale en lokaal netwerk. Canary tokens sturen alerts bij inbraak.
Homebridge verbindt alle slimme apparaten met Apple HomeKit. Bereikbaar op poort 8581. AKAI kan via tools de verlichting en apparaten aansturen via een Telegram bericht.
Pi-hole v6 filtert advertenties en tracking voor het hele netwerk via DNS. Tailscale VPN geeft veilige toegang tot alle services van overal ter wereld, zonder poorten open te zetten.
6 lagen, één Pi.
Vijf keuzes die het verschil maakten.
Docker bypass UFW: Docker voegt iptables regels toe die UFW omzeilen. De oplossing: een DOCKER-USER chain in /etc/ufw/after.rules die expliciet alleen het lokale subnet en Tailscale doorlaat.
UAS quirk voor NAS SSD: De Samsung T7 NAS SSD had ~44 resets per sessie door een bug in de JMicron USB bridge (152d:0583). Fix: usb-storage.quirks=152d:0583:u in cmdline.txt forceert UAS-modus uit.
Pi-hole via DNS forwarding: Met double NAT (KPN modem + TP-Link Deco mesh) moest de Deco geconfigureerd worden als DNS forwarder naar de Pi, anders kwamen queries nooit bij Pi-hole aan.
Statisch IP via NetworkManager: De Pi gebruikt NetworkManager (niet dhcpcd). Statisch IP instellen via nmcli, niet via dhcpcd.conf. Dat bestand wordt volledig genegeerd.
Honeypot data is waardevol: Cowrie logt elk SSH aanvalspatroon. Frequente aanvallers proberen standaard credentials (root/123456, admin/admin) binnen 3 seconden. Endlessh houdt ze uren vast op poort 22.
AKAI reageert dag en nacht via Telegram en voice calls. Volledig lokaal, volledig privé.
Van 70% naar 95% na implementatie van honeypot, UFW fix en canary tokens.
Grafana, Jellyfin, Nextcloud, Pi-hole en meer. Allemaal op één Pi van 5 euro stroom per maand.
Geen cloud abonnement, geen licentiekosten. Alleen stroom. Alles draait lokaal op eigen hardware.