Christoph Emsenhuber
803a28772f
Public-Strang eingedampft. Entfernt aus Ingress UND DNS: pve, portainer, pve-mcp, ha-mcp, ds-bf, ccu, iobroker, z2m25, pbs sowie die drei CF-Access-SSH-Ziele 82unkpb5 / 3k23uow7 / j44d6tua. Ingress-Bilanz: bf-mm 6->4, bf-nas 6->3, bf-pve 9->2, Catch-all je letzte. pbs + SSH standen nicht in der Kandidatenliste -- User-Entscheid 2026-08-30 "beide mesh-only". Abnahme beidseitig gemessen: - intern traegt weiter: AdGuard loest alle neun Namen auf 10.40.20.40, Caddy antwortet HTTPS 200 (pve 0,08s / portainer 0,03s / pbs 0,03s) - oeffentlich weg: NXDOMAIN gegen 1.1.1.1 - Public-Strang unberuehrt: vw/hass/n8n/gitea weiterhin HTTP 200 Nachweis ist das Zuruecklesen der Ingress-Config, nicht die Frontend-Antwort (Access antwortet vor dem Tunnel -- TP16.3-Regel). Bewusst NICHT geschnitten: gitea-mcp + n8n-mcp. Die TP16.3-Vorpruefung schlaegt an -- gitea-mcp.emsenhuber.net steht in 9 Dateien (8 fremde Projekte + bf-infra/opencode.jsonc), ~/.claude.json nutzt zusaetzlich n8n-mcp. TP35 Schicht 1 ist nur global vollzogen, nicht auf Projekt-Ebene. Erst migrieren, dann schneiden -> Follow-up F1. Blocker fuer den Abbau der drei Alt-Tunnel: bf-public hat 0 Connectoren. Er gehoert laut Entscheid auf ap1/ap2, dort fehlen aber container-Paket UND device-mode container=yes (physische Bestaetigung am Geraet, fetch=no). Vor-Ort-Session noetig -> Follow-up F2. Bis dahin stehen bf-mm/bf-nas/bf-pve mit sechs Containern (LXC400, macmini, NAS -- alle lokalisiert). Doku an allen drei Stellen nachgezogen: Quick-Index, TP16.3-Abschnitt, Ist-Stand-Block. TP37 (CF-Connectoren in Nautobot) als Vorschlag eingetragen, Okay steht aus. Rollback: docs/cf-backup/*-20260830-vor-tp16.3-schnitt.json Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
bf-infra
BF-Netzwerk-Infrastruktur (Caddy, AGH, MikroTik-Konfig, Dokumentation, MCPs).
Aktiver Fork von bf-network-r6 (Claude-Code-Architektur, 2025-2026), ab August 2026
unter OpenCode und anderem LLM weitergepflegt.
Master-Struktur
| Repo | Rolle | Stand |
|---|---|---|
~/dev/bf-infra/ (lokal) |
Aktiver Master, Working-Copy | kein Gitea-Remote (Sicherheitslücke, offen) |
admin/bf-network-r6 (Gitea) |
Archiv, historischer Master | read-only-Header, letzte aktive Commits 2026-08-25 |
admin/bf-golden-config (Gitea) |
Bot-Master (Nautobot 2×/Tag) | intended/ + backups/, nicht manuell |
admin/blaueblueten-n8n (Gitea) |
Master für terpene-Repo | aktiv, lokal synchron |
Was hier lebt
docs/teilprojekte.md— kanonische Steuerung (Ist-Stand, offene TPs, kritischer Pffad)docs/teilprojekte-archiv.md— abgeschlossene TPs (Volltext)docs/handoff-*.md— Session-Übergabencaddy/Caddyfile— Reverse-Proxy BF (siehe TP34 für Migration zu Nautobot/GC)nautobot/— Skripte + Jinja-Template für Golden Configmcp/— MCP-Server-Inventar (SSoT gegen „1000 MCP-Leichen")inventory/— entfernt 2026-08-27 (Pipeline seit 2025-06 stale; Live-Daten via MikroMCP/CF/Portainer)
Status (2026-08-27)
- L3 + WAN-Edge =
crs326-core, alle 4 MikroTik auf RouterOS 7.24 (TP27) - Firewall deny-by-default seit 2026-08-18 (TP5)
- WLAN via CAPsMAN auf dem Core seit 2026-08-17 (TP28)
- Compliance 104/104 grün, 0 Drifts (Golden Config, TP22)
- AdGuard-Paar
agh-bf1/agh-bf2aufgebaut, DHCP noch nicht umgestellt (TP23 Stufe 2 / TP31 Schritt 4) - Caddyfile Reverse-Proxy seit 2026-08-25 (TP31), 16 Sites BF-intern
- terpene.teilzeitladen.xyz: Worker läuft auf Mac mini (10.40.20.167:8890), kein Caddy-Block, kein CF-Tunnel — Backfill via DB-Migration blockiert (Handoff 2026-08-27)
Übergangspfad von bf-network-r6 → bf-infra
- README + Strukturen aktualisiert (dieses File)
- bf-network-r6 im Gitea auf read-only, Header mit Verweis (deine Aktion)
- Inventar-Pipeline gelöscht (XLSX stale, MikroMCP/CF/Portainer liefern Live)
- Caddyfile-Master wandert zu Nautobot/GC (TP34, siehe Handoff 2026-08-27)
- bf-infra bekommt Gitea-Remote (offen, „später")
Werkzeuge (Stand 2026-08-27)
- MikroMCP (RouterOS, 4 Geräte) —
~/.claude.json+opencode.jsonc - pve-mcp (Proxmox, 10.40.20.173) —
opencode.jsonc - home-assistant (HA, 10.40.20.105) —
opencode.jsonc - cloudflare (CF-API, OAuth) —
opencode.jsonc - gitea-mcp (FQDN) —
opencode.jsonc - komodo-mcp (geplant, Migration von Portainer) —
~/dev/bf-infra/mcp/komodo/ - shelly-mcp (Client-lokal Interim, 127.0.0.1:3030) — vor Migration auf zentralen Container