TP46 — Cloudflare/Tunnel: SSoT mit Push-Weg + Full-Recovery from scratch #72

New Issue

admin · 2026-09-21T12:56:07+02:00

admin commented

2026-09-21 12:56:07 +02:00

Anriss: Tunnel/WARP/Cloudflare brauchen eine echte, push-fähige SSoT — Ziel ist ein
Full-Setup von null aus der Nautobot-Config.

Bestandsaufnahme (live 2026-09-21): Es gibt bereits eine Pull-SSoT (nautobot.cloud +
Job CF Estate Sync in jobs/cf_estate_sync.py, 4 CloudNetworks / 16 CloudServices live) —
aber keinen Master und keinen Push-Weg. Es fehlen vollständig: Ingress-Origin-Ziele
(der Job speichert nur ingress_hostnames), DNS-Records (24 in der Zone, 8 proxied),
Access-Policies.

Umfang (Christoph bestätigt): „Voll: Tunnel+Ingress+DNS+Access" — plus Push-Renderer
(Dry-Run + Diff) und Recovery-Runbook. Neuer Tunnel liefert neue ID und neues Secret →
das Token-Handoff an die Connectoren (ap1/ap2/ap3) ist Teil der Recovery, kein Nebenschritt.

Erster Schritt vor dem Bauen — prüfen, nicht annehmen: welches Nautobot-Objekt DNS-Records
tragen kann (Kern-ipam vs. eigenes Modell), und ob das Ingress-Origin-Ziel als extra_config
reicht oder ein eigenes Modell braucht.

Prosa/Detail: docs/teilprojekte.md → ### TP46.
GC-/Namensgebung der Tunnel läuft in TP45 (Schicht D), nicht hier.

Anriss: Tunnel/WARP/Cloudflare brauchen eine echte, push-fähige SSoT — Ziel ist ein **Full-Setup von null** aus der Nautobot-Config. **Bestandsaufnahme (live 2026-09-21):** Es gibt bereits eine Pull-SSoT (`nautobot.cloud` + Job `CF Estate Sync` in `jobs/cf_estate_sync.py`, 4 CloudNetworks / 16 CloudServices live) — aber **keinen Master und keinen Push-Weg**. Es fehlen vollständig: **Ingress-Origin-Ziele** (der Job speichert nur `ingress_hostnames`), **DNS-Records** (24 in der Zone, 8 proxied), **Access-Policies**. **Umfang (Christoph bestätigt): „Voll: Tunnel+Ingress+DNS+Access"** — plus Push-Renderer (Dry-Run + Diff) und Recovery-Runbook. Neuer Tunnel liefert neue ID **und neues Secret** → das **Token-Handoff an die Connectoren** (ap1/ap2/ap3) ist Teil der Recovery, kein Nebenschritt. **Erster Schritt vor dem Bauen — prüfen, nicht annehmen:** welches Nautobot-Objekt DNS-Records tragen kann (Kern-`ipam` vs. eigenes Modell), und ob das Ingress-Origin-Ziel als `extra_config` reicht oder ein eigenes Modell braucht. Prosa/Detail: `docs/teilprojekte.md` → `### TP46`. GC-/Namensgebung der Tunnel läuft in TP45 (Schicht D), **nicht** hier.

admin added the status:todo thema:cloudflare-proxy thema:nautobot-doku labels 2026-09-21 12:56:07 +02:00

admin referenced this issue

2026-10-03 13:11:41 +02:00

TP47 — Core egress via cf-mesh und WARP-Exit-Validierung #74

admin referenced this issue

2026-10-06 06:46:56 +02:00

TP49 — CF-Access: `login_method:github` im include der Terpenfinder-Policy — ✅ behoben (require statt include) #76

Sign in to join this conversation.