Een AI Lab opzetten: van nul tot werkende infrastructuur
Wie serieus met AI aan de slag wil, botst al snel op een praktisch probleem: je wilt experimenteren, maar niet op je productieomgeving.
Je wilt API-sleutels en testdata afschermen, maar toch vlot kunnen werken.
Je wil ook voorzichtig omspringen met je persoonlijke gegevens en mailaccounts, want AI-agents kunnen soms onvoorspelbaar zijn.
De oplossing? Een eigen AI Lab, netjes geïsoleerd van de rest van je netwerk.
In dit artikel beschrijf ik hoe ik mijn eigen lab heb opgezet, welke keuzes ik maakte en wat er onderweg misliep.
De basisarchitectuur
Het uitgangspunt is netwerksegmentatie. Door het AI Lab in een aparte VLAN te plaatsen, kan ik experimenteren zonder risico voor andere systemen op het netwerk. Een pfSense firewall regelt de toegang en het verkeer tussen de segmenten.
Een Virtual Local Area Network is een logische opdeling van een fysiek netwerk. Apparaten in verschillende VLANs kunnen alleen met elkaar communiceren als de firewall dat expliciet toestaat.
Ieder VLAN heeft een eigen subnet en IP-range, wat het beheer en de beveiliging vereenvoudigt.
pfSense als centrale firewall
pfSense is een open-source firewalloplossing gebaseerd op FreeBSD. Je installeert het op een mini-PC (ik gebruik een Fanless Mini PC N150) en configureert vervolgens de interfaces en regels. De belangrijkste stappen:
- WAN-interface koppelen aan je internetverbinding
- LAN-interface voor je thuisnetwerk en wifi-devices
- AILAB-interface aanmaken voor het AI Lab VLAN (Bijv. ID 500)
- Firewallregels instellen: AI Lab mag naar internet, maar niet naar LAN
Ik koos bewust voor dit toestel om twee redenen: het is fanless, wat betekent dat het stil is, en de netwerkpoorten hebben een snelheid van 2,5 Gbps, waardoor ik voorbereid ben op toekomstige uitbreidingen.
VLAN-configuratie op de switch
Voor VLAN-tagging heb je een managed switch nodig. Ik gebruik een MikroTik Cloud Router Switch 326-24G-2S+RM. De configuratie is eenvoudig: je wijst een poort toe aan VLAN 500 (untagged) voor apparaten die enkel in het AI Lab zitten, en de uplink naar pfSense wordt getagged geconfigureerd.
| Poort | Functie | VLAN-configuratie |
|---|---|---|
| 1 | Uplink naar pfSense | Tagged VLAN 100, 500 |
| 2-20 | Thuisnetwerk | Untagged VLAN 100 |
| 21-24 | AI Lab apparaten | Untagged VLAN 500 |
NAS als centrale opslag
Een NAS (ik gebruik een Synology DiskStation DS925+) is de ruggengraat van het lab. Op de NAS draait:
- Docker via Container Manager voor het uitvoeren van specifieke software
- Web Station voor de PHP-webomgeving
- MariaDB als database voor logs, feeds en testdata
- Mail Plus Server voor de aparte labmailbox
Een belangrijk voordeel van Synology boven een Raspberry Pi of gewone server: de NAS heeft een duidelijke UI, automatische updates en ingebouwde backup via Hyper Backup naar een externe schijf.
Aparte mailbox voor het AI Lab
AI-agents die mails versturen of ontvangen hebben een eigen mailbox nodig, losgekoppeld van je persoonlijke mail. Met Mail Plus Server op de Synology maak je eenvoudig een domein en een mailbox of meerdere mailboxen aan. De agent gebruikt IMAP om mails te lezen en SMTP om ze te versturen.
Aparte webomgeving via Virtual Host
Web Station op Synology ondersteunt virtual hosts: meerdere domeinnamen of subdomeinen kunnen elk naar een andere map en PHP-configuratie verwijzen. Voor het AI Lab heb ik verschillende aparte virtual hosts aangemaakt die niets delen met andere pagina's.
De Mac Mini als desktop client
Ja, ik weet dat het cliché is, maar ik heb ook een Mac Mini als desktop client aangeschaft. Maar er zijn zoveel voordelen aan het gebruik van een Mac Mini dat ik het niet kon laten:
- De prijs was op dat moment nog superinteressant: 719 EUR
- ik wou een apparaat dat 24/7 aan kon staan zonder veel stroom te verbruiken.
- Mac maakt gebruik van Unified memory: ram-geheugen dat je ook kan inzetten voor lokale LLM's te draaien
- Je hebt een heel korte link met je iPhone, zodat messaging via Berichten kan lopen
- MacOS heeft een native terminal en goede ondersteuning voor tools als Homebrew, wat het werken met AI-frameworks en API's een stuk eenvoudiger maakt.
- En natuurlijk: het is gewoon een heel fijn apparaat om mee te werken, met een mooi design en een vlotte gebruikerservaring.
Wat ging er mis?
Zoals bij elk project waren er ook uitdagingen. De grootste was het correct instellen van de firewallregels in pfSense. In eerste instantie had ik te strikte regels, waardoor sommige AI-agents geen toegang hadden tot de benodigde API's of services. Het was een kwestie van trial-and-error om precies de juiste regels toe te voegen die zowel veiligheid als functionaliteit garandeerden: toegang via WebDAV tot een virtual directory op de NAS, zodat een website kan beheerd worden, toegang tot de MariaDB database, toegang tot de IMAP mailbox en de mogelijkheid om e-mails te versturen.
Ik raad sowieso aan om de chatfunctie van Claude van Anthropic op een aparte PC of mobiel toestel met 4G/5G klaar te hebben. ChatGPT van OpenAI is ook geweldig, maar voor dergelijke technische vragen is Claude vaak beter. De aparte PC of mobiel toestel is essentieel want het gebeurt geregeld dat je tijdelijk geen toegang hebt tot de NAS, het internet, de mac of de switch. In dat geval kan Claude toch nog nuttige ondersteuning bieden.
Conclusie
Een eigen AI Lab hoeft niet duur te zijn. Met een fanless mini PC voor pfSense, een managed switch, een NAS en een PC of Mac Mini als desktop client heb je een robuuste, geïsoleerde omgeving waar je vrijuit kunt experimenteren. In volgende artikels beschrijf ik hoe ik op dit fundament AI-agents en applicaties heb gebouwd.