Thore CimbalandClaude Opus 4.8
60aaf0e068
These files existed only on CFGMON, so rebuilding the host meant reconstructing them from AAR prose (management #0027, W4 point 4). Follows the maintenance-notify pattern: .example for anything carrying a secret, real files for the rest. The private key stays out of the repo by design — it lives on the host and nowhere else, and is reissued from the UDM if lost. The template carries the structural values from ADR-0004 and the zone set from ADR-0017, with the reasoning inline: why the direction is reversed, why AllowedIPs is narrow, why the port is 51841, and why ping is the wrong reachability check. Both files are derived from the ADRs rather than copied off the host, which the README says plainly along with the redacted dump command to reconcile them. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
40 lines
1.8 KiB
Plaintext
40 lines
1.8 KiB
Plaintext
# /etc/wireguard/lab.conf auf CFGMON — Mode 0600, root:root.
|
|
#
|
|
# Werte aus ADR-0004 (Architektur v2) und ADR-0017 (Split-DNS-Zonen).
|
|
# CFGMON ist CLIENT/Initiator; die UDM ist der WireGuard-SERVER. Die Richtung ist
|
|
# umgedreht gegenueber dem urspruenglichen Entwurf, weil UniFi WireGuard nur als
|
|
# Server anbietet ("Networks Behind Client" fuer die Rueckroute).
|
|
#
|
|
# ⚠️ PrivateKey NICHT ins Repo. Beim Verlust auf der UDM ein neues Keypair fuer den
|
|
# Client "Hetzner" erzeugen und hier eintragen.
|
|
|
|
[Interface]
|
|
# Adresse dieses Clients im Tunnelnetz 10.58.75.0/24
|
|
Address = 10.58.75.2/32
|
|
PrivateKey = <PRIVATE KEY DES CLIENTS "Hetzner" — von der UDM, nie ins Repo>
|
|
|
|
# Split-DNS: nur diese Zonen gehen an den Lab-Resolver, alles andere an den
|
|
# System-Resolver. Begruendung je Zone in ADR-0017.
|
|
# ~lab -> git.lab / wiki.lab (existieren oeffentlich nicht)
|
|
# ~axionlabs.de -> ca.axionlabs.de zeigt intern auf 10.58.73.13 (Split-Horizon)
|
|
# ~axion1337.de -> git.axion1337.de existiert nur intern
|
|
# ~lab.de wurde per ADR-0017 entfernt: kein interner Name darunter, und es leitete
|
|
# eine fremde oeffentliche Domain ueber den Lab-Resolver.
|
|
DNS = 10.58.73.1
|
|
Domains = ~lab ~axionlabs.de ~axion1337.de
|
|
|
|
[Peer]
|
|
PublicKey = <PUBLIC KEY DES UDM-SERVERS — mit `wg show` AM GERAET gegenlesen>
|
|
|
|
# Bewusst eng: nur das Lab-VLAN und der Server im Tunnelnetz. KEIN 0.0.0.0/0 —
|
|
# der oeffentliche Verkehr von CFGMON darf nicht durch den Tunnel.
|
|
AllowedIPs = 10.58.73.0/24, 10.58.75.1/32
|
|
|
|
# "Alternate Address for Clients" der UDM; Port 51841 (NICHT 51820 — der Versatz
|
|
# zwischen Fritzbox-Freigabe und UDM-Port hat eine halbe Nacht gekostet).
|
|
Endpoint = 178.25.213.70:51841
|
|
|
|
# CFGMON haelt den Tunnel offen; die Lab-Seite kann ihn nicht selbst oeffnen
|
|
# (Bedarfsfall-Prinzip: der Schalter liegt in der UniFi-UI).
|
|
PersistentKeepalive = 25
|