From 6c2d9c0ea7bb1f8f7189f30b2d6a081d7930e8a9 Mon Sep 17 00:00:00 2001 From: Christoph Emsenhuber Date: Mon, 12 Oct 2026 17:35:46 +0200 Subject: [PATCH] docs: DNS-Override-Mechanismus bleibt definiert, Airfryer-Cloud-Integration bleibt Praezisierung zum Eintrag von 2026-10-12. Zwei Entscheidungen festgehalten: - Der DHCP-Override-Mechanismus (dns 1.1.1.1) und die DNS-Redirect-Variante (a) bleiben als Werkzeug fuer kuenftige Low-Trust-Kandidaten definiert und werden NICHT abgebaut. Er verliert nur fuer den Airfryer seine Rechtfertigung. - Die Cloud-Integration des Airfryers bleibt bewusst in Betrieb. Die vorherige Formulierung "kann abgebaut werden" war zu scharf und haette eine Folge-Session dazu verleiten koennen, den Override wegzuraeumen. Co-Authored-By: Claude Code (deepseek-v4-pro) --- docs/announcements.md | 19 +++++++++++++------ docs/teilprojekte.md | 2 +- 2 files changed, 14 insertions(+), 7 deletions(-) diff --git a/docs/announcements.md b/docs/announcements.md index eebe3c3..f924e9e 100644 --- a/docs/announcements.md +++ b/docs/announcements.md @@ -17,12 +17,19 @@ zeigt die Einträge, die seit dem letzten `/news`-Lauf dazugekommen sind (Rest a **Betrifft:** TP5.1 (Airfryer-Fall, DNS-Redirect + Live-Torch), die UNTRUSTED-Einordnung des Geräts (`10.40.30.180`, VLAN30) und jede Session, die den Airfryer als „Low-Trust-Gerät mit lokalem OTA-Problem" behandelt. -**Aktion:** Die Begründung für den DHCP-Override `dns 1.1.1.1` auf der Lease („OTA geht nicht über den -DoH-Gateway-Pfad") ist **erledigt** — das Gerät hat die FUSION-Migration bereits vollzogen. Der Override -kann abgebaut werden; danach greift wieder normale DNS-Policy/Filterung. **Aber:** Bei FUSION ist die -**Cloud-Verbindung die einzige** Steuerungsroute — das Gerät darf **nicht** ins internetlose UNTRUSTED- -VLAN (40) wandern, sonst ist es komplett unsteuerbar (auch aus HA). Der frühere UNTRUSTED-Move-Kandidat -aus TP5.1 ist damit **zurückzustellen**, nicht umzusetzen. +**Aktion:** Die Begründung für den DHCP-Override `dns 1.1.1.1` auf **dieser** Lease („OTA geht nicht über +den DoH-Gateway-Pfad") ist **erledigt** — das Gerät hat die FUSION-Migration bereits vollzogen und hängt +sowieso an der Cloud. **Der Override-Mechanismus selbst bleibt bestehen** und ist für künftige Low-Trust- +Kandidaten weiter definiert (Entscheidung 2026-10-12) — er wird **nicht** abgebaut, sondern behält seinen +Wert als Werkzeug, falls wieder ein Gerät mit OTA-DoH-Latenzproblemen auftaucht. Das gilt ausdrücklich +auch für die in TP5.1 skizzierte DNS-Redirect-Variante (a). + +**Aber:** Bei FUSION ist die **Cloud-Verbindung die einzige** Steuerungsroute — das Gerät darf **nicht** +ins internetlose UNTRUSTED-VLAN (40) wandern, sonst ist es komplett unsteuerbar (auch aus HA). Der +frühere UNTRUSTED-Move-Kandidat aus TP5.1 ist damit **zurückzustellen**, nicht umzusetzen. + +**Steuerungsentscheidung (2026-10-12):** Die Cloud-Integration **bleibt** — der Airfryer wird bewusst +über `philips_homeid` / Cloud-Relay betrieben. Kein Rückbau, keine weitere Diskussion nötig. **Befund (aus HA verifiziert, 2026-10-12):** - Config-Entry `philips_homeid`, Titel **„Airschreier 5000 Series XXL (Cloud)"** — das `(Cloud)` im diff --git a/docs/teilprojekte.md b/docs/teilprojekte.md index aa98061..9f4fc14 100644 --- a/docs/teilprojekte.md +++ b/docs/teilprojekte.md @@ -74,7 +74,7 @@ Mgmt (VLAN99, Ist 2026-08-16): core `.99.1` · branch `.99.2` · ap1 `.99.11` · - **(a) DNS-Redirect statt Geräte-Override** (der dauerhafte Fix): dst-nat „UDP/53 (+TCP/53) von Low-Trust-Src → auf einen *plain* Resolver umbiegen" gibt **Logging zurück UND** funktionierendes OTA (kein langsamer DoH-Pfad fürs Gerät). Redirect-Ziel-Optionen: (i) ap1-Resolver mit *nicht*-DoH-Upstream für dieses Src-Set, (ii) direkt public 1.1.1.1 (dann nur Flow-Logging), (iii) eigener plain-Resolver. Sauberer als „Gerät verschwindet auf 1.1.1.1". Verortung: Teil des UNTRUSTED-Internet-only-Pinnings (TP5-„Offen"); Entscheidung v50-DNS-Policy (gefiltert vs. plain) hängt dran. - **(b) Live-Torch als Ad-hoc-Observability:** DNS ist bei direktem 1.1.1.1 blind, **Flows nicht** (NATen über ap1). `torch` auf `vlan30`/`vlan50` gefiltert auf die Geräte-IP zeigt Ziel-IPs live (Versuni → AWS `eu-west-1` IoT erkennbar). Voraussetzung: Gerät aktiv. Merkregel: Airfryer nur online wenn er kocht → Capture ans Einschalten koppeln. - **Abh.:** ~~UNTRUSTED-Move des Airfryers (Kandidat, s. VLAN50)~~ + TP5-Deny-by-default. Kein Blocker. -- ⚠️ **Nachtrag 2026-10-12 — Gerät ist FUSION/Cloud-only, UNTRUSTED-Move zurückgestellt:** Der Airfryer hat die Philips-FUSION-Migration bereits vollzogen (HA-Config-Entry `philips_homeid`, Titel „Airschreier 5000 Series XXL **[Cloud]**"; NCP `1.1.14` / Host `0.5.6`). Damit ist die **Cloud-Verbindung die einzige Steuerungsroute** — ein Move ins internetlose UNTRUSTED-VLAN würde das Gerät unsteuerbar machen (auch aus HA). Der oben genannte UNTRUSTED-Kandidat ist damit **vom Tisch**, nicht nur verschoben. Der DHCP-Override `dns 1.1.1.1` verliert seine Rechtfertigung (OTA-Problem erledigt) und kann abgebaut werden. Details: `docs/announcements.md`, Eintrag 2026-10-12. **Nebenbei:** die VLAN-Nummer im obigen Text („VLAN50") war falsch — UNTRUSTED ist laut `docs/vlan-plan.md` **VLAN 40**. +- ⚠️ **Nachtrag 2026-10-12 — Gerät ist FUSION/Cloud-only, UNTRUSTED-Move zurückgestellt:** Der Airfryer hat die Philips-FUSION-Migration bereits vollzogen (HA-Config-Entry `philips_homeid`, Titel „Airschreier 5000 Series XXL **[Cloud]**"; NCP `1.1.14` / Host `0.5.6`). Damit ist die **Cloud-Verbindung die einzige Steuerungsroute** — ein Move ins internetlose UNTRUSTED-VLAN würde das Gerät unsteuerbar machen (auch aus HA). Der oben genannte UNTRUSTED-Kandidat ist damit **vom Tisch**, nicht nur verschoben. Der DHCP-Override `dns 1.1.1.1` verliert **für den Airfryer** seine Rechtfertigung (OTA-Problem erledigt) — der **Mechanismus selbst bleibt** aber als Werkzeug für künftige Low-Trust-Kandidaten definiert und wird **nicht** abgebaut (Entscheidung 2026-10-12), ebenso die DNS-Redirect-Variante (a). Die Cloud-Integration **bleibt** bewusst in Betrieb. Details: `docs/announcements.md`, Eintrag 2026-10-12. **Nebenbei:** die VLAN-Nummer im obigen Text („VLAN50") war falsch — UNTRUSTED ist laut `docs/vlan-plan.md` **VLAN 40**. ### TP8 · Gitea #2 — Identity & Access-Control - **RADIUS = FreeRADIUS auf der NAS** (✏️ User-Manager v5 kann **KEIN LDAP** → openldap nur via FreeRADIUS anbindbar).