docs(issues): #0008 - the port profile now has something holding it

The 2026-08-15 recheck found the ports closed but nobody had decided that and nothing recorded it, so the next firewall change could have reopened them unseen. notfallhandbuch:pruefe-ports.sh plus ports-soll.md close that half, measured rather than derived, and check both directions - a reachability-only check would never notice telemetry standing open. Still needs sorb: the shared look at the Hetzner console. The script says what is reachable from outside; which rules produce that, and whether they stand there on purpose, only the console says. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-19 12:00:00 +00:00
parent 50bbd69d5f
commit b3d2faa032
1 changed files with 34 additions and 0 deletions
@@ -45,3 +45,37 @@ sondern darum, dass der Ist-Zustand nicht bewusst hergestellt und nicht dokument
 was heute zufällig zu ist, kann bei der nächsten Änderung unbemerkt aufgehen. Zu klären
 bleibt: welche Regeln greifen tatsächlich, und trägt das den GAME-Push (#0002) nach dessen
 vSwitch-Umzug noch?
 ## Wächter gebaut 2026-08-19 — der Ist-Zustand hat jetzt eine Instanz, die ihn hält
 Aus dem Befund vom 15.08. („zu, aber nicht bewusst hergestellt und nicht
 dokumentiert") folgt genau ein wirksamer Schritt, und er ist getan:
 `notfallhandbuch:pruefe-ports.sh` plus `ports-soll.md`, nach dem Muster von
 `pruefe-dns.sh`.
 **Gemessen, nicht abgeleitet** (2026-08-19, von sorbs Mac):
 | Host | offen | zu |
 |---|---|---|
 | Matrix `49.13.132.245` | 80, 443, 3478, 5349, 30001, 2248 | 22 |
 | CFGMON `188.245.193.243` | 80, 443 | **9090, 3100**, 22 |
 Das Skript prüft **beide Richtungen** — eine reine Erreichbarkeitsprüfung würde eine
 öffentlich stehende Telemetrie nie bemerken. Vor und nach jeder Firewall-Änderung
 laufen lassen; damit ist auch die Frage aus dem Issue beantwortbar, ob der GAME-Push
 (#0002) nach dem vSwitch-Umzug noch trägt: einmal vorher, einmal nachher.
 **Die Gegenprobe ist der Kern, nicht die Zierde.** In einem Netz, das ausgehende
 Verbindungen filtert, meldet jede Portprüfung „alles zu" — was wie ein perfektes
 Ergebnis aussieht. Beim Bau real passiert: Die erste Fassung nutzte `/dev/tcp`, das
 die zsh nicht kennt, und meldete **jeden** Port als geschlossen, 443 eingeschlossen.
 Das Skript bricht deshalb mit Exit 2 ab, wenn ein bekannt offener Port nicht antwortet.
 **UDP bleibt bewusst außen vor** (TURN 3478, SFU 30002): Ohne Antwort sind
 „gefiltert" und „offen, aber still" nicht zu trennen. Diese Strecken belegt nur ein
 echter Gruppen-Call.
 **Weiterhin offen — der Teil, der sorb braucht:** der gemeinsame Blick in die
 Hetzner-Console. Das Skript sagt, *was* von außen erreichbar ist; welche Regeln das
 bewirken und ob sie bewusst so stehen, sagt nur die Console. Erst danach ist das
 Issue erledigt.