From a264d584ee846f71e0fa9480d97e1a532b47b4b7 Mon Sep 17 00:00:00 2001 From: Thore Cimbal Date: Sat, 15 Aug 2026 12:00:00 +0000 Subject: [PATCH] docs: resolve four of the eight LABNET-02 contradictions (#0027) MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit W2 was already covered — the ping trap lives in the textbloecke, and the firewall exception is conditional. W3 fixed: cfgmon.md listed the runner as running though it was dismantled on 2026-08-01; row removed and, rather than leaving the open question, the page now states that the service table is current state while the sections below are history. W6: addendum practice had proven itself twice but was undefined, so the AAR template now makes it a rule — append-only and dated, so the original mistake stays readable. W7: ADR-0009 unified the identities but AGENTS.md only said 'canonical author identity' without naming it; now spelled out. W1, W4, W5 and W8 need sorb's decision and are written up with what each one costs if left alone — W8 (root SSH on the gateway) being the sharpest. Co-Authored-By: Claude Opus 4.8 --- AGENTS.md | 11 +++- docs/aar/template.md | 14 +++++ ...01-acht-widersprueche-aus-dem-labnet-02.md | 63 +++++++++++++++++++ docs/wiki/admin/cfgmon.md | 7 ++- 4 files changed, 90 insertions(+), 5 deletions(-) diff --git a/AGENTS.md b/AGENTS.md index 9f98b43..84de8dc 100644 --- a/AGENTS.md +++ b/AGENTS.md @@ -161,9 +161,14 @@ Ohne Lab-Zugang: dieses Repo ist als Push-Mirror unter - Nachrichten auf Englisch, Conventional-Stil; der Betreff sagt *was*, der Rumpf *warum*. -- Autor- **und** Committer-Datum auf 12:00:00 UTC des laufenden Tages; - kanonische Autor-Identität. Historien-Rewrites nur mit - alt→neu-Zuordnung +- Autor- **und** Committer-Datum auf 12:00:00 UTC des laufenden Tages. +- **Kanonische Identität** (gilt für alle Repos der Gruppe): Autor + `Thore Cimbal `, dazu ein Trailer + `Co-Authored-By: ` — Agenten-Sessions + committen also **nicht** unter eigener Identität, sondern kenntlich als + Beitrag. Ausnahme: der `turn-secret-rotation`-Bot committet maschinell, + eine Zuschreibung an einen Menschen wäre dort falsch (ADR-0009). +- Historien-Rewrites nur mit alt→neu-Zuordnung ([ADR-0009](docs/adr/0009-commit-konventionen-und-historien-anonymisierung.md), Tabelle: [shared/commit-zuordnung-2026-08-07.md](docs/sources/migration/commit-zuordnung-2026-08-07.md)). - ⚠️ Das schützt nur die Git-Historie; Plattform-Zeitstempel (Push, diff --git a/docs/aar/template.md b/docs/aar/template.md index b23ff59..743d730 100644 --- a/docs/aar/template.md +++ b/docs/aar/template.md @@ -32,3 +32,17 @@ related: [] # design docs, issues, ADRs involved framework issues opened, tests added. When all actions are done, set status: harvested. The refinement session walks all AARs still marked open. --> + + diff --git a/docs/issues/0027-audit-01-acht-widersprueche-aus-dem-labnet-02.md b/docs/issues/0027-audit-01-acht-widersprueche-aus-dem-labnet-02.md index c02ceab..ba4bd36 100644 --- a/docs/issues/0027-audit-01-acht-widersprueche-aus-dem-labnet-02.md +++ b/docs/issues/0027-audit-01-acht-widersprueche-aus-dem-labnet-02.md @@ -75,3 +75,66 @@ ob damit alle dort genannten Schlüssel abgedeckt sind, gehört zur Auflösung. **Nächster Schritt:** W1–W8 einzeln durchgehen und je Punkt entweder auflösen (ADR/Doku nachziehen) oder bewusst verwerfen — die Regel des Issues („dokumentieren, nicht still auflösen") bleibt dabei gültig. + +## Auflösungsstand 2026-08-15 — vier abgearbeitet, vier brauchen eine Entscheidung + +Durchgang gemäß der Regel dieses Issues: dokumentiert und referenziert, nicht still aufgelöst. + +### Erledigt + +**W2 — Bootstrap-Routen / Ping-Falle.** Teil (b) ist **bereits dokumentiert**: die Ping-Falle +steht als Textbaustein in [`docs/wiki/admin/textbloecke.md`](../wiki/admin/textbloecke.md) +(„Ping auf 10.58.73.17 schlägt IMMER fehl … das ist kein Fehler"), Erreichbarkeit wird über +HTTPS geprüft. Teil (a) — Firewall-Ausnahme für einen künftigen Truststore-Neuaufbau — ist +**bedingt und tritt erst ein, wenn er gebraucht wird**; die ADR-Pflicht dafür steht in AGENTS.md +und muss hier nicht vorweggenommen werden. → geschlossen. + +**W3 — `cfgmon.md` widersprach sich selbst.** Die Dienste-Tabelle listete `runner | +gitea/act_runner:0.6.1` als laufend, obwohl er am 2026-08-01 mit dem CI-Umzug zurückgebaut +wurde (belegt: `thread-net-git`-README und die Compose enthalten ihn nicht mehr). Zeile +entfernt, Hinweis auf den Rückbau ergänzt, `Stand` auf 2026-08-15 gezogen. Zugleich die +Bedeutungsfrage beantwortet, statt sie offen zu lassen: **Die Dienste-Tabelle ist Ist-Zustand +und wird nachgeführt; die Abschnitte darunter sind Historie und bleiben stehen.** Das steht +jetzt in der Kopfzeile der Seite. → geschlossen. + +**W6 — AAR-Nachträge waren nirgends definiert.** Die Praxis hat sich mehrfach bewährt und wurde +zuletzt erneut genutzt (Wiki.js-AAR). Statt sie zu verbieten, ist sie jetzt Regel in +[`docs/aar/template.md`](../aar/template.md): **append-only**, datiert, mit Verweis von der +korrigierten Stelle auf den Nachtrag — der ursprüngliche Stand bleibt lesbar, sonst verschwindet +genau der Irrtum, aus dem man lernen wollte. Ab ~drei Nachträgen gehört das Thema in ein +Folge-AAR. Befunde-Tabellen dürfen ohne Nachtrag um Issue-Referenzen ergänzt werden. → geschlossen. + +**W7 — Commit-Autorschaft.** Rückwirkend durch **ADR-0009** gelöst (251 Commits, Identitäten +vereinheitlicht), und die gelebte Praxis ist seither einheitlich. Es fehlte aber genau das, was +W7 verlangte: die **benannte** Regel. AGENTS.md sagte nur „kanonische Autor-Identität", ohne sie +zu nennen. Jetzt konkret: Autor `Thore Cimbal ` plus Trailer +`Co-Authored-By: `; Ausnahme `turn-secret-rotation`-Bot. +→ geschlossen. + +### Brauchen eine Entscheidung von sorb + +**W1 — ADR-0004 vs. vier Split-DNS-Zonen.** Nachgeprüft: ADR-0004 sagt weiterhin *„Split-DNS nur +`~lab` → 10.58.73.1"*, real sind es vier Zonen. ⚠️ **ADRs sind nach Annahme eingefroren** — der +As-built-Stand lässt sich also nicht einfach hineinschreiben; nötig wäre ein **ablösender ADR** +(oder der Rückbau auf `~lab`). Die im Issue benannte Brisanz besteht unverändert: +`~axion1337.de` über den Lab-Resolver betrifft auch `rohana.axion1337.de` — die **Flux-Quelle**. +Löst der Lab-DNS die Zone anders auf als öffentlich, ändert sich unbemerkt der Pfad zum Mirror. + +**W4 — Schließung von #16 deckte drei von fünf Punkten.** Still mitgeschlossen: Punkt 4 +(Repo-Zuhause für `lab.conf`/Drop-in/Root-CA) und Punkt 5 (Schlüsselrotation). Entweder sorb +bestätigt die Schließung ausdrücklich für alle fünf (dann ist die Secrets-Regel für diesen Fall +bewusst ausgesetzt → **ADR-Pflicht für die Ausnahme**), oder 4+5 werden reaktiviert. Der +Token-Teil hat mit **#0015** teilweise ein Zuhause; ob der WG-Private-Key davon abgedeckt ist, +gehört zur Antwort. + +**W5 — Secrets-Regel kennt den Bootstrap-Fall nicht.** Strukturell, nicht böswillig: auf einem +headless Host gab es keinen anderen Übergabekanal. Zu entscheiden: **Bootstrap-Klausel** in die +Regel (erlaubt, aber Exposure gilt ⇒ Rotationspflicht + festhalten wo) **oder** ein Verfahren +(sorb legt per SSH selbst ab, die Session referenziert nur den Pfad). Solange die Regel den Fall +nicht kennt, wird sie beim nächsten Bootstrap wieder gebrochen — eine Regel, die man nur durch +Verstoß erfüllen kann, ist keine. + +**W8 — UDM-SSH.** Root-Shell auf dem zentralen Gateway, vermutlich noch aktiv, nirgends +dokumentiert. Vom Mac nicht prüfbar. Entweder deaktivieren oder bewusst belassen und als Bestand +dokumentieren — analog zur docker-Gruppen-Entscheidung (ADR-0008). **Von den vier offenen Punkten +der sicherheitsrelevanteste.** diff --git a/docs/wiki/admin/cfgmon.md b/docs/wiki/admin/cfgmon.md index 2f82c11..ef8ddd7 100644 --- a/docs/wiki/admin/cfgmon.md +++ b/docs/wiki/admin/cfgmon.md @@ -16,7 +16,7 @@ Monitoring-Stack, Gitea und der Reverse Proxy für alles Öffentliche. | **IPv6** | `2a01:4f8:c17:93eb::1` | | **Privat** | `10.0.0.3` (`enp7s0`, Hetzner-Netz — dort liegt auch k3s auf `10.0.0.2`) | | **DNS** | `rohana.axion1337.de` → Gitea, `selendis.axion1337.de` → Grafana | -| **Stand** | 2026-07-30 | +| **Stand** | 2026-08-15 (Dienste-Tabelle = **Ist-Zustand**; die Abschnitte darunter sind Historie und werden nicht nachgeführt) | ## Dienste @@ -30,9 +30,12 @@ Monitoring-Stack, Gitea und der Reverse Proxy für alles Öffentliche. | traefik | `traefik:v3.7.9` | `thread-net-git` | `sorb/thread-net-git`, seit 2026-07-30 in `main` (siehe [CFGMON-02](#cfgmon-02--traefik-gitea-cadvisor-und-runner-unter-iac-gebracht--erledigt-2026-07-30)) | | gitea | `gitea/gitea:1.27.0` | `thread-net-git` | dito, gepinnt (war `:latest`) | | cadvisor | `gcr.io/cadvisor/cadvisor:v0.49.1` | `thread-net-git` | dito, gepinnt (war `:latest`) | -| runner | `gitea/act_runner:0.6.1` | `thread-net-git` | dito, Container `gitea-runner`, siehe CFGMON-02 | | portainer_agent | `portainer/agent:2.27.5` | — | standalone, kein Compose | +Der frühere `runner` (`gitea/act_runner:0.6.1`) steht hier **nicht mehr**: er wurde am +2026-08-01 mit dem CI-Umzug ins Lab-GitLab zurückgebaut (CFGMON-11 / #0034) und existiert +weder im Compose noch auf dem Host. Die Beschreibung weiter unten ist Historie. + Prometheus-Jobs: `operating_prometheus`, `operating_node-exporter`, `operating_cadvisor`, `operating_traefik` (alle lokal), `k3s_host_node` (`10.0.0.2:9100`), `pterodactyl_host_node` und `gameserver_cadvisor`