Aiuto per configurazione visibilità servizi home all'esterno della LAN

cicciput per questo chiedevo se conviene impostare come OS base un gestore VM su cui successivamente far girare Linux con container separato per Nextcloud, ma per le mie necessità attuali mi sembra un po' eccessiva come soluzione

Concordo. Al massimo parti con Ubuntu Server pulito e fai girare tutto nei container. Non penso ti serva un hypervisor. Consiglio: crea un docker-compose a mano invece che usare Portainer. È comodo ma appena devi uscire dal seminato diventa molto più complesso il tutto.

cicciput Vedevo su alcuni tutorial online che abbinano a Nextcloud su container anche WIreguard passandola come una "linea di difesa"

"linea di difesa" nel senso che non ci accede più nessuno che non abbia la VPN. Idealmente - non è una soluzione pratica ovviamente - avresti lo stesso risultato facendo una whitelist con gli IP che si collegano.

cicciput tutto l'archivio qualora qualcuno forasse l'istanza di Nextcloud containerizzata

Occhio che solo perchè qualcosa gira in un container non è detto che sia inerentemente sicura o totalmente isolata dal resto del sistema. Attacchi - sebbene quelli sofisticati - sono comunque possibili.

Esempio molto scarno di quello che potresti fare:

• una rete interna con MariaDB e NextCloud
• una rete interna con Jellyfin ed eventuale altro gestore libreria
• una rete interna che fà comunicare Jellyfin e NextCloud con un reverse proxy
• una rete bridge per dare connettività internet

version: '3.7'

networks:
  nextcloud_internal:
    internal: true
  jellyfin_internal:
    internal: true
  proxy_network:
    internal: true
  internet_bridge:
    driver: bridge

services:
  nextcloud:
    image: nextcloud
    networks:
      - nextcloud_internal
      - proxy_network
      - internet_bridge
    depends_on:
      - mariadb

  mariadb:
    image: mariadb
    environment:
      MYSQL_ROOT_PASSWORD: example
      MYSQL_DATABASE: nextcloud
      MYSQL_USER: nextcloud
      MYSQL_PASSWORD: example
    networks:
      - nextcloud_internal

  jellyfin:
    image: jellyfin/jellyfin
    networks:
      - jellyfin_internal
      - proxy_network
      - internet_bridge

  caddy:
    image: caddy
    networks:
      - proxy_network
      - internet_bridge
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile
    ports:
      - "80:80"
      - "443:443"

cicciput ma se ora ho ip privato, vale solo per ipv4, giusto?

Sì in quanto per definizione in ambito IPv6 semplificando non è prevista la distinzione tra classi pubbliche e private.
Ovviamente tutti i tuoi client devono nel caso avere disponibilità dello stack IPv6 il ché non è del tutto scontato.

Lorenzo1635 Occhio che solo perchè qualcosa gira in un container non è detto che sia inerentemente sicura o totalmente isolata dal resto del sistema. Attacchi - sebbene quelli sofisticati - sono comunque possibili.

Concordo: nel mio piccolo utilizzo i container Docker soltanto per comodità configurativa e gestionale.