From b3d2faa032993bdf0102a90ab5f012e73ecc26ad Mon Sep 17 00:00:00 2001 From: Thore Cimbal Date: Wed, 19 Aug 2026 12:00:00 +0000 Subject: [PATCH] docs(issues): #0008 - the port profile now has something holding it The 2026-08-15 recheck found the ports closed but nobody had decided that and nothing recorded it, so the next firewall change could have reopened them unseen. notfallhandbuch:pruefe-ports.sh plus ports-soll.md close that half, measured rather than derived, and check both directions - a reachability-only check would never notice telemetry standing open. Still needs sorb: the shared look at the Hetzner console. The script says what is reachable from outside; which rules produce that, and whether they stand there on purpose, only the console says. Co-Authored-By: Claude Opus 5 --- ...mon-03-prometheus-remote-write-und-loki.md | 34 +++++++++++++++++++ 1 file changed, 34 insertions(+) diff --git a/docs/issues/0008-cfgmon-03-prometheus-remote-write-und-loki.md b/docs/issues/0008-cfgmon-03-prometheus-remote-write-und-loki.md index 28c9593..04e118e 100644 --- a/docs/issues/0008-cfgmon-03-prometheus-remote-write-und-loki.md +++ b/docs/issues/0008-cfgmon-03-prometheus-remote-write-und-loki.md @@ -45,3 +45,37 @@ sondern darum, dass der Ist-Zustand nicht bewusst hergestellt und nicht dokument was heute zufällig zu ist, kann bei der nächsten Änderung unbemerkt aufgehen. Zu klären bleibt: welche Regeln greifen tatsächlich, und trägt das den GAME-Push (#0002) nach dessen vSwitch-Umzug noch? + +## Wächter gebaut 2026-08-19 — der Ist-Zustand hat jetzt eine Instanz, die ihn hält + +Aus dem Befund vom 15.08. („zu, aber nicht bewusst hergestellt und nicht +dokumentiert") folgt genau ein wirksamer Schritt, und er ist getan: +`notfallhandbuch:pruefe-ports.sh` plus `ports-soll.md`, nach dem Muster von +`pruefe-dns.sh`. + +**Gemessen, nicht abgeleitet** (2026-08-19, von sorbs Mac): + +| Host | offen | zu | +|---|---|---| +| Matrix `49.13.132.245` | 80, 443, 3478, 5349, 30001, 2248 | 22 | +| CFGMON `188.245.193.243` | 80, 443 | **9090, 3100**, 22 | + +Das Skript prüft **beide Richtungen** — eine reine Erreichbarkeitsprüfung würde eine +öffentlich stehende Telemetrie nie bemerken. Vor und nach jeder Firewall-Änderung +laufen lassen; damit ist auch die Frage aus dem Issue beantwortbar, ob der GAME-Push +(#0002) nach dem vSwitch-Umzug noch trägt: einmal vorher, einmal nachher. + +**Die Gegenprobe ist der Kern, nicht die Zierde.** In einem Netz, das ausgehende +Verbindungen filtert, meldet jede Portprüfung „alles zu" — was wie ein perfektes +Ergebnis aussieht. Beim Bau real passiert: Die erste Fassung nutzte `/dev/tcp`, das +die zsh nicht kennt, und meldete **jeden** Port als geschlossen, 443 eingeschlossen. +Das Skript bricht deshalb mit Exit 2 ab, wenn ein bekannt offener Port nicht antwortet. + +**UDP bleibt bewusst außen vor** (TURN 3478, SFU 30002): Ohne Antwort sind +„gefiltert" und „offen, aber still" nicht zu trennen. Diese Strecken belegt nur ein +echter Gruppen-Call. + +**Weiterhin offen — der Teil, der sorb braucht:** der gemeinsame Blick in die +Hetzner-Console. Das Skript sagt, *was* von außen erreichbar ist; welche Regeln das +bewirken und ob sie bewusst so stehen, sagt nur die Console. Erst danach ist das +Issue erledigt.