Christoph Emsenhuber
8a3601d95e
Baut auf handoff-20260825 auf (AdGuard-Paar + Split-Horizon) und ergaenzt
den Auftrag um den heute eingefuehrten Standortsuffix-Sweep: alle BF-Hosts
in AGH heissen kuenftig <host>.bf.emsenhuber.net statt ohne Suffix.
nas.emsenhuber.net ist seit 1d569fa weg (Commit direkt vorher).
104 lines
7.1 KiB
Markdown
104 lines
7.1 KiB
Markdown
# Übergabe — nächste Session: TP23 Stufe 2 ∥ TP31 Schritt 4 — AdGuard-Paar + Suffix-Sweep
|
||
|
||
> **Vorgänger:** [`handoff-20260825-agh-dns-cutover.md`](handoff-20260825-agh-dns-cutover.md) — diese Datei ersetzt sie nicht, sie **baut darauf auf**. Die drei Funde dort (Rewrites veraltet/nicht wertlos · Redundanz reziprok · Firewall-Vorrat falsch) gelten unverändert und sind hier nicht wiederholt; lies sie **zuerst**.
|
||
>
|
||
> **Heute (2026-08-26) dazugekommen:** Standortsuffix als Regel + `nas.emsenhuber.net` ist tot.
|
||
|
||
## Was am 2026-08-26 passiert ist
|
||
|
||
- **`nas.emsenhuber.net`-Rewrite aus AGH entfernt** (`adguard/AdGuardHome.yaml:208` war die einzige Stelle). Commit `1d569fa`. Der Name war reine AGH-Insel: kein CF-CNAME, kein Caddyfile-Eintrag (Caddy hatte von Anfang an `ds-bf.emsenhuber.net` für Synology-DSM), `dig nas.emsenhuber.net @1.1.1.1` = NXDOMAIN. **Für niemanden ändert sich die Auflösung.**
|
||
- **Regel dokumentiert** (`docs/teilprojekte.md` TP31-Abschnitt, direkt unter SoT-Tabelle):
|
||
Hosts, die es an mehreren Standorten gibt, heißen **immer** `<host>.<site>.emsenhuber.net` —
|
||
`nas.bf.…`, `nas.fm.…`, `nas.dw.…`. Kein gemeinsamer Name ohne Suffix. Caddy bleibt **pro Standort
|
||
eigenständig** (BF-Caddy kennt `ds-bf`, FM-Caddy kennt `ds-fm`); die AGH-Instanzen je Site halten
|
||
die lokale `<host>.<site>`-Auflösung.
|
||
|
||
## Was **nicht** in dieser Session gemacht wurde (und warum)
|
||
|
||
- **Andere AGH-Rewrites ohne Suffix wurden NICHT umbenannt** — `macmini.emsenhuber.net`,
|
||
`mfc.emsenhuber.net`, `tv.emsenhuber.net`, `docker.emsenhuber.net`, `platform-pg.emsenhuber.net`,
|
||
`core.emsenhuber.net`, `ap1.emsenhuber.net`, `ap2.emsenhuber.net`, `branch.emsenhuber.net`.
|
||
Begründung: jeder Rewrite hängt an Konsumenten (`~/.claude.json`, HA, Bookmarks, Doku). Das ist
|
||
eine **eigene Session**, kein Schnellschuss. Bewertung einzeln beim Aufbau des AGH-Paars.
|
||
- **Caddyfile**: kein `nas.emsenhuber.net` drin, nichts zu ändern. Andere Sites (`ds-bf.…`) bleiben
|
||
unverändert.
|
||
- **CF-DNS-Zone**: kein `nas.…`-Eintrag, keine Aktion. Die anderen CF-CNAMEs (`pve.emsenhuber.net` etc.)
|
||
sind erst in **TP31 Schritt 5** dran (Catch-all-Tunnel, danach werden öffentliche Namen obsolet).
|
||
- **Live-AGH (`adguard_bf1`, `10.40.20.16`)**: noch nicht angefasst. Der Rewrite-Satz dort ist noch
|
||
der alte (= Handoff-Fund 1); die neuen Instanzen `110/111` bekommen ihn von Anfang an richtig.
|
||
|
||
## Was als nächstes ansteht — Auftrag für die nächste Session
|
||
|
||
**User-Auftrag:** TP31 Schritt 4 ∥ TP23 Stufe 2 — AdGuard-Paar (`agh-bf1`/`agh-bf2`, `10.40.20.36`/`.37`)
|
||
bauen, DHCP auf AGH umstellen, Split-Horizon etablieren. **Plus** der Suffix-Sweep für die BF-Hosts.
|
||
|
||
Reihenfolge:
|
||
1. **LXC `110`/`111` bauen** (Details: Handoff vom 2026-08-25, Abschnitt „Der Auftrag", Punkt 1).
|
||
2. **Basis-Config übernehmen** (Upstream/Bootstrap/Filter aus `adguard_bf1`); Rewrites **neu** und
|
||
**mit Suffix** setzen:
|
||
| heute (alt, ohne Suffix) | neu (`*.bf.emsenhuber.net`) | Ziel |
|
||
|---|---|---|
|
||
| — | `nas.bf.emsenhuber.net` | `10.40.20.10` |
|
||
| `macmini.emsenhuber.net` | `macmini.bf.emsenhuber.net` | `10.40.20.167` |
|
||
| `mfc.emsenhuber.net` | `mfc.bf.emsenhuber.net` | `10.40.10.6` (Achtung: VLAN10!) |
|
||
| `tv.emsenhuber.net` | `tv.bf.emsenhuber.net` | `10.40.40.11` |
|
||
| `docker.emsenhuber.net` | `docker.bf.emsenhuber.net` | `10.40.20.126` |
|
||
| `platform-pg.emsenhuber.net` | `platform-pg.bf.emsenhuber.net` | `10.40.20.20` |
|
||
| `core.emsenhuber.net` | `core.bf.emsenhuber.net` | `10.40.99.1` |
|
||
| `ap1.emsenhuber.net` | `ap1.bf.emsenhuber.net` | `10.40.99.11` |
|
||
| `ap2.emsenhuber.net` | `ap2.bf.emsenhuber.net` | `10.40.99.12` |
|
||
| `branch.emsenhuber.net` | `branch.bf.emsenhuber.net` | `10.40.99.2` |
|
||
3. **Caddyfile-Sites mit umbenennen** (jede Site, die einen der Hosts oben bedient, bekommt den
|
||
FQDN mit `.bf.` — öffentliche Sites `vw`/`hass`/`n8n`/`gitea` bleiben **ohne** Suffix, weil sie
|
||
nicht standortspezifisch sind). Public bleibt Public.
|
||
4. **Firewall zuerst** (Handoff-Fund 3): `TP5-E2`-Regeln auf `.36/.37` ersetzen, **per GC**.
|
||
5. **Testen, dann DHCP umstellen** VLAN für VLAN (`lease-time` senken, s. Handoff-Falle).
|
||
6. **Konsumenten nachziehen**, sobald die AGH-Instanzen aktiv sind: `~/.claude.json`-MCP-Endpoints
|
||
sprechen heute IPs roh — gehört zu TP31 Schritt 6, dort umstellen auf `*.bf.emsenhuber.net`.
|
||
|
||
## Fallen, die jetzt **dazu** gekommen sind
|
||
|
||
- 🔴 **`nas.emsenhuber.net` darf nicht zurückkehren.** Wer den alten Namen in `~/.claude.json`,
|
||
HA, Bookmarks oder Doku noch hat: jetzt umstellen, nicht später. Der Rewrite ist weg, der Name
|
||
antwortet nicht mehr.
|
||
- 🔴 **`*.bf.emsenhuber.net` ist ein *neuer* Namespace, kein Alias.** Wer vorher
|
||
`core.emsenhuber.net` benutzt hat und jetzt `core.bf.emsenhuber.net` schreibt, **muss beide Hops**
|
||
ersetzen — CF-CNAME, AGH-Rewrite, Konsument. Sonst antwortet der neue Name nirgends.
|
||
- ⚠️ **`mfc.bf.emsenhuber.net → 10.40.10.6`** liegt auf VLAN10 (Main), nicht VLAN20. Die
|
||
`forward`-Regel dafür ist trivial (Core routet das selbst), aber **kein `jit-admin` nötig** —
|
||
Service-Adresse, kein Client.
|
||
- ⚠️ **`tv.bf.emsenhuber.net → 10.40.40.11`** ist auf VLAN40 (Media). Der CF-Ingress hat keinen
|
||
`tv.emsenhuber.net`-Eintrag, also bleibt das rein intern — keine Catch-all-Auswirkung.
|
||
|
||
## Entscheidungen, die noch ausstehen (zur nächsten Session mitbringen)
|
||
|
||
- **FM-Resolver-2** (`10.40.20.17`, `adguard_fm2`): steht im BF-Netz, antwortet für FM — bleibts so
|
||
oder wird er nach FM umgezogen? **Handoff vom 08-25, Fund 2.**
|
||
- **FM zeigt auf tote Ziele** (Rewrites `→10.40.41.x`): wer räumt auf, wann? Eigene Session am
|
||
DS415+ nötig.
|
||
- **`emsenhuber.net` vs. `bf.lan` als DHCP-Domain-Suffix**: Handoff vom 08-25, Zeile 72–78. Nicht
|
||
nebenbei umstellen, eigener Beschluss.
|
||
- **Tunnel `bf-public` + cloudflared auf ap1/ap2**: TP31 Schritt 5 — physischer `device-mode`-Wechsel
|
||
an den APs, danach CNAME-Umhängung. **Reihenfolge:** `hass`/`vw`/`n8n`/`gitea` auf Caddy, **dann**
|
||
CNAMEs umhängen.
|
||
|
||
## Einstieg
|
||
|
||
1. Diese Datei (kurz).
|
||
2. [`handoff-20260825-agh-dns-cutover.md`](handoff-20260825-agh-dns-cutover.md) — der eigentliche
|
||
Auftrag, unverändert gültig.
|
||
3. [`docs/teilprojekte.md` → TP31](teilprojekte.md#tp31) und → TP23 (Status + Stufen).
|
||
4. **Heute committet:** `1d569fa` (Suffix-Regel + `nas.emsenhuber.net` raus).
|
||
5. **Live-Stand der AGH-BF-Instanz:** `adguard_bf1` (`10.40.20.16`), 24 Rewrites alt, davon
|
||
`nas.emsenhuber.net` jetzt entfernt. YAML-Diff zum Ursprung in `git log -p adguard/AdGuardHome.yaml`.
|
||
6. **Nicht vergessen:** `python3 nautobot/gc-transaktion.py status` (= leer, seit 2026-08-23).
|
||
|
||
## Was diese Session zurücklässt
|
||
|
||
- 1 Commit, 2 Dateien (`adguard/AdGuardHome.yaml`, `docs/teilprojekte.md`), keine offenen
|
||
Transaktionen, keine offenen Punkte am Gerät.
|
||
- **Die Suffix-Regel ist gesetzt** — wer ab jetzt einen Host hinzufügt, der es an mehreren Standorten
|
||
gibt, muss das Schema `<host>.<site>.emsenhuber.net` benutzen.
|
||
- **Caddyfile bleibt BF-spezifisch** (`ds-bf.emsenhuber.net`) — die nächste Site (FM) bekommt
|
||
ihre eigene Caddy-Instanz mit `ds-fm.…` nach demselben Muster.
|