From 2766bea246fd44a615fd9abc205436f1d8934a06 Mon Sep 17 00:00:00 2001 From: Thore Cimbal Date: Fri, 21 Aug 2026 12:00:00 +0000 Subject: [PATCH] =?UTF-8?q?docs:=20wave=204=20=E2=80=94=20MAS=20is=20restr?= =?UTF-8?q?icted=20and=20the=20OIDC=20chain=20still=20answers?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Measured from inside the restricted pod, not at the port but at the chain: the homeserver's health endpoint returns 200 over the internal service name, and Authentik's discovery document returns 200 with the correct issuer. MAS has not restarted. An intermediate step reported a failure that was not one. The first discovery check ran with busybox wget and ended in a TLS alert from the peer - which looks like a block and is the opposite, since a TLS alert requires an established connection. Busybox's minimal TLS simply did not satisfy Traefik. With a client that speaks TLS properly the answer was 200. That is the fourth measurement today spoiled by the tool rather than the subject, and the fourth caught only because the result was held against a second measurement. The pattern is worth more than any single finding here. Final count: four workloads keep broad egress in matrix, none in authentik or monitoring. Three of the four are service characteristics, the fourth is the documented CDN exception. Co-Authored-By: Claude Opus 5 Claude-Session: https://claude.ai/code/session_01F2Q4Ri8NGwyTZzScvKnWFM --- docs/design/2026-08-21-egress-vollstaendig.md | 41 +++++++++++++++++-- 1 file changed, 38 insertions(+), 3 deletions(-) diff --git a/docs/design/2026-08-21-egress-vollstaendig.md b/docs/design/2026-08-21-egress-vollstaendig.md index cb1d0f7..a6d8f45 100644 --- a/docs/design/2026-08-21-egress-vollstaendig.md +++ b/docs/design/2026-08-21-egress-vollstaendig.md @@ -558,8 +558,43 @@ Messung kleiner geworden, aber nicht gegenstandslos: Die Abnahme dafür ist ein echter Login, und den kann diese Sitzung nicht durchführen. Das Manifest sagt jetzt genau das — offen ist die **Abnahme**, nicht die Analyse. -**Status:** `DONE_WITH_CONCERNS` — der geplante Umfang ist fertig; eine -Arbeitslast ist nachweislich einschränkbar und bleibt es aus einem Grund, -den nur sorb ausräumen kann. +**Status:** `DONE` + +> **STOP — Slice-Review.** Freigegeben, und die Abnahme für MAS erteilt: +> *„mach mas, ich teste die anmeldung."* + +### Slice 5 — Welle 4: der Anmeldedienst + +- [x] **MAS einschränken** — files: `apps/production/networkpolicy.yaml` — + verify: OIDC-Kette funktional aus dem eingeschränkten Pod — done. + +**Evidence — nicht nur Ports, sondern die Kette selbst.** + +``` +CoreDNS (Positivkontrolle): ERREICHBAR +Knoten-IP = auth.axion1337.chat: ERREICHBAR +1.1.1.1 / Storage Box: blockiert + +Homeserver intern /health: HTTP/1.1 200 OK (Synapse/1.151.0+ess.1) +Authentik OIDC-Discovery: HTTP 200 in 0.59 s + "issuer": "https://auth.axion1337.chat/application/o/matrix/" +``` + +MAS läuft ohne Neustart weiter (`Neustarts=0`). + +⚠️ **Ein Zwischenschritt meldete fälschlich einen Fehler.** Die erste +Discovery-Prüfung lief mit busyboxs `wget` und endete mit +`TLS error from peer (alert code 47)`. Das sah nach Blockade aus, war aber +das Gegenteil: Die TCP-Verbindung **stand** — sonst gäbe es keinen +TLS-Alarm vom Gegenüber —, busyboxs minimales TLS genügte Traefik nur nicht. +Mit einem Image, das TLS beherrscht, kam HTTP 200. **Vierte Fehlmessung des +Tages durch das Werkzeug, nicht durch die Sache**, und die vierte, die nur +auffiel, weil das Ergebnis gegen eine zweite Messung gehalten wurde. + +**Bestand am Ende:** `matrix` **4**, `authentik` **0**, `monitoring` **0**. +Die vier sind `synapse-main`, `coturn`, `matrix-rtc-sfu`, `clamav` — drei +davon Dienstmerkmale, eines eine begründete CDN-Ausnahme. + +**Status:** `DONE` — die Abnahme durch einen echten Login steht bei sorb. > **STOP — Slice-Review.** \ No newline at end of file