From e5c78edb14e701a11118870188ef7e1aa16e5cf2 Mon Sep 17 00:00:00 2001 From: Thore Cimbal Date: Sat, 1 Aug 2026 12:00:00 +0000 Subject: [PATCH] cfgmon: CFGMON-03 entscheidungsreif vorbereitet, threadnet-operating-Reset-Notiz Co-Authored-By: Claude Fable 5 Claude-Session: https://claude.ai/code/session_01PKhFj1S3UdD6xL2fbWPeYj --- hosts/cfgmon.md | 25 ++++++++++++++++++++++++- 1 file changed, 24 insertions(+), 1 deletion(-) diff --git a/hosts/cfgmon.md b/hosts/cfgmon.md index cf36cdd..79c6ce1 100644 --- a/hosts/cfgmon.md +++ b/hosts/cfgmon.md @@ -104,7 +104,24 @@ still. ## CFGMON-03 — Prometheus-Remote-Write und Loki sind öffentlich ohne Auth -**Status:** offen +**Status:** offen — **entscheidungsreif vorbereitet (2026-08-01 Nachtblock)** + +**Vorbereitung/Empfehlung:** Absender-Inventur ergab: Der k3s/Matrix-Host pusht +längst übers private Netz (10.0.0.3, verifiziert) — öffentlich brauchen 9090/3100 +nur noch Absender **außerhalb** des vSwitch, praktisch also der GAME-Host +(157.90.155.206, siehe GAME-01). + +- **Weg A (empfohlen, 5 Minuten):** Hetzner-Cloud-Firewall auf CFGMON — eingehend + 9090/tcp + 3100/tcp nur von `157.90.155.206` (+ ggf. weitere bekannte Absender) + erlauben; privater vSwitch-Verkehr ist davon unberührt. Sofort wirksam, kein + Config-Umbau. +- **Weg B (sauberer, später):** GAME-Host in den vSwitch aufnehmen (deckt sich mit + gitops#41 „privates Netz statt Internet" und der GAME-01-Firewall-Arbeit) — + danach beide `ports:`-Blöcke aus der Compose entfernen, nichts mehr öffentlich. +- **Weg C (verworfen):** BasicAuth via Traefik — 9090/3100 sind direkte + Port-Mappings, kein Traefik-Routing; der Umbau (Router+Middleware+htpasswd auf + CFGMON, `basic_auth`-Block im GAME-Alloy) wäre deutlich mehr Bewegung als A/B + für denselben Effekt. Prometheus läuft mit `--web.enable-remote-write-receiver` und Port `9090` ist veröffentlicht, weil der k3s-Cluster und der Matrix-Server dorthin pushen. Loki ist @@ -195,6 +212,12 @@ Voraussetzungen, beide beim User: auf CFGMON `cd /opt/thread-net-git && git checkout main && git pull` (Checkout parkt noch auf dem inhaltsgleichen, inzwischen gelöschten Fix-Branch). +**Dazu neu (2026-08-01 ~05:00):** Auch `/opt/threadnet-operating` braucht einmal +`git fetch && git reset --hard origin/main` — der State-Persistenz-Commit wurde +dort direkt nach Gitea gepusht (dfe04c4a), vom Mirror überschrieben, vom Mac aus +per Patch gerettet und kanonisch als `6ffab68` neu aufgelegt (inhaltsgleich, +anderer Hash; Autorschaft erhalten). + **Erledigt (2026-08-01, autonom):** - Actions-Toggles deaktiviert: `ThreadNet-Web`, `threadnet-call`, `axion1337.chat-gitops` - `ThreadNet-Web`: alle `.github/workflows/`-Dateien entfernt (Commit `574c1bf`)