From 6dea5ec361f90078bbe10b0241dd49db3ad766d2 Mon Sep 17 00:00:00 2001 From: Christoph Emsenhuber Date: Fri, 10 Jul 2026 09:42:33 +0200 Subject: [PATCH] =?UTF-8?q?docs=20=F0=9F=93=84=20cf-tunnel=20=C2=A78:=20In?= =?UTF-8?q?gress=20v116=20(.41=E2=86=92.20)=20+=20Connector-Reachability?= =?UTF-8?q?=20nach=20NAS-VLAN20-Cutover?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit - 6 NAS-Origins .41→.20 repointet (ha-mcp, NAS-ssh, gitea, vw, grafana, pve-mcp), v115→v116. - Befund: pve-Connector erreicht VLAN20 (vw 200 via Tunnel); 502 direkt nach Ingress-PUT = transient. - grafana 502 = Container exited, kein Routing-Problem. Kein pve-Static-Route nötig. - Stufe-4-Connector-Vantage löst sich mit pve→VLAN20 (PVID1-Cutoff). Co-Authored-By: Claude Opus 4.8 --- docs/cf-tunnel-mapping.md | 23 +++++++++++++++++++++++ 1 file changed, 23 insertions(+) diff --git a/docs/cf-tunnel-mapping.md b/docs/cf-tunnel-mapping.md index 6b0ed37..40ef731 100644 --- a/docs/cf-tunnel-mapping.md +++ b/docs/cf-tunnel-mapping.md @@ -143,3 +143,26 @@ Die .167-Dienste laufen real auf dem **macmini (ep20, VLAN20 10.40.20.167)** — **Stufe 4 — Zielbild (überlappt Track C / IP-Migration):** - Origins auf konkret routbare IPs in VLAN20 konsolidieren, dann **HA-Connector-Paar** (z.B. pve + NAS) **beide in VLAN20**, sodass jeder Connector jede Origin erreicht. `gateway-dw` über WG-fähigen Connector lösen. - TP5-Firewall ZULETZT (erst wenn alle Origins/Connectors in VLAN20). + +--- + +## 8. Update 2026-07-09 — NAS→VLAN20-Cutover + Ingress v116 +Nach NAS-DSM-Cutover auf `10.40.20.10` und Docker-Migration auf ein Macvlan `vlan20` +(alle NAS-Container jetzt `10.40.20.x`, s. `docs/nas-vlan20/`): + +**Ingress v115→v116 (via scoped Token, `cf_repoint`):** 6 Origins `.41→.20` repointet — +`ha-mcp` .105:9583, `3k23uow7`(NAS-ssh) .10:22, `gitea` .157, `vw` .127, `grafana` .109, `pve-mcp` .173. +Keine `.41`-Stale unter den migrierten Hosts mehr. Bleibt `.41`: pve .100, j44d6tua .100, +portainer .126, nginx-bf .123, gateway-bf .254. + +**Connector-Reachability — geklärt (kein Routing-Problem):** Der pve-Connector `.41.126` **erreicht +VLAN20** — `vw.emsenhuber.net` → **200** über den Tunnel (Vaultwarden `.20.127` läuft). ap1 macht das +Inter-VLAN-Routing VLAN1↔VLAN20, das steht. Ein `502` direkt **nach** dem Ingress-PUT war **transient** +(Connector-Origin-Cache/ARP noch nicht warm), verschwindet nach kurzer Zeit. `grafana` `502` = Container +`exited` (starten → geht). **Kein pve-Static-Route nötig.** + +**Bleibt offen (Stufe 4, Connector-Vantage — nicht dringend):** Round-Robin-Asymmetrie #1033, falls +mehrere Connectors aktiv: macmini (`.20.167`, VLAN20) erreicht NAS-Macvlan, scheitert aber an +pve-lokalen Origins/pbs/gateway-dw; NAS-eigener host-net-Connector taugt nicht (Host↔eigene-Macvlan- +Isolation). Zielbild = **ein** Connector, der alles erreicht — löst sich weitgehend von selbst, sobald +pve (+ Connector) mit dem PVID1-Cutoff in VLAN20 wandert (dann sind Origins+Connector im selben L2).