From 012397f194925ecb185a277abfb5c9ca0bbaa076 Mon Sep 17 00:00:00 2001 From: Christoph Emsenhuber Date: Tue, 1 Sep 2026 19:19:52 +0200 Subject: [PATCH] =?UTF-8?q?TP41:=20T4/T3/T2=20durch=20(zt-svc,=20WARP-inte?= =?UTF-8?q?rn=20.36/.37,=20vw/admin=20404=20origin);=20Token-Altlast=20gek?= =?UTF-8?q?l=C3=A4rt;=20TP42=20angelegt?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Co-Authored-By: Claude Opus 4.8 --- caddy/Caddyfile | 7 +++ docs/handoff-20260901-tp41.md | 55 ++++++++++++++++++++++ docs/handoff-20260901-tp42-naming.md | 40 ++++++++++++++++ docs/teilprojekte.md | 70 +++++++++++++++++++++++----- 4 files changed, 161 insertions(+), 11 deletions(-) create mode 100644 docs/handoff-20260901-tp42-naming.md diff --git a/caddy/Caddyfile b/caddy/Caddyfile index 568d624..1116b0e 100644 --- a/caddy/Caddyfile +++ b/caddy/Caddyfile @@ -21,6 +21,13 @@ # OEFFENTLICH (via Cloudflare Tunnel + Access; Clients ohne WARP) # ========================================================================= vw.emsenhuber.net { + # TP41 T2: /admin nur lokal/WARP-intern (kein CF-Header). Via CF (Header CF-Connecting-IP + # gesetzt) -> 404 statt Vault-Admin. Ersetzt die frühere WAF-Edge-Regel (403). + @cf_admin { + header CF-Connecting-IP * + path /admin /admin/* + } + respond @cf_admin 404 reverse_proxy http://10.40.20.127 } diff --git a/docs/handoff-20260901-tp41.md b/docs/handoff-20260901-tp41.md index ef2da03..907a7f5 100644 --- a/docs/handoff-20260901-tp41.md +++ b/docs/handoff-20260901-tp41.md @@ -108,3 +108,58 @@ Apps: Wildcard `16aaec78` · vw/hass/gitea-Bundle `1dbc45ca` · App-Launcher `6d `zt-home` `c0f8ba0d` · `zt-automation` `1b60b608`. Service-Tokens: `claude-mcp`→`zt-svc` `65f1821a` · `terpene-verify` `a6be7efa` (Waise) · `terpene-verify-v2` `1082bad1`. WAF: Ruleset `416af72d…`, Regel `f26744eb…`. Team-Domain `emsenhuber.cloudflareaccess.com` (Org-`name`-Altlabel `bf4…` nicht anfassen). + +--- + +## ✅ Update — Folgesession 2026-09-01 (T4 durch, Token-Altlast geklärt, Drift-Korrekturen) + +### T4 — zt-svc ✅ DURCH (Variante B, inkl. Worker) +- `claude-mcp` (`65f1821a`) → **`zt-svc`** umbenannt **und rotiert** (Secret in + `mcp/cloudflare/.env` `CF_ACCESS_CLIENT_ID/SECRET` + `~/.secrets/credentials.env`; dort + `TERPENE_ACCESS_*` und `TERPENE_VERIFY_CF_*` jetzt = zt-svc). client_id + `ad1b47dee8ba9625eebb30247d163dda.access`. +- **Worker-Pin gefunden** (`blaueblueten-n8n/worker/src/index.js:44`): Admin wird nur dem Token mit + `common_name == env.TERPENE_SVC_CLIENT_ID` gewährt. Deshalb Variante B: **`wrangler secret put + TERPENE_SVC_CLIENT_ID`** = zt-svc-client_id (wrangler-OAuth-Session, `workers_scripts:write` — die + „Deploy blockiert"-Notiz galt nur für API-Tokens). Kein Code-Redeploy nötig. +- `terpene-svc` (`bf7d2e5e`) include = **nur noch Gruppe `zt-automation`** (`1b60b608`). + **`terpene-verify` (`a6be7efa`) + `terpene-verify-v2` (`1082bad1`) gelöscht.** Einziges verbleibendes + Access-Service-Token = **`zt-svc`**. Verify: `test_whoami.py` → `admin:true`, common_name = zt-svc. ✅ + +### Token-Altlast (b00722 / d47435) — GEKLÄRT (Rollen waren im Ur-Handoff vertauscht) +- **`b00722`** ist **NICHT** die Altlast, sondern das **LIVE** von Caddy genutzte DNS-01-Token + (LXC130 `/etc/caddy/caddy.env`, SSoT). Certs valide bis Nov 2026. +- **`d47435`** = **stale Klartext-Kopie** in `credentials.env` (gleiche Perms, kein Live-Consumer). + n8n hält **0 Credentials**, blaueblüten hält keinen der beiden. `credentials.env`-Kopie am + 2026-09-01 auf **b00722** realignt (SSoT-Abgleich). +- 🔜 **USER-Aktion:** **`d47435` revoken** (Dashboard oder `…4148` kurz „Account API Tokens Write" + geben — `…4148` kann API-Tokens weder listen noch revoken, Bestätigung 9109/1000). + +### Drift-Korrekturen (live gemessen) +- **T3-Resolver:** interner Split-Horizon liegt auf **`10.40.20.36`/`.37`** (→ `*.emsenhuber.net = .40`), + **nicht** auf `10.40.20.1` (der liefert public CF). T3-fallback_domains müssen auf `.36/.37` zeigen. +- **`10.40.20.16/.17`** (AdGuard laut CLAUDE.md) sind **stale** → neu als **TP42** angelegt + (`docs/handoff-20260901-tp42-naming.md`): `.bf.lan`/`.bf.emsenhuber.net`-Vereinheitlichung. + +### 🔴 Leak (Transparenz) +Beim maskierten Lesen von `credentials.env` ist der Wert **`TERPENE_ANDROID_KEYSTORE_PW`** ins +Sitzungstranskript geraten (Regex-Loch `_PW`). **Rotation erwägen** (Terpene-Android-Signing). + +### T3 — WARP-intern ✅ APPLIED (2026-09-01) +- Ziel-Profil geklärt: das custom „Cloudflare Mesh"-Profil matcht **nur** `warp_connector@…` → Christoph/Geli + laufen im **Default-Profil** (`0197d1b3`). `fallback_domains += emsenhuber.net → [10.40.20.36, 10.40.20.37]` + dort gesetzt (15 Suffixe). Tunnel-Route `10.40.0.0/16` via `d1da7c8a` existiert; Exclude-Liste enthält + **kein** `10.0.0.0/8` (nur `192.168/16` + CGNAT-minus-Mesh) → `.36/.37` sind über WARP routbar. +- ⏳ **User-Verify:** WARP am Gerät **neu verbinden** (Profil-Cache), dann `dig vw.emsenhuber.net → .40` + und `/admin` über WARP erreichbar. + +### T2 — 404 statt 403 ✅ DURCH (2026-09-01) +- Caddyfile `vw`-Block: `@cf_admin {header CF-Connecting-IP *; path /admin /admin/*} → respond 404`. + Deploy LXC130 (Backup `/etc/caddy/Caddyfile.bak-tp41-20260901`), reload ok. +- WAF-Regel **`f26744eb` gelöscht** (nur noch die gitea-skip-Regel `3c707c3c` im Ruleset). +- Verify: **Edge `/admin` = 404** (war 403), Edge `/` = 200, **lokal/WARP `/admin` = 200**. ✅ + +### Noch offen +- **d47435-Revoke** (User, Account API Tokens Write). **T3-Client-Verify** (User, WARP neu verbinden). +- **T5** (GitHub/Google-Callbacks — der eigentliche OTP-Fix, User). **T6/T7/dw-Geli**. +- 🔴 **`TERPENE_ANDROID_KEYSTORE_PW`-Rotation erwägen** (Transkript-Leak, s.o.). diff --git a/docs/handoff-20260901-tp42-naming.md b/docs/handoff-20260901-tp42-naming.md new file mode 100644 index 0000000..876a382 --- /dev/null +++ b/docs/handoff-20260901-tp42-naming.md @@ -0,0 +1,40 @@ +# Handoff 2026-09-01 — TP42 Namens-Vereinheitlichung bf.lan → emsenhuber.net + +> **Angelegt aus einem TP41-Randbefund.** Reine Anlage + Bestandsaufnahme; **keine Live-Änderung** +> in dieser Session. Umsetzung = eigene Session. + +## Auslöser +Beim Verifizieren des T3-Resolvers (TP41) live gemessen: + +| Resolver | vw.emsenhuber.net | Bewertung | +|---|---|---| +| 10.40.20.36 / .37 | 10.40.20.40 | ✅ korrekt (reale Client-Resolver, via DHCP) | +| 10.40.20.1 (Core) | 188.114.96.10 / .97.10 | public CF (Core macht DoH→CF) | +| 10.40.20.16 | CNAME nginx-bf.emsenhuber.net (kein A) | 🔴 stale | +| 10.40.20.17 | nginx.bf.emsenhuber.net + 10.40.41.123 | 🔴 stale, totes VLAN1 | + +Daneben: Core `/ip dns static` = 11× `*.bf.lan`; Caddyfile doppelt jeden internen Namen als +`*.bf.emsenhuber.net`. + +## Befund-Fundstellen (Start für die Umsetzung) +- **Core (`crs326-core`) `/ip dns static`:** router.lan, core.bf.lan, macmini.bf.lan, pve.bf.lan, + pve-mcp.bf.lan, nas.bf.lan, docker.bf.lan, platform-pg.bf.lan, ap1.bf.lan, ap2.bf.lan, branch.bf.lan. +- **Caddyfile (`caddy/Caddyfile`, LXC130/.40):** `*.bf.emsenhuber.net`-Aliase an nautobot/ccu/iobroker/ + z2m25/pve-mcp/ha-mcp/n8n-mcp/gitea-mcp/pve/portainer/pbs. +- **AdGuard `.36`/`.37`:** aktive Split-Horizon-Rewrites `*.emsenhuber.net → .40` (Sollquelle). +- **Stale `.16`/`.17`:** alte AdGuard, `nginx*`-Antworten + `10.40.41.123` → abbauen/klären. +- **DHCP:** Search-/Domain-Option je Netz prüfen (welcher Suffix wird verteilt?). + +## Ziel +Ein interner Namensraum `emsenhuber.net` (Split-Horizon `.36/.37 → .40`). `.bf.lan` + +`.bf.emsenhuber.net` raus. Sollzustand in Nautobot (TP37). + +## Offen / Entscheidungen für die Umsetzungssession +1. Zielschema fix: nur `emsenhuber.net`, oder `bf.emsenhuber.net` als **einzige** interne Zone? +2. Migrationsreihenfolge ohne DNS-Loch (erst neue Namen, dann alte weg). +3. `.16/.17`: laufen die noch, gehören sie abgebaut? (mit TP für AdGuard-Konsolidierung abgleichen) +4. Nautobot-Erfassung: Custom Field / Records — abhängig von TP37-Datenmodell. + +## Nicht anfassen +Öffentliche Zone `emsenhuber.net` (CF); Resolver-Zuordnung `.36/.37`; `.1`-DNS-Reste auf Clients +(User: „bis jetzt kein Problem"). Test-Vantage-Lehre aus TP41 beachten (von zuhause umgeht man CF). diff --git a/docs/teilprojekte.md b/docs/teilprojekte.md index 8146820..ea0e82b 100644 --- a/docs/teilprojekte.md +++ b/docs/teilprojekte.md @@ -31,11 +31,19 @@ Mgmt (VLAN99, Ist 2026-08-16): core `.99.1` · branch `.99.2` · ap1 `.99.11` · **Compliance am 2026-08-31 nach vollem Refresh (Backup→Intended→Compliance) gelesen: 128/135.** *(Die Fassung vom 2026-08-16 stand bis zum 18. hier und war an vier Stellen überholt. Wer diesen Block liest, liest ihn als Erstes: er wird bei jeder Änderung mitgezogen, nicht nur die TP-Abschnitte.)* -- ⏳ **TP41 CF-Access-Reparatur (2026-09-01, Kern live, Rest an neue Session übergeben):** Session 720h, +- ⏳ **TP41 CF-Access-Reparatur (2026-09-01, Kern live + T4 durch):** Session 720h, login_method-Loch zu (`bf-users` email-only), `zt-`-Gruppen, vw voll Bypass + `vw/admin` per WAF - geblockt (Mobilfunk-verifiziert), API-Token auf vollständiges `…4148` konsolidiert. **Offen:** T4 - (`zt-svc`), T3 (WARP-intern), **T5 = GitHub/Google-Callback in den Provider-Konsolen** (der eigentliche - OTP-Fix). Handoff: [`docs/handoff-20260901-tp41.md`](handoff-20260901-tp41.md). + geblockt (Mobilfunk-verifiziert), API-Token auf vollständiges `…4148` konsolidiert. **T4 ✅** + (ein Access-Service-Token `zt-svc`, Terpene-Worker per wrangler auf zt-svc umgestellt, Alt-Tokens + gelöscht). **T3 ✅** (WARP Default-Profil fallback_domains `emsenhuber.net → .36/.37`). **T2 ✅** + (WAF-Regel gelöscht, Caddy-Origin-404 für `/admin` via CF-Header; Edge=404, lokal=200). + **Token-Altlast geklärt:** `b00722`=live Caddy-DNS-Token, `d47435`=stale Kopie → **User revoket d47435**. + **Offen nur noch User:** **T5 = GitHub/Google-Callback** (der OTP-Fix), d47435-Revoke, T3-WARP-Client-Verify. + Handoff: [`docs/handoff-20260901-tp41.md`](handoff-20260901-tp41.md). +- 🔜 **TP42 Namens-Vereinheitlichung (2026-09-01, angelegt):** internes `.bf.lan` (Core-DNS, DHCP-Search- + Domain) und die `.bf.emsenhuber.net`-Aliase (Caddyfile) auf **einen** Namensraum `emsenhuber.net` + ziehen; stale `.16/.17`-Rewrites abbauen; Sollzustand in Nautobot. Handoff: + [`docs/handoff-20260901-tp42-naming.md`](handoff-20260901-tp42-naming.md). - ✅ **TP16.3 ABGESCHLOSSEN (2026-09-01):** Flip **und** Abbau durch. Öffentlich laufen nur noch `bf-public` (12 Connectoren) und `fm` — die drei Alttunnel `bf-mm`/`bf-nas`/`bf-pve` **und** der projektfremde `terpene-db` sind gelöscht, **7 cloudflared-Container** entfernt (inkl. @@ -480,7 +488,8 @@ nachmessen und dann entscheiden**. Blocker gibt es keine mehr. TP5 ist in der Na > | TP37 | 🔜 | Nautobot als Netzwerkdoku: Hosts/Container/Dienste + CF-Connectoren (Okay 08-30) | — | > | TP38 | 🔜 | OOB-Mgmt: untagged-VLAN99-Port je Switch | — | > | TP40 | 🔜 | HA-Recorder-Retention: 41 GB `states` beschneiden (Okay 09-01) | — | -> | TP41 | ⏳ | CF-Access-Reparatur + ZT-Konsolidierung: Session 720h + login_method-Loch zu + `zt-`-Gruppen + vw/admin-WAF ✅; T3(WARP-intern)/T4(zt-svc)/T5(IdP-Konsolen) offen | — | +> | TP41 | ⏳ | CF-Access-Reparatur: **T4/T3/T2 ✅**; Token-Altlast geklärt; offen nur noch User-Aufgaben (T5 IdP-Callbacks = OTP-Fix, d47435-Revoke, T3-WARP-Client-Verify) | — | +> | TP42 | 🔜 | Namens-Vereinheitlichung bf.lan→emsenhuber.net: `.bf.lan`/`.bf.emsenhuber.net` aus allen Geräten raus, in Nautobot festhalten | — | > | — | — | **35 archivierte TPs** in `teilprojekte-archiv.md` (inkl. TP39 ✅ 2026-09-01) | — | ### TP5.1 — DNS-Visibility & Flow-Observability für Low-Trust-Geräte (Airfryer-Fall) ▸ vorgemerkt @@ -2875,12 +2884,22 @@ Bypass** (Lebensader offen) + **`vw/admin` per WAF-Regel öffentlich geblockt** verifiziert) · API-Token auf das vollständige `…4148` konsolidiert (User hat Service-Tokens- + Zero-Trust- Write ergänzt), altes `…2174` revoken. -**🔜 Offen:** **T4** kumulatives Service-Token `zt-svc` (claude-mcp rename+rotate, Terpene-Migration -`blaueblueten-n8n`, alte 2 Tokens löschen) · **T3** WARP löst `emsenhuber.net` intern auf (Local Domain -Fallback → `10.40.20.1`; account-weit) · **T5 (USER)** GitHub-OAuth `Ov23li2h96hAkGRPJXYV` + Google-Client -Callback = `https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback` (**der eigentliche OTP-Fix**, -Fehler „redirect_uri is not associated" bestätigt) · **T2** 404 statt 403 nur Origin-seitig (WAF-Custom- -Response = Free-Plan-gesperrt) · **T6** optional Rate-Limit. +**✅ T4 DURCH (2026-09-01, Variante B):** ein Access-Service-Token **`zt-svc`** (`65f1821a`, rotiert) über +Gruppe `zt-automation`; Terpene-Worker per `wrangler secret put TERPENE_SVC_CLIENT_ID` auf zt-svc +umgestellt (Worker-Pin `index.js:44`); `terpene-verify`+`-v2` **gelöscht**; `test_whoami` grün. +**Token-Altlast geklärt:** `b00722` = LIVE Caddy-DNS-Token (LXC130 caddy.env, SSoT), `d47435` = stale +Kopie (kein Consumer) → **User revoket `d47435`**; `credentials.env`-Kopie auf b00722 realignt. + +**✅ T3 APPLIED (2026-09-01):** Default-Profil (`0197d1b3`; das custom „Cloudflare Mesh" matcht nur den +`warp_connector`) `fallback_domains += emsenhuber.net → [10.40.20.36, 10.40.20.37]`; Tunnel-Route +`10.40.0.0/16` (`d1da7c8a`) da, kein `10/8`-Exclude → routbar. ⏳ Client-Verify: WARP neu verbinden. +**✅ T2 DURCH (2026-09-01):** WAF-Regel `f26744eb` gelöscht; Caddy `vw`-Block `respond @cf_admin 404` bei +Header `CF-Connecting-IP` (LXC130). Verify: Edge `/admin`=404, lokal/WARP `/admin`=200. ✅ + +**🔜 Offen:** **T5 (USER)** GitHub-OAuth `Ov23li2h96hAkGRPJXYV` + Google-Client Callback = +`https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback` (**der eigentliche OTP-Fix**, +Fehler „redirect_uri is not associated" bestätigt) · **d47435-Revoke** (User) · **T3-Client-Verify** (User) · +**T6** optional Rate-Limit · 🔴 `TERPENE_ANDROID_KEYSTORE_PW`-Rotation erwägen (Transkript-Leak). **🆕 dw/Geli an Auth vorbei (CGNAT):** Split-Horizon in dw-FritzBox `420.teilzeitladen.xyz` → BF-Caddy über WG; Caddy serviert die Terpene-App mit Cert (DNS-01, Token hat teilzeitladen.xyz-DNS). Cross-Projekt. @@ -2889,6 +2908,35 @@ Response = Free-Plan-gesperrt) · **T6** optional Rate-Limit. **Gitea-Least-Privilege** = eigener künftiger TP (jedes Projekt repo-scoped Login, Admin nur Claude/Christoph). - Bezug **TP11** (Monitoring): eine Plattenfüllstand-Warnung hätte das Wochen früher gezeigt. +### TP42 — Namens-Vereinheitlichung bf.lan → emsenhuber.net ▸ 🔜 ANGELEGT 2026-09-01 (User-Okay erteilt) + +**Auslöser (2026-09-01, TP41-Randbefund):** live gemessen liefern die realen Client-Resolver +`10.40.20.36`/`.37` `*.emsenhuber.net → 10.40.20.40` (Caddy) — korrekt. Daneben existiert aber ein +zweiter, gedrifteter interner Namensraum: der **Core** trägt in `/ip dns static` 11 Einträge auf +`*.bf.lan`, der **Caddyfile** doppelt jeden internen Namen als `*.bf.emsenhuber.net`, und die alten +AdGuard `.16`/`.17` antworten noch mit `nginx*.bf.emsenhuber.net` bzw. totem VLAN1 `10.40.41.123`. +Christoph: „aus emsenhuber.net wurde schon wieder bf.lan — das müssen wir ein für alle mal aus allen +Geräten rausprügeln und in Nautobot festhalten." + +**Ziel:** genau **ein** interner Namensraum `emsenhuber.net` (Split-Horizon `.36/.37 → .40`). `.bf.lan` +und `.bf.emsenhuber.net` werden entfernt; Sollzustand in Nautobot dokumentiert. + +**Scope (Reihenfolge = eigene Session):** +1. **Bestandsaufnahme** aller Fundstellen: Core `/ip dns static` (`*.bf.lan`), DHCP-Option + `domain`/Search-Domain je Netz, Caddyfile-Aliase (`*.bf.emsenhuber.net`), AdGuard-Rewrites `.36/.37`, + stale `.16/.17`, Geräte-`identity`. +2. **Entscheidung Zielschema** (nur `emsenhuber.net`, ggf. `bf.emsenhuber.net` als *einzige* interne + Zone — Christoph-Entscheid) und Migrationsreihenfolge ohne DNS-Loch. +3. **Umsetzen:** Core-DNS + DHCP + Caddyfile angleichen; stale `.16/.17` klären/abbauen. +4. **Nautobot:** interne Namen/Records als Sollzustand erfassen (Bezug TP37 Datenmodell). + +**Abgrenzung:** kein CF-Public-DNS-Umbau (Zone `emsenhuber.net` öffentlich bleibt); kein Resolver-Swap +(`.36/.37` bleiben); `.1`-als-DNS-Reste auf Clients sind separat/tolerierbar (User: „bis jetzt kein +Problem"). **Abh.:** TP37 (Nautobot-Datenmodell) für Punkt 4; sonst nichts Offenes. + +**Status:** 🔜 angelegt 2026-09-01, Ausarbeitung eigene Session. Handoff: +[`docs/handoff-20260901-tp42-naming.md`](handoff-20260901-tp42-naming.md). + ### TP37 — Nautobot als durchgehende Netzwerkdoku: Hosts/Container/Dienste, erster Anwendungsfall CF-Connectoren ▸ 🔜 ANGELEGT 2026-08-30 (User-Okay erteilt) > **Christophs Formulierung (2026-08-30):** *„können wir das setup mit den cf-connectoren dann auch in > nautobot abbilden. quasi eine durchgehende netzwerkdoku stück für stück. muss eh fast sein, da du auf