Große Medienübertragungen selbst hosten mit OpenMediaVault und Cloudflare Tunnels

Ein aktuelles technisches Handbuch skizziert eine Methode zur Weitergabe großer Mediendateien unter Verwendung einer selbst gehosteten Infrastruktur anstelle kommerzieller Cloud-Speicherdienste. Der Autor, der Video-Projekte für kleine Theatergruppen betreut, konfigurierte OpenMediaVault zusammen mit FileBrowser Quantum und Cloudflare Tunnels, um Datensätze im Multi-Terabyte-Bereich sicher zu verwalten.

Was passiert ist

Das Projekt begann mit einer praktischen Herausforderung: Die Übertragung riesiger Mengen an Rohvideo- und Fotodaten von einem lokalen Server an Kunden. Eine Produktion umfasste zwei dreistündige Aufnahmen in 4K ProRes 422 HQ, was insgesamt etwa 1,6 TB ergab, plus 600 Fuji RAW-Dateien, die weitere 10 GB ausmachten. Nach dem Schnitt schrumpften die finalen Lieferdateien auf etwa 80 GB H.265-Renders und 4 GB Standbilder, aber das Bedürfnis, das Rohmaterial zu teilen, blieb bestehen. Traditionelle Cloud-Dienste wie Google Drive oder Dropbox waren aufgrund der Limits der kostenlosen Tarife und der hohen Kosten für die Speichererweiterung bei solchen Datenmengen nicht ausreichend.

Um dieses Problem zu lösen, nutzte der Autor einen Dell R730xd-Server, auf dem ESXi lief. Das Setup umfasste die Installation von OpenMediaVault (OMV) auf einer virtuellen Maschine zur Verwaltung eines 12-TB-Festplatten-Pools. Das System wurde mit spezifischen freigegebenen Ordnern für Docker-Anwendungen, Dateifreigaben und Medienspeicher konfiguriert. Der Netzwerkzugriff wurde über SMB aktiviert, sodass Dateien effizient von den Schnitt-Arbeitsstationen auf den Server verschoben werden konnten. Der Autor betonte die physische Trennung der Daten, wobei ein Laufwerk für den Hauptspeicher und ein anderes für Docker-Konfigurationen verwendet wurde, obwohl auch ein einzelner Pool mit logischer Trennung machbar ist.

Der Kern der Lösung basiert auf FileBrowser Quantum, einem webbasierten Dateimanager, der über Cloudflare Zero Trust Tunnels sicher im Internet verfügbar gemacht wird. Dieser Ansatz vermeidet das Öffnen von Ports am lokalen Router und bietet dennoch HTTPS-Verschlüsselung. Die Tunnelkonfiguration beschränkt den externen Zugriff nur auf die öffentlichen Freigabe-Pfade und verhindert, dass unbefugte Benutzer die Login-Seite oder administrative Schnittstellen erreichen. Dieses Setup ermöglicht die Generierung von passwortgeschützten, zeitlich begrenzten Links, damit Kunden bestimmte Dateien direkt vom lokalen Server herunterladen können.

Wichtige Details

• Der Workflow verarbeitet zunächst Rohdaten von etwa 1,6 TB für Videos und 10 GB für Fotos, bevor diese durch den Schnitt auf ca. 80 GB reduziert werden.
• OpenMediaVault wird auf einer Debian-basierten VM innerhalb einer ESXi-Umgebung installiert und verwaltet den Speicher über RAID oder einzelne Festplatten.
• Die Plugins Docker und omv-extras werden installiert, um Container zu verwalten, wobei speziell Compose-Dateien für die Bereitstellung verwendet werden.
• Cloudflare Tunnels bieten sicheren externen Zugriff ohne Port-Forwarding und schränken die öffentliche Sichtbarkeit auf bestimmte URL-Pfade ein.
• FileBrowser Quantum läuft in einem Container mit schreibgeschützten Mounts für freigegebene Verzeichnisse, um versehentliches Löschen zu verhindern.
• Geteilte Links können mit Ablaufdaten und Passwörtern konfiguriert werden, was Funktionen nachahmt, die man von kostenpflichtigen Cloud-Diensten kennt.

Hintergrund

OpenMediaVault ist eine beliebte Network Attached Storage (NAS)-Lösung auf Basis von Debian Linux. Es bietet eine Weboberfläche zur Verwaltung von Festplatten, zum Erstellen freigegebener Ordner und zum Einrichten von Diensten wie SMB oder NFS für die Dateiübertragung. Für Benutzer, die sich mit Linux auskennen, bietet es mehr Kontrolle als Consumer-NAS-Geräte und erlaubt die Nutzung eigener Hardware sowie umfangreiche Plugin-Unterstützung.

Cloudflare Tunnels, Teil der Zero Trust Suite, erstellen eine sichere ausgehende Verbindung von einem lokalen Server zum Edge-Netzwerk von Cloudflare. Dies eliminiert die Notwendigkeit für statische IP-Adressen oder Port-Forwarding auf Heim- oder Büro-Routern, die häufige Sicherheitsrisiken darstellen. Durch die Routing des Traffics über Cloudflare bleibt der Server vor direkten Internet-Scans verborgen, und der gesamte Traffic wird über HTTPS verschlüsselt, selbst wenn der interne Dienst plain HTTP nutzt.

Warum es wichtig ist

Für Teams, die große Medienbestände verwalten, kann die Abhängigkeit von Cloud-Speichern Dritter prohibitiv teuer werden. Die Übertragung von Terabytes an Daten erfordert oft Enterprise-Level-Abonnements, während das Self-Hosting vorhandene Hardware-Investitionen nutzt. Dieser Ansatz gibt Organisationen die volle Kontrolle über den Lebenszyklus ihrer Daten und stellt sicher, dass Rohmaterial und sensible Projektdateien on-premises bleiben, bis sie explizit geteilt werden.

Sicherheit ist ein weiterer kritischer Faktor. Durch die Nutzung von Tunnels und die Beschränkung des Zugriffs auf bestimmte Pfade können Administratoren das Risiko von Brute-Force-Angriffen auf Login-Seiten mindern. Die Möglichkeit, ephemere Links mit Passwörtern zu generieren, fügt eine Sicherheitsebene hinzu, die der von Enterprise Content Delivery Networks ähnelt, jedoch ohne wiederkehrende monatliche Gebühren. Dieses Modell ist besonders relevant für kleine Studios oder Freelancer-Teams, die professionelle Liefermechanismen benötigen, ohne den Overhead von Corporate-IT-Verträgen.

Was Sie tun können

• Bewerten Sie Ihre aktuellen Speicherkosten und vergleichen Sie diese mit den einmaligen Ausgaben für den Aufbau eines lokalen NAS mit gebrauchter Enterprise-Hardware.
• Installieren Sie OpenMediaVault auf einem Ersatzgerät oder einer VM, um die Oberfläche und die Dateiverwaltungsfunktionen zu testen, bevor Sie Produktionsdaten migrieren.
• Richten Sie ein Cloudflare-Konto ein und konfigurieren Sie einen Zero Trust Tunnel, um zu experimentieren, wie lokale Dienste sicher ohne Port-Forwarding exponiert werden können.
• Verwenden Sie Docker Compose, um FileBrowser oder ähnliche leichtgewichtige Dateimanager bereitzustellen, und stellen Sie sicher, dass Volumes wo angemessen schreibgeschützt gemountet werden.
• Implementieren Sie strenge Zugriffssteuerungen, indem Sie die Tunnel-Pfade auf öffentliche Freigabe-Verzeichnisse beschränken und administrative Schnittstellen nur lokal zugänglich machen.
• Testen Sie die Link-Generierung mit Ablauf- und Passwort-Funktionen, um sicherzustellen, dass Kunden einfach auf Dateien zugreifen können, während die Sicherheitsstandards eingehalten werden.