diff --git a/caddy/Caddyfile b/caddy/Caddyfile index 1116b0e..9552004 100644 --- a/caddy/Caddyfile +++ b/caddy/Caddyfile @@ -46,7 +46,7 @@ gitea.emsenhuber.net { # ========================================================================= # INTERN (Mesh/LAN; Split-Horizon zeigt diese Namen auf 10.40.20.40) # ========================================================================= -nautobot.emsenhuber.net, nautobot.bf.emsenhuber.net { +nautobot.bf.emsenhuber.net { reverse_proxy http://10.40.20.30:8080 } @@ -58,49 +58,49 @@ ds-bf.emsenhuber.net { reverse_proxy http://10.40.20.10:8080 } -ccu.emsenhuber.net, ccu.bf.emsenhuber.net { +ccu.bf.emsenhuber.net { reverse_proxy http://10.40.20.232 } -iobroker.emsenhuber.net, iobroker.bf.emsenhuber.net { +iobroker.bf.emsenhuber.net { reverse_proxy http://10.40.20.107:8081 } -z2m25.emsenhuber.net, z2m25.bf.emsenhuber.net { +z2m25.bf.emsenhuber.net { reverse_proxy http://10.40.20.106:8080 } # --- MCP-Endpunkte: heute spricht ~/.claude.json diese IPs roh -------------- -pve-mcp.emsenhuber.net, pve-mcp.bf.emsenhuber.net { +pve-mcp.bf.emsenhuber.net { reverse_proxy http://10.40.20.173:3000 } -ha-mcp.emsenhuber.net, ha-mcp.bf.emsenhuber.net { +ha-mcp.bf.emsenhuber.net { reverse_proxy http://10.40.20.105:9583 } -n8n-mcp.emsenhuber.net, n8n-mcp.bf.emsenhuber.net { +n8n-mcp.bf.emsenhuber.net { reverse_proxy http://10.40.20.167:3001 } -gitea-mcp.emsenhuber.net, gitea-mcp.bf.emsenhuber.net { +gitea-mcp.bf.emsenhuber.net { reverse_proxy http://10.40.20.167:3000 } # --- HTTPS-Backends (Selbstsignat) ----------------------------------------- -pve.emsenhuber.net, pve.bf.emsenhuber.net { +pve.bf.emsenhuber.net { reverse_proxy https://10.40.20.100:8006 { import selfsigned } } -portainer.emsenhuber.net, portainer.bf.emsenhuber.net { +portainer.bf.emsenhuber.net { reverse_proxy https://10.40.20.126:9443 { import selfsigned } } -pbs.emsenhuber.net, pbs.bf.emsenhuber.net { +pbs.bf.emsenhuber.net { reverse_proxy https://10.40.20.135:8007 { import selfsigned } diff --git a/docs/teilprojekte.md b/docs/teilprojekte.md index 171243d..6eb8af1 100644 --- a/docs/teilprojekte.md +++ b/docs/teilprojekte.md @@ -31,7 +31,7 @@ Mgmt (VLAN99, Ist 2026-08-16): core `.99.1` · branch `.99.2` · ap1 `.99.11` · **Compliance am 2026-08-31 nach vollem Refresh (Backup→Intended→Compliance) gelesen: 128/135.** *(Die Fassung vom 2026-08-16 stand bis zum 18. hier und war an vier Stellen überholt. Wer diesen Block liest, liest ihn als Erstes: er wird bei jeder Änderung mitgezogen, nicht nur die TP-Abschnitte.)* -- ⏳ **TP41 CF-Access-Reparatur (2026-09-01, Auth-Kern abgeschlossen):** Session 720h, +- ⏸️ **TP41 CF-Access-Reparatur — ZURÜCKGESTELLT 2026-09-01 (User-Entscheid; Rest wartet auf Info):** Session 720h, login_method-Loch zu (`bf-users` email-only), `zt-`-Gruppen, vw voll Bypass + `vw/admin` per WAF geblockt (Mobilfunk-verifiziert), API-Token auf vollständiges `…4148` konsolidiert. **T4 ✅** (ein Access-Service-Token `zt-svc`, Terpene-Worker per wrangler auf zt-svc umgestellt, Alt-Tokens @@ -496,7 +496,7 @@ nachmessen und dann entscheiden**. Blocker gibt es keine mehr. TP5 ist in der Na > | TP37 | 🔜 | Nautobot als Netzwerkdoku: Hosts/Container/Dienste + CF-Connectoren (Okay 08-30) | — | > | TP38 | 🔜 | OOB-Mgmt: untagged-VLAN99-Port je Switch | — | > | TP40 | 🔜 | HA-Recorder-Retention: 41 GB `states` beschneiden (Okay 09-01) | — | -> | TP41 | ⏳ | CF-Access-Reparatur: **T2/T3/T4/T5 ✅** (GitHub+Google-Login live); **Facebook abgesagt**; d47435-Revoke ✅, T3-Verify ✅; **Geli CF-seitig fertig** (zt-humans+geli-Policy) → offen nur noch WARP-Client auf Gelis Gerät | — | +> | TP41 | ⏸️ | CF-Access-Reparatur **zurückgestellt 2026-09-01** (User): **T2/T3/T4/T5 ✅** (GitHub+Google-Login live); **Facebook abgesagt**; **Geli CF-seitig fertig** (zt-humans+geli-Policy) → offen nur noch WARP-Client auf Gelis Gerät, wartet auf User-Info | — | > | TP42 | 🔜 | Namens-Vereinheitlichung bf.lan→emsenhuber.net: `.bf.lan`/`.bf.emsenhuber.net` aus allen Geräten raus, in Nautobot festhalten | — | > | TP43 | 🔜 | dw-Standort-DNS-Uplink: eigener Resolver mit site-Overrides (`420.teilzeitladen.xyz`→BF-Caddy/WG), WG-Disconnect bedacht; Geli sofort per WARP | — | > | — | — | **35 archivierte TPs** in `teilprojekte-archiv.md` (inkl. TP39 ✅ 2026-09-01) | — | @@ -2895,7 +2895,7 @@ Der HA-Recorder schreibt **unbegrenzt** — es ist keine `purge_keep_days`-Grenz - 🔴 **Kein eigenmächtiger Datenlöschvorgang** — `purge` wirft echte Historie weg; die Aufbewahrungsdauer ist eine Nutzerentscheidung. Diese Session hat **nur** vergrössert und gemessen. -### TP41 — CF-Access-Reparatur + Zero-Trust-Konsolidierung ▸ ⏳ **Auth-Kern abgeschlossen 2026-09-01 (FB abgesagt)** +### TP41 — CF-Access-Reparatur + Zero-Trust-Konsolidierung ▸ ⏸️ **ZURÜCKGESTELLT 2026-09-01 (User-Entscheid)** — Auth-Kern durch; offen nur Gelis WARP-Client (nicht aus der Ferne machbar), User gibt ggf. später Info **Auslöser:** CF-Access zwang Christoph **und Geli** täglich zum OTP-Login (soll: 30 Tage); GitHub/Google „funktionieren nicht". Root-Causes: Team-Domain-Rename `bf4`→`emsenhuber` (Provider-Callback veraltet), diff --git a/nautobot/mikrotik_routeros.j2 b/nautobot/mikrotik_routeros.j2 index 2022d18..1ee0b20 100644 --- a/nautobot/mikrotik_routeros.j2 +++ b/nautobot/mikrotik_routeros.j2 @@ -281,17 +281,16 @@ # Kanonischer Mgmt-Nummernplan (User-Bestaetigung 2026-08-13, verbindlich): # core .99.1 | branch .99.2 | ap1 .99.11 | ap2 .99.12 -/ip dns static add address=10.40.99.1 comment="core = GW/Router" name=router.lan type=A -/ip dns static add address=10.40.99.1 comment="crs326-core (L3)" name=core.bf.lan type=A -/ip dns static add address=10.40.99.2 comment=crs326-branch name=branch.bf.lan type=A -/ip dns static add address=10.40.99.11 comment="ap1 = reiner AP" name=ap1.bf.lan type=A -/ip dns static add address=10.40.99.12 comment="ap2 = reiner AP" name=ap2.bf.lan type=A -/ip dns static add address=10.40.20.167 name=macmini.bf.lan type=A -/ip dns static add address=10.40.20.100 name=pve.bf.lan type=A -/ip dns static add address=10.40.20.173 name=pve-mcp.bf.lan type=A -/ip dns static add address=10.40.20.10 name=nas.bf.lan type=A -/ip dns static add address=10.40.20.126 name=docker.bf.lan type=A -/ip dns static add address=10.40.20.20 name=platform-pg.bf.lan type=A +/ip dns static add address=10.40.99.1 comment="crs326-core (L3)" name=core.bf.emsenhuber.net type=A +/ip dns static add address=10.40.99.2 comment=crs326-branch name=branch.bf.emsenhuber.net type=A +/ip dns static add address=10.40.99.11 comment="ap1 = reiner AP" name=ap1.bf.emsenhuber.net type=A +/ip dns static add address=10.40.99.12 comment="ap2 = reiner AP" name=ap2.bf.emsenhuber.net type=A +/ip dns static add address=10.40.20.167 name=macmini.bf.emsenhuber.net type=A +/ip dns static add address=10.40.20.100 name=pve.bf.emsenhuber.net type=A +/ip dns static add address=10.40.20.173 name=pve-mcp.bf.emsenhuber.net type=A +/ip dns static add address=10.40.20.10 name=nas.bf.emsenhuber.net type=A +/ip dns static add address=10.40.20.126 name=docker.bf.emsenhuber.net type=A +/ip dns static add address=10.40.20.20 name=platform-pg.bf.emsenhuber.net type=A # [7] NAT /ip firewall nat add action=accept chain=srcnat comment="TP4: no-NAT inter-VLAN (LAN-internal, before masquerade)" dst-address=10.40.0.0/16