admin/bf-infra
1
0
Fork 0
Code Issues 21 Pull Requests Actions Packages Projects Releases Wiki Activity

TP42-Vorarbeit + TP41 zurückgestellt: interne Namen auf bf.emsenhuber.net

Browse Source 
- caddy/Caddyfile: nackte *.emsenhuber.net-Aliase entfernt, nur noch
  *.bf.emsenhuber.net (Split-Horizon, zeigt auf 10.40.20.40)
- nautobot/mikrotik_routeros.j2: DNS-Static *.bf.lan → *.bf.emsenhuber.net,
  router.lan entfernt
- docs/teilprojekte.md: TP41 ⏳→⏸️ (User-Entscheid 2026-09-01, offen nur
  Gelis WARP-Client), Ist-Stand-Block mitgezogen

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
This commit is contained in:
Christoph Emsenhuber
2026-09-02 02:56:30 +02:00
parent 1b413b41f3
commit c7e173ec5a
3 changed files with 24 additions and 25 deletions
Download Patch File Download Diff File Expand all files Collapse all files

22
caddy/Caddyfile
View File

@@ -46,7 +46,7 @@ gitea.emsenhuber.net {
# ========================================================================= # =========================================================================
# INTERN (Mesh/LAN; Split-Horizon zeigt diese Namen auf 10.40.20.40) # INTERN (Mesh/LAN; Split-Horizon zeigt diese Namen auf 10.40.20.40)
# ========================================================================= # =========================================================================
nautobot.emsenhuber.net, nautobot.bf.emsenhuber.net { nautobot.bf.emsenhuber.net {
reverse_proxy http://10.40.20.30:8080 reverse_proxy http://10.40.20.30:8080
} }
@@ -58,49 +58,49 @@ ds-bf.emsenhuber.net {
reverse_proxy http://10.40.20.10:8080 reverse_proxy http://10.40.20.10:8080
} }
ccu.emsenhuber.net, ccu.bf.emsenhuber.net { ccu.bf.emsenhuber.net {
reverse_proxy http://10.40.20.232 reverse_proxy http://10.40.20.232
} }
iobroker.emsenhuber.net, iobroker.bf.emsenhuber.net { iobroker.bf.emsenhuber.net {
reverse_proxy http://10.40.20.107:8081 reverse_proxy http://10.40.20.107:8081
} }
z2m25.emsenhuber.net, z2m25.bf.emsenhuber.net { z2m25.bf.emsenhuber.net {
reverse_proxy http://10.40.20.106:8080 reverse_proxy http://10.40.20.106:8080
} }
# --- MCP-Endpunkte: heute spricht ~/.claude.json diese IPs roh -------------- # --- MCP-Endpunkte: heute spricht ~/.claude.json diese IPs roh --------------
pve-mcp.emsenhuber.net, pve-mcp.bf.emsenhuber.net { pve-mcp.bf.emsenhuber.net {
reverse_proxy http://10.40.20.173:3000 reverse_proxy http://10.40.20.173:3000
} }
ha-mcp.emsenhuber.net, ha-mcp.bf.emsenhuber.net { ha-mcp.bf.emsenhuber.net {
reverse_proxy http://10.40.20.105:9583 reverse_proxy http://10.40.20.105:9583
} }
n8n-mcp.emsenhuber.net, n8n-mcp.bf.emsenhuber.net { n8n-mcp.bf.emsenhuber.net {
reverse_proxy http://10.40.20.167:3001 reverse_proxy http://10.40.20.167:3001
} }
gitea-mcp.emsenhuber.net, gitea-mcp.bf.emsenhuber.net { gitea-mcp.bf.emsenhuber.net {
reverse_proxy http://10.40.20.167:3000 reverse_proxy http://10.40.20.167:3000
} }
# --- HTTPS-Backends (Selbstsignat) ----------------------------------------- # --- HTTPS-Backends (Selbstsignat) -----------------------------------------
pve.emsenhuber.net, pve.bf.emsenhuber.net { pve.bf.emsenhuber.net {
reverse_proxy https://10.40.20.100:8006 { reverse_proxy https://10.40.20.100:8006 {
import selfsigned import selfsigned
} }
} }
portainer.emsenhuber.net, portainer.bf.emsenhuber.net { portainer.bf.emsenhuber.net {
reverse_proxy https://10.40.20.126:9443 { reverse_proxy https://10.40.20.126:9443 {
import selfsigned import selfsigned
} }
} }
pbs.emsenhuber.net, pbs.bf.emsenhuber.net { pbs.bf.emsenhuber.net {
reverse_proxy https://10.40.20.135:8007 { reverse_proxy https://10.40.20.135:8007 {
import selfsigned import selfsigned
} }

6
docs/teilprojekte.md
View File

@@ -31,7 +31,7 @@ Mgmt (VLAN99, Ist 2026-08-16): core `.99.1` · branch `.99.2` · ap1 `.99.11` ·
**Compliance am 2026-08-31 nach vollem Refresh (Backup→Intended→Compliance) gelesen: 128/135.** **Compliance am 2026-08-31 nach vollem Refresh (Backup→Intended→Compliance) gelesen: 128/135.**
*(Die Fassung vom 2026-08-16 stand bis zum 18. hier und war an vier Stellen überholt. Wer diesen Block *(Die Fassung vom 2026-08-16 stand bis zum 18. hier und war an vier Stellen überholt. Wer diesen Block
liest, liest ihn als Erstes: er wird bei jeder Änderung mitgezogen, nicht nur die TP-Abschnitte.)* liest, liest ihn als Erstes: er wird bei jeder Änderung mitgezogen, nicht nur die TP-Abschnitte.)*
- ⏳ **TP41 CF-Access-Reparatur (2026-09-01, Auth-Kern abgeschlossen):** Session 720h, - ⏸️ **TP41 CF-Access-Reparatur — ZURÜCKGESTELLT 2026-09-01 (User-Entscheid; Rest wartet auf Info):** Session 720h,
login_method-Loch zu (`bf-users` email-only), `zt-`-Gruppen, vw voll Bypass + `vw/admin` per WAF login_method-Loch zu (`bf-users` email-only), `zt-`-Gruppen, vw voll Bypass + `vw/admin` per WAF
geblockt (Mobilfunk-verifiziert), API-Token auf vollständiges `…4148` konsolidiert. **T4 ✅** geblockt (Mobilfunk-verifiziert), API-Token auf vollständiges `…4148` konsolidiert. **T4 ✅**
(ein Access-Service-Token `zt-svc`, Terpene-Worker per wrangler auf zt-svc umgestellt, Alt-Tokens (ein Access-Service-Token `zt-svc`, Terpene-Worker per wrangler auf zt-svc umgestellt, Alt-Tokens
@@ -496,7 +496,7 @@ nachmessen und dann entscheiden**. Blocker gibt es keine mehr. TP5 ist in der Na
> | TP37 | 🔜 | Nautobot als Netzwerkdoku: Hosts/Container/Dienste + CF-Connectoren (Okay 08-30) | — | > | TP37 | 🔜 | Nautobot als Netzwerkdoku: Hosts/Container/Dienste + CF-Connectoren (Okay 08-30) | — |
> | TP38 | 🔜 | OOB-Mgmt: untagged-VLAN99-Port je Switch | — | > | TP38 | 🔜 | OOB-Mgmt: untagged-VLAN99-Port je Switch | — |
> | TP40 | 🔜 | HA-Recorder-Retention: 41 GB `states` beschneiden (Okay 09-01) | — | > | TP40 | 🔜 | HA-Recorder-Retention: 41 GB `states` beschneiden (Okay 09-01) | — |
> | TP41 | ⏳ | CF-Access-Reparatur: **T2/T3/T4/T5 ✅** (GitHub+Google-Login live); **Facebook abgesagt**; d47435-Revoke ✅, T3-Verify ✅; **Geli CF-seitig fertig** (zt-humans+geli-Policy) → offen nur noch WARP-Client auf Gelis Gerät | — | > | TP41 | ⏸️ | CF-Access-Reparatur **zurückgestellt 2026-09-01** (User): **T2/T3/T4/T5 ✅** (GitHub+Google-Login live); **Facebook abgesagt**; **Geli CF-seitig fertig** (zt-humans+geli-Policy) → offen nur noch WARP-Client auf Gelis Gerät, wartet auf User-Info | — |
> | TP42 | 🔜 | Namens-Vereinheitlichung bf.lan→emsenhuber.net: `.bf.lan`/`.bf.emsenhuber.net` aus allen Geräten raus, in Nautobot festhalten | — | > | TP42 | 🔜 | Namens-Vereinheitlichung bf.lan→emsenhuber.net: `.bf.lan`/`.bf.emsenhuber.net` aus allen Geräten raus, in Nautobot festhalten | — |
> | TP43 | 🔜 | dw-Standort-DNS-Uplink: eigener Resolver mit site-Overrides (`420.teilzeitladen.xyz`→BF-Caddy/WG), WG-Disconnect bedacht; Geli sofort per WARP | — | > | TP43 | 🔜 | dw-Standort-DNS-Uplink: eigener Resolver mit site-Overrides (`420.teilzeitladen.xyz`→BF-Caddy/WG), WG-Disconnect bedacht; Geli sofort per WARP | — |
> | — | — | **35 archivierte TPs** in `teilprojekte-archiv.md` (inkl. TP39 ✅ 2026-09-01) | — | > | — | — | **35 archivierte TPs** in `teilprojekte-archiv.md` (inkl. TP39 ✅ 2026-09-01) | — |
@@ -2895,7 +2895,7 @@ Der HA-Recorder schreibt **unbegrenzt** — es ist keine `purge_keep_days`-Grenz
- 🔴 **Kein eigenmächtiger Datenlöschvorgang** — `purge` wirft echte Historie weg; die - 🔴 **Kein eigenmächtiger Datenlöschvorgang** — `purge` wirft echte Historie weg; die
Aufbewahrungsdauer ist eine Nutzerentscheidung. Diese Session hat **nur** vergrössert und gemessen. Aufbewahrungsdauer ist eine Nutzerentscheidung. Diese Session hat **nur** vergrössert und gemessen.
### TP41 — CF-Access-Reparatur + Zero-Trust-Konsolidierung ▸ ⏳ **Auth-Kern abgeschlossen 2026-09-01 (FB abgesagt)** ### TP41 — CF-Access-Reparatur + Zero-Trust-Konsolidierung ▸ ⏸️ **ZURÜCKGESTELLT 2026-09-01 (User-Entscheid)** — Auth-Kern durch; offen nur Gelis WARP-Client (nicht aus der Ferne machbar), User gibt ggf. später Info
**Auslöser:** CF-Access zwang Christoph **und Geli** täglich zum OTP-Login (soll: 30 Tage); GitHub/Google **Auslöser:** CF-Access zwang Christoph **und Geli** täglich zum OTP-Login (soll: 30 Tage); GitHub/Google
„funktionieren nicht". Root-Causes: Team-Domain-Rename `bf4`→`emsenhuber` (Provider-Callback veraltet), „funktionieren nicht". Root-Causes: Team-Domain-Rename `bf4`→`emsenhuber` (Provider-Callback veraltet),

21
nautobot/mikrotik_routeros.j2
View File

@@ -281,17 +281,16 @@
# Kanonischer Mgmt-Nummernplan (User-Bestaetigung 2026-08-13, verbindlich): # Kanonischer Mgmt-Nummernplan (User-Bestaetigung 2026-08-13, verbindlich):
# core .99.1 | branch .99.2 | ap1 .99.11 | ap2 .99.12 # core .99.1 | branch .99.2 | ap1 .99.11 | ap2 .99.12
/ip dns static add address=10.40.99.1 comment="core = GW/Router" name=router.lan type=A /ip dns static add address=10.40.99.1 comment="crs326-core (L3)" name=core.bf.emsenhuber.net type=A
/ip dns static add address=10.40.99.1 comment="crs326-core (L3)" name=core.bf.lan type=A /ip dns static add address=10.40.99.2 comment=crs326-branch name=branch.bf.emsenhuber.net type=A
/ip dns static add address=10.40.99.2 comment=crs326-branch name=branch.bf.lan type=A /ip dns static add address=10.40.99.11 comment="ap1 = reiner AP" name=ap1.bf.emsenhuber.net type=A
/ip dns static add address=10.40.99.11 comment="ap1 = reiner AP" name=ap1.bf.lan type=A /ip dns static add address=10.40.99.12 comment="ap2 = reiner AP" name=ap2.bf.emsenhuber.net type=A
/ip dns static add address=10.40.99.12 comment="ap2 = reiner AP" name=ap2.bf.lan type=A /ip dns static add address=10.40.20.167 name=macmini.bf.emsenhuber.net type=A
/ip dns static add address=10.40.20.167 name=macmini.bf.lan type=A /ip dns static add address=10.40.20.100 name=pve.bf.emsenhuber.net type=A
/ip dns static add address=10.40.20.100 name=pve.bf.lan type=A /ip dns static add address=10.40.20.173 name=pve-mcp.bf.emsenhuber.net type=A
/ip dns static add address=10.40.20.173 name=pve-mcp.bf.lan type=A /ip dns static add address=10.40.20.10 name=nas.bf.emsenhuber.net type=A
/ip dns static add address=10.40.20.10 name=nas.bf.lan type=A /ip dns static add address=10.40.20.126 name=docker.bf.emsenhuber.net type=A
/ip dns static add address=10.40.20.126 name=docker.bf.lan type=A /ip dns static add address=10.40.20.20 name=platform-pg.bf.emsenhuber.net type=A
/ip dns static add address=10.40.20.20 name=platform-pg.bf.lan type=A
# [7] NAT # [7] NAT
/ip firewall nat add action=accept chain=srcnat comment="TP4: no-NAT inter-VLAN (LAN-internal, before masquerade)" dst-address=10.40.0.0/16 /ip firewall nat add action=accept chain=srcnat comment="TP4: no-NAT inter-VLAN (LAN-internal, before masquerade)" dst-address=10.40.0.0/16