From 5c8824850f4b4a2eb1bd8e59dcb793b2fd2d9bad Mon Sep 17 00:00:00 2001 From: Christoph Emsenhuber Date: Mon, 12 Oct 2026 17:34:06 +0200 Subject: [PATCH] docs: Airfryer ist FUSION/Cloud-only -- UNTRUSTED-Move zurueckgestellt (TP5.1) Airfryer "airschreier" (10.40.30.180, VLAN30) hat die Philips-FUSION-Migration bereits vollzogen. In HA verifiziert: - Config-Entry `philips_homeid`, Titel "Airschreier 5000 Series XXL (Cloud)" -- das (Cloud) ist die FUSION-Markierung der Integration - NCP 1.1.14 / Host 0.5.6 -> matcht die dokumentierte FUSION-Liste (HomeID-App zeigt die Reihenfolge umgedreht an: 0.5.6/1.1.14) - Lokaler Port 80/443 antwortet nicht; mDNS announct weiter - Kein Weg zurueck (cloud-seitige externalDeviceId-Verankerung) Konsequenzen fuer TP5.1: - UNTRUSTED-Move-Kandidat zurueckgestellt: bei FUSION ist die Cloud die einzige Steuerungsroute, internetloses VLAN macht das Geraet unsteuerbar - DHCP-Override dns 1.1.1.1 verliert seine OTA-Rechtfertigung - VLAN-Nummer in der Prosa korrigiert: UNTRUSTED ist VLAN 40, nicht 50 Co-Authored-By: Claude Code (deepseek-v4-pro) --- docs/announcements.md | 32 ++++++++++++++++++++++++++++++++ docs/teilprojekte.md | 3 ++- 2 files changed, 34 insertions(+), 1 deletion(-) diff --git a/docs/announcements.md b/docs/announcements.md index 03eac02..eebe3c3 100644 --- a/docs/announcements.md +++ b/docs/announcements.md @@ -13,6 +13,38 @@ zeigt die Einträge, die seit dem letzten `/news`-Lauf dazugekommen sind (Rest a --- +## 2026-10-12 — Airfryer „airschreier" ist FUSION/Cloud-only — lokale Anbindung endgültig tot +**Betrifft:** TP5.1 (Airfryer-Fall, DNS-Redirect + Live-Torch), die UNTRUSTED-Einordnung des Geräts +(`10.40.30.180`, VLAN30) und jede Session, die den Airfryer als „Low-Trust-Gerät mit lokalem OTA-Problem" +behandelt. +**Aktion:** Die Begründung für den DHCP-Override `dns 1.1.1.1` auf der Lease („OTA geht nicht über den +DoH-Gateway-Pfad") ist **erledigt** — das Gerät hat die FUSION-Migration bereits vollzogen. Der Override +kann abgebaut werden; danach greift wieder normale DNS-Policy/Filterung. **Aber:** Bei FUSION ist die +**Cloud-Verbindung die einzige** Steuerungsroute — das Gerät darf **nicht** ins internetlose UNTRUSTED- +VLAN (40) wandern, sonst ist es komplett unsteuerbar (auch aus HA). Der frühere UNTRUSTED-Move-Kandidat +aus TP5.1 ist damit **zurückzustellen**, nicht umzusetzen. + +**Befund (aus HA verifiziert, 2026-10-12):** +- Config-Entry `philips_homeid`, Titel **„Airschreier 5000 Series XXL (Cloud)"** — das `(Cloud)` im + Titel ist die FUSION-Markierung der Integration (Cloud-Relay statt lokal). +- Firmware-Sensoren: **NCP `1.1.14` / Host `0.5.6`** → entspricht der dokumentierten FUSION-Liste + (`1.1.14/0.5.6`; vgl. HD9285-Fälle `1.6.2/0.6.8`, `1.1.8/0.5.6`). Achtung: Die HomeID-App zeigt die + Reihenfolge **umgedreht** an (`0.5.6/1.1.14`) — nicht als SPECTRE fehldeuten. +- Modellnummer-Sensor: `HD9285` (SPECTRE wäre die lokale Variante, ist es aber nicht mehr). +- Lokaler Port 80/443 antwortet **nicht** (aus MAIN getestet); mDNS announce't aber weiter + `PHILIPS_HD9285_2_1FB281._http._tcp.local.` → Port 80. Das Gerät läuft also, hat aber keine + lokalen Credentials mehr. +- **Kein Weg zurück:** Laut Integrations-Doku ist die FUSION-Migration einwegig („There is no way back"), + weil die Zuordnung cloud-seitig über `externalDeviceId` verankert ist. Firmware-Downgrade hilft nicht, + Custom-Firmware existiert nicht (geschlossener ESP-Stack, signierter Bootloader). +- Steuerung **funktioniert** über die Cloud (Live-Werte plausibel: Kochstatus `setting`, 180 °C, + `fresh_fries`; Buttons für Start/Pause/Stopp/Warmhalten vorhanden). +- Nebenbefund: `dns 1.1.1.1` = anonymer Consumer-Resolver → **DNS-Sicht weiter blind**, Gerät umgeht + die Filterung. Redet nachweislich mit Versuni → AWS `eu-west-1` (IoT). Bleibt ein Beobachtungspunkt, + aber ohne OTA-Rechtfertigung. + +--- + ## 2026-10-03 — TP-Header tragen keinen Status mehr (SSoT-Drift geschlossen) **Betrifft:** alle, die `docs/teilprojekte.md` oder `teilprojekte-archiv.md` lesen oder editieren, und alle, die ein TP anlegen/abschließen. diff --git a/docs/teilprojekte.md b/docs/teilprojekte.md index 50ad227..aa98061 100644 --- a/docs/teilprojekte.md +++ b/docs/teilprojekte.md @@ -73,7 +73,8 @@ Mgmt (VLAN99, Ist 2026-08-16): core `.99.1` · branch `.99.2` · ap1 `.99.11` · - **Kontext (2026-07-08/09):** Airfryer „airschreier" (Philips/Versuni, ESP, `10.40.30.180`) bekam per DHCP-Option 6 `dns 1.1.1.1` als Override, weil das OTA-Update über den ap1-DoH-Gateway-Pfad nicht durchging (DoH-Latenz beim primitiven ESP-Stack — **kein** Content-Block, via Gateway-Logs bewiesen, s. `memory/ref_esp_ota_doh_not_block`). Nebenwirkung: public **1.1.1.1 = anonymer Consumer-Resolver ≠ accountgebundener Gateway-DoH** (`px35ynlol3.cloudflare-gateway.com`) → **DNS-Sicht auf das Gerät weg**, Gerät umgeht zudem die Filterung. - **(a) DNS-Redirect statt Geräte-Override** (der dauerhafte Fix): dst-nat „UDP/53 (+TCP/53) von Low-Trust-Src → auf einen *plain* Resolver umbiegen" gibt **Logging zurück UND** funktionierendes OTA (kein langsamer DoH-Pfad fürs Gerät). Redirect-Ziel-Optionen: (i) ap1-Resolver mit *nicht*-DoH-Upstream für dieses Src-Set, (ii) direkt public 1.1.1.1 (dann nur Flow-Logging), (iii) eigener plain-Resolver. Sauberer als „Gerät verschwindet auf 1.1.1.1". Verortung: Teil des UNTRUSTED-Internet-only-Pinnings (TP5-„Offen"); Entscheidung v50-DNS-Policy (gefiltert vs. plain) hängt dran. - **(b) Live-Torch als Ad-hoc-Observability:** DNS ist bei direktem 1.1.1.1 blind, **Flows nicht** (NATen über ap1). `torch` auf `vlan30`/`vlan50` gefiltert auf die Geräte-IP zeigt Ziel-IPs live (Versuni → AWS `eu-west-1` IoT erkennbar). Voraussetzung: Gerät aktiv. Merkregel: Airfryer nur online wenn er kocht → Capture ans Einschalten koppeln. -- **Abh.:** UNTRUSTED-Move des Airfryers (Kandidat, s. VLAN50) + TP5-Deny-by-default. Kein Blocker. +- **Abh.:** ~~UNTRUSTED-Move des Airfryers (Kandidat, s. VLAN50)~~ + TP5-Deny-by-default. Kein Blocker. +- ⚠️ **Nachtrag 2026-10-12 — Gerät ist FUSION/Cloud-only, UNTRUSTED-Move zurückgestellt:** Der Airfryer hat die Philips-FUSION-Migration bereits vollzogen (HA-Config-Entry `philips_homeid`, Titel „Airschreier 5000 Series XXL **[Cloud]**"; NCP `1.1.14` / Host `0.5.6`). Damit ist die **Cloud-Verbindung die einzige Steuerungsroute** — ein Move ins internetlose UNTRUSTED-VLAN würde das Gerät unsteuerbar machen (auch aus HA). Der oben genannte UNTRUSTED-Kandidat ist damit **vom Tisch**, nicht nur verschoben. Der DHCP-Override `dns 1.1.1.1` verliert seine Rechtfertigung (OTA-Problem erledigt) und kann abgebaut werden. Details: `docs/announcements.md`, Eintrag 2026-10-12. **Nebenbei:** die VLAN-Nummer im obigen Text („VLAN50") war falsch — UNTRUSTED ist laut `docs/vlan-plan.md` **VLAN 40**. ### TP8 · Gitea #2 — Identity & Access-Control - **RADIUS = FreeRADIUS auf der NAS** (✏️ User-Manager v5 kann **KEIN LDAP** → openldap nur via FreeRADIUS anbindbar).