ARM 미니보드 홈 인프라 — Proxmox + LXC

클로드의 힘을 빌어서 평소에 엄두도 못내었던 일을 완료했습니다.

이 글도 클로드가 써줬네요..

0. 목표

• x86 미니PC가 아니라 ARM(RK3588) 보드 한 대로 라우터 + NAS + 미디어 + VPN을 전부 돌립니다.
• 기존 ASUS 공유기는 폐기하고, 라우터 역할을 Proxmox 안의 OpenWrt LXC가 대체했습니다.
• 키워드: ARM Proxmox, LXC 분리, OpenWrt 라우터 컨테이너, WireGuard, 저전력.

1. 하드웨어

• 보드: FriendlyElec NanoPC-T6 Plus (Rockchip RK3588)
• SoC: RK3588 8코어 — Cortex-A76 ×4 (최대 2.35GHz) + Cortex-A55 ×4 (최대 1.8GHz), Mali-G610 GPU, NPU 6 TOPS
• RAM: 16GB
• 유선 NIC: Realtek RTL8125 2.5GbE ×2 (한 포트는 ISP 회선 WAN 직결)
• 무선(LXC 라우터에 패스스루): WiFi 칩 2장
  • 5GHz: MediaTek MT7922 (M.2 PCIe)
  • 2.4GHz: MediaTek MT7612U (M.2 B-key, USB 인터페이스)
• 스토리지
  • eMMC 64GB — OS(Proxmox) 부팅 (온보드)
  • NVMe Samsung MZVLB256HBHQ-000L7 256GB (PM991 계열 OEM) — LVM-thin, LXC 디스크
  • HDD Seagate IronWolf Pro 18TB (ST18000NE000) — 미디어·데이터 (※ SATA 아닌 USB 연결)

2. OS / 가상화

• Proxmox VE 8.3 (ARM64 포팅판, jiangcuo pve-port) / 커널 6.1.x
• 핵심 포인트: x86가 아닌 ARM SBC에서 Proxmox를 돌려 LXC 다수를 안정 운용.
• 솔직한 단점: 이 포팅판 + LXC 조합에서 Mali GPU 미디어 디코드 가속은 제약이 있습니다.

3. LXC 컨테이너 구성

• LXC 110 (서비스): Docker 컨테이너 약 22개 — 미디어/다운로드/사진/공유 등
• LXC 120 (라우터): OpenWrt — 메인 라우터 (게이트웨이·DHCP·방화벽·WiFi AP)
• LXC 130 (데스크톱): GUI 환경

4. 네트워크 (하이라이트)

별도 공유기 없이 라우터를 LXC로:

• OpenWrt 라우터(LXC 120): LAN 게이트웨이, DHCP, 방화벽/포트포워딩, 듀얼밴드 WiFi AP
• WAN: ISP 인터넷 직결 (공인 IP 마스킹)
• WiFi: 칩 2장으로 5GHz·2.4GHz 동시 송출. 카드 바인딩은 PCIe=경로(path) / USB=MAC 주소로 고정 → 재부팅 시 버스 번호가 바뀌어도 안정
• WireGuard VPN: 스플릿 터널(집 내부망만 VPN 경유, 나머지는 직접 인터넷)
• DDNS 3종 병행: dynv6 / deSEC / Dynu (도메인 마스킹), 5분 주기 cron 갱신 (무료 ddns 는 예고없이 중단 되더군요)
• 도메인 접근: nginx 리버스 프록시 뒤에 서비스 배치 + Pi-hole로 내부 헤어핀 DNS. 내부 전용 서비스는 LAN/VPN만 허용, 공개는 꼭 필요한 것만

5. 스토리지 계층

• eMMC: OS(Proxmox)
• NVMe: LVM-thin (LXC 디스크)
• 18TB HDD: 미디어·백업·데이터 풀

6. 서비스 (LXC 110 / Docker ~22개)

• 미디어: Jellyfin(스트리밍)
• 다운로드: qBittorrent (+ gluetun으로 VPN 경유)
• 사진: Immich
• 파일공유: Samba
• 네트워크: Pi-hole(광고차단·DNS), nginx(리버스 프록시)
• 차량: TeslaMate(주행 기록)
• 그 외..

7. 구성하며 배운 점 (짧게)

• ARM Proxmox-port: 서버 스택엔 충분, GPU 미디어 가속은 한계 (성능의 한계가 아니라, os 지원 드라이버의 한계).
• 물리 라우터 → LXC OpenWrt: 기기 1대·전력↓. 단 "서버 재부팅 = 집 전체 인터넷 다운" 리스크는 감수.
• WiFi 카드 바인딩: USB는 버스 번호가 바뀌어 path 바인딩이 불안정 → MAC 바인딩이 정답.
• 외부 노출 최소화: 대부분 VPN/내부망 한정, 공개는 최소한으로.