Christoph Emsenhuber
2fd300f6da
Caddy in LXC 130 ist produktiv: 17 von 17 Zertifikaten per DNS-01 von Let's Encrypt, Dienst active+enabled, Proxy gegen Host-Header verifiziert (nautobot 302, gitea 200, pve 200, portainer 200). deploy.sh laeuft End-to-End; Token per Fingerprint gegengeprueft -- eigenes Zone:DNS:Edit, nicht das account-weite. 🔴 Fund beim Durchtesten: grafana war seit Langem tot und Cloudflare Access hat es maskiert. LXC 104 stopped, konfigurativ noch auf VLAN1 (10.40.41.109), waehrend die Ingress-Zeile auf 10.40.20.109 zeigte -- eine Adresse die es fuer Grafana nie gab. Der FQDN lieferte trotzdem 302, weil das der Access-Login war. Exakt die Falle aus TP16.3 Paragraph 8, diesmal in freier Wildbahn: ein toter Dienst sieht hinter Access monatelang gesund aus. => Caddy-Zeile raus (16 Sites), LXC 104 zerstoert, aus dem Backup-Job. Die 14 PBS-Snapshots bleiben bewusst stehen -- einzige Kopie etwaiger Dashboards. hass liefert 400: bekannter trusted_proxies-Punkt aus TP16, gehoert vor die CNAME-Umstellung. Split-Horizon entschieden (User): in AdGuard zusammen mit TP23 Stufe 2. Dokumentiert, was das bedeutet -- heute liefert der DHCP in allen sieben VLANs den Core als DNS; AGH bekommt niemand. Der Schritt verschiebt die Aufloesung des ganzen Hauses in einen Container, deshalb als Paar 110/111 bauen. Die geloeschten Altlasten hiessen nicht zufaellig adguard-bf1/-bf2. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
101 lines
2.6 KiB
Caddyfile
101 lines
2.6 KiB
Caddyfile
# TP31 — Reverse Proxy BF (Caddy), LXC 130 / 10.40.20.40
|
|
# SSoT: docs/teilprojekte.md → TP31. Deploy: pct push 130 caddy/Caddyfile /etc/caddy/Caddyfile
|
|
#
|
|
# Zertifikate ausschliesslich per DNS-01, damit auch rein INTERNE Namen gueltige
|
|
# Zertifikate bekommen, ohne dass von aussen irgendetwas erreichbar sein muss.
|
|
# Token: /etc/caddy/caddy.env (chmod 600, NICHT im Repo) — eng geschnitten auf
|
|
# Zone:DNS:Edit fuer emsenhuber.net. NICHT das account-weite CF_API_TOKEN.
|
|
{
|
|
email christoph@emsenhuber.com
|
|
acme_dns cloudflare {env.CF_DNS_API_TOKEN}
|
|
}
|
|
|
|
# --- Backends mit Selbstsignat: Caddy prueft deren Zertifikat nicht ---------
|
|
(selfsigned) {
|
|
transport http {
|
|
tls_insecure_skip_verify
|
|
}
|
|
}
|
|
|
|
# =========================================================================
|
|
# OEFFENTLICH (via Cloudflare Tunnel + Access; Clients ohne WARP)
|
|
# =========================================================================
|
|
vw.emsenhuber.net {
|
|
reverse_proxy http://10.40.20.127
|
|
}
|
|
|
|
hass.emsenhuber.net {
|
|
reverse_proxy http://10.40.20.105:8123
|
|
}
|
|
|
|
n8n.emsenhuber.net {
|
|
reverse_proxy http://10.40.20.167:5678
|
|
}
|
|
|
|
gitea.emsenhuber.net {
|
|
reverse_proxy http://10.40.20.157:3000
|
|
}
|
|
|
|
# =========================================================================
|
|
# INTERN (Mesh/LAN; Split-Horizon zeigt diese Namen auf 10.40.20.40)
|
|
# =========================================================================
|
|
nautobot.emsenhuber.net {
|
|
reverse_proxy http://10.40.20.30:8080
|
|
}
|
|
|
|
# grafana.emsenhuber.net — 2026-08-25 entfernt: LXC 104 war seit Langem gestoppt und stand
|
|
# noch auf VLAN1 (10.40.41.109); die Ingress-Zeile zeigte auf 10.40.20.109, das es nie gab.
|
|
# Wiederaufbau spaeter als eigener Punkt, dann nach TP32-Systematik.
|
|
|
|
ds-bf.emsenhuber.net {
|
|
reverse_proxy http://10.40.20.10:8080
|
|
}
|
|
|
|
ccu.emsenhuber.net {
|
|
reverse_proxy http://10.40.20.232
|
|
}
|
|
|
|
iobroker.emsenhuber.net {
|
|
reverse_proxy http://10.40.20.107:8081
|
|
}
|
|
|
|
z2m25.emsenhuber.net {
|
|
reverse_proxy http://10.40.20.106:8080
|
|
}
|
|
|
|
# --- MCP-Endpunkte: heute spricht ~/.claude.json diese IPs roh --------------
|
|
pve-mcp.emsenhuber.net {
|
|
reverse_proxy http://10.40.20.173:3000
|
|
}
|
|
|
|
ha-mcp.emsenhuber.net {
|
|
reverse_proxy http://10.40.20.105:9583
|
|
}
|
|
|
|
n8n-mcp.emsenhuber.net {
|
|
reverse_proxy http://10.40.20.167:3001
|
|
}
|
|
|
|
gitea-mcp.emsenhuber.net {
|
|
reverse_proxy http://10.40.20.167:3000
|
|
}
|
|
|
|
# --- HTTPS-Backends (Selbstsignat) -----------------------------------------
|
|
pve.emsenhuber.net {
|
|
reverse_proxy https://10.40.20.100:8006 {
|
|
import selfsigned
|
|
}
|
|
}
|
|
|
|
portainer.emsenhuber.net {
|
|
reverse_proxy https://10.40.20.126:9443 {
|
|
import selfsigned
|
|
}
|
|
}
|
|
|
|
pbs.emsenhuber.net {
|
|
reverse_proxy https://10.40.20.135:8007 {
|
|
import selfsigned
|
|
}
|
|
}
|