41 lines
2.0 KiB
Markdown
41 lines
2.0 KiB
Markdown
 
|
# 0004 — Site-to-Site-VPN Hetzner-Projektnetz ↔ Lab, schaltbar über die UDM
|
||
|
|
|
||
|
|
**Status:** vorgeschlagen (Design abgestimmt, Umsetzung offen → [Issue #12](https://git.lab/axion1337.chat/management/-/issues/12)) · **Datum:** 2026-08-01 · **Entscheider:** sorb
|
||
|
|
|
||
|
|
## Kontext
|
||
|
|
|
||
|
|
Das Lab ist die Quelle der Wahrheit (ADR-0002), aber die Hetzner-Hosts erreichen
|
||
|
|
`git.lab` nicht — das erzwang beim Cutover die Übergabe-Issue-Ausnahme. Ein
|
||
|
|
dauerhafter Zugang von exponierten Servern ins Heimnetz soll es trotzdem nicht sein.
|
||
|
|
|
||
|
|
## Entscheidung
|
||
|
|
|
||
|
|
Ein **eigener WireGuard-Site-to-Site-Tunnel** (getrennt vom Roadwarrior) verbindet
|
||
|
|
das Hetzner-Projektnetz `10.0.0.0/24` mit dem Lab — **die UDM initiiert**, der
|
||
|
|
An/Aus-Schalter liegt in der UniFi-UI (Bedarfsfall-Prinzip, Kontrolle im Lab):
|
||
|
|
|
||
|
|
- Endpunkt = CFGMON (WG-Listener UDP 51821, ufw nur für `178.25.213.70/32`);
|
||
|
|
keine neue Portfreigabe am Heimanschluss.
|
||
|
|
- Transfernetz `10.58.75.0/24`; CFGMON ist Hetzner-seitiges Gateway
|
||
|
|
(Forwarding + Hetzner-Cloud-Netzwerk-Route `10.58.73.0/24 → 10.0.0.3`).
|
||
|
|
- Split-Tunnel strikt (AllowedIPs nur `10.58.73.0/24`), Split-DNS nur `~lab`
|
||
|
|
→ `10.58.73.1` (kein `lab.de`, kein `axion1337.de`).
|
||
|
|
- Eigene UDM-Firewall-Zone: nur → Overmind:443 + DNS `10.58.73.1:53`.
|
||
|
|
|
||
|
|
## Konsequenzen
|
||
|
|
|
||
|
|
- Übergabe-Issues können nach Umsetzung auf git.lab umziehen; die Ausnahme aus
|
||
|
|
ADR-0002 entfällt.
|
||
|
|
- Ein kompromittierter Hetzner-Host kann den Tunnel nicht öffnen (Initiative
|
||
|
|
liegt bei der UDM) und sieht bei offenem Tunnel nur git.lab:443.
|
||
|
|
- Der TURN-Rotations-CronJob trifft nur bei eingeschaltetem Tunnel auf git.lab —
|
||
|
|
seine Gitea-PR-Ausnahme bleibt, bewusst.
|
||
|
|
- game.axion1337.de profitiert erst nach Aufnahme in den vSwitch (GAME-01).
|
||
|
|
|
||
|
|
## Verworfene Alternativen
|
||
|
|
|
||
|
|
- Einzelne Roadwarrior-Profile pro Server: Schalter läge auf den exponierten
|
||
|
|
Hosts, Key-Streuung, kein Site-Routing.
|
||
|
|
- Tunnel dauerhaft an: widerspricht dem Bedarfsfall-Prinzip ohne echten Gewinn.
|
||
|
|
- git.lab öffentlich exponieren: größte Angriffsfläche, klar verworfen.
|