Thore CimbalandClaude Opus 4.8
75e00569da
ftp.axion1337.de deleted and verified (NXDOMAIN). All four DNS hygiene issues from today's batch (#0001, #0003, #0005, plus #0007 earlier) are now closed: rohana and selendis hardened with Null-MX/SPF -all/DMARC reject, matrix and www.game removed, ftp removed. Production A/AAAA records untouched throughout. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
113 lines
6.6 KiB
Markdown
113 lines
6.6 KiB
Markdown
---
|
|
type: issue
|
|
id: "0005"
|
|
status: done
|
|
created: 2026-08-01
|
|
milestone: M2
|
|
priority: low
|
|
area: infrastructure
|
|
gitlab_iid: "5"
|
|
related: []
|
|
---
|
|
# ZONE-01: IONOS-Default-Records bereinigen (www-Paare, tote Mail-Sätze)
|
|
|
|
> Import aus [management#5](https://git.lab/axion1337.chat/management/-/issues/5) (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012).
|
|
|
|
IONOS legt je Subdomain automatisch `www.`-Paare und komplette Mail-Sätze an
|
|
(MX, SPF ~all, DKIM-CNAMEs, autodiscover) — auch für Hosts ohne Mail. Ungenutzte
|
|
Subdomain mit gültigem MX + Softfail-SPF = Spoofing-Vektor; ohne MX weichen Absender
|
|
per RFC 5321 auf A/AAAA aus. Richtig: explizit „keine Mail" erklären — **Null-MX
|
|
(RFC 7505), `v=spf1 -all`, `_dmarc p=reject`** — statt ersatzlos löschen.
|
|
|
|
**Stand:** `rohana` + `selendis` in Arbeit (sorb setzt direkt um, seit 2026-07-30).
|
|
Offen: `matrix` (Mail-Satz kann weg — MATRIX-01 hat verifiziert, dass weder Synapse
|
|
noch MAS Mail versenden), `www.game`/`www.matrix` (GAME-02, MATRIX-03), `ftp` (zeigt
|
|
auf IONOS-Hosting — Ballast, löschen falls ungenutzt).
|
|
|
|
⚠️ Beim SPF-Ändern **bestehenden TXT editieren**, nie zweiten anlegen (PermError).
|
|
Nach Umsetzung verifizieren: www-Namen lösen nicht mehr auf, genau EIN SPF pro Name,
|
|
A/AAAA von rohana/selendis unangetastet (Gitea/Grafana weiter per HTTPS erreichbar).
|
|
|
|
Detail-Rezepte pro Name (Löschen/Anlegen-Tabellen): Git-Historie von
|
|
[shared/zone-axion1337.md](https://git.lab/axion1337.chat/management/-/blob/main/shared/zone-axion1337.md)
|
|
|
|
---
|
|
*Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).*
|
|
|
|
---
|
|
|
|
## Rezepte pro Name (aus dem Backlogs-Markdown übernommen)
|
|
|
|
### rohana.axion1337.de
|
|
**Löschen:** `A www.rohana`, `AAAA www.rohana`
|
|
**Anlegen:** MX `rohana` = `.` (Prio 0) · TXT `rohana` = `v=spf1 -all` · TXT `_dmarc.rohana` = `v=DMARC1; p=reject;`
|
|
**Nicht anfassen:** `A`/`AAAA rohana` — daran hängen Gitea und das Zertifikat.
|
|
|
|
### selendis.axion1337.de
|
|
**Löschen:** `MX mx00/mx01.ionos.de`, `CNAME s1-ionos._domainkey`, `s2-ionos._domainkey`, `s42582890._domainkey`, `CNAME autodiscover.selendis`, `A`/`AAAA www.selendis`
|
|
**Ändern:** TXT `selendis` von `v=spf1 include:_spf-eu.ionos.com ~all` auf `v=spf1 -all` — **bestehenden Record editieren, keinen zweiten anlegen** (PermError!)
|
|
**Anlegen:** MX `selendis` = `.` (Prio 0) · TXT `_dmarc.selendis` = `v=DMARC1; p=reject;`
|
|
**Vorab prüfen:** ob im IONOS-Mail-Bereich Postfach/Weiterleitung für `selendis` existiert (dann entfallen die MX-Änderungen). Falls IONOS `.` als MX-Ziel ablehnt: MX weglassen, TXT reicht.
|
|
|
|
### matrix.axion1337.de (entblockt durch MATRIX-01)
|
|
Gleiches Härtungsmuster wie selendis: kompletten IONOS-Mail-Satz entfernen, Null-MX + `v=spf1 -all` + `_dmarc p=reject`; `autodiscover.matrix` kann weg. (`www.matrix` → #1.)
|
|
|
|
## In Arbeit 2026-08-14 — Ist-Stand verifiziert (DoH, extern)
|
|
|
|
Die frühere Notiz „rohana + selendis in Arbeit" ist überholt — tatsächlicher Zonenstand heute:
|
|
|
|
| Name | MX | SPF (TXT) | _dmarc | www | Bewertung |
|
|
|---|---|---|---|---|---|
|
|
| rohana | — | — | — | `www.rohana` **existiert** (188.245.193.243) | Mail-Satz weg, aber **ungehärtet** (kein Null-MX/-all/reject = spoofbar); www offen |
|
|
| selendis | mx00/mx01.ionos | `~all` (softfail) | — | weg | **IONOS-Mail-Satz noch komplett da** — unangetastet |
|
|
| matrix | mx00/mx01.ionos | `~all` | — | `www.matrix` + `autodiscover.matrix`→adsredir.ionos | Mail-Satz + autodiscover + www offen (#0001) |
|
|
| game | — | — | — | `www.game` da (#0003) | Apex sauber (kein Mail-Satz), nur www weg |
|
|
| ftp | — | — | — | A → 217.160.233.227 (IONOS-Hosting) | Ballast, löschen falls ungenutzt |
|
|
|
|
**Konsolidierte Aktionsliste (IONOS-Panel/-API, nur sorb — ich habe keinen Zugang):**
|
|
- **rohana**: `www.rohana` löschen · Null-MX (`.` Prio 0) + TXT `v=spf1 -all` + `_dmarc p=reject` **anlegen** (aktuell ungeschützt!).
|
|
- **selendis**: MX mx00/mx01 + DKIM-CNAMEs (`s1-/s2-/s42582890-_domainkey`) + `autodiscover.selendis` löschen · SPF-TXT **editieren** `~all`→`-all` (keinen zweiten anlegen — PermError!) · Null-MX + `_dmarc p=reject` anlegen.
|
|
- **matrix**: MX + `autodiscover.matrix` löschen · SPF `~all`→`-all` editieren · Null-MX + `_dmarc p=reject` anlegen · `www.matrix` löschen (#0001).
|
|
- **game**: `www.game` löschen (#0003). Apex ist bereits sauber.
|
|
- **ftp**: A löschen, falls nichts darauf zeigt (IONOS-Hosting-Default).
|
|
|
|
**Nach Umsetzung verifizieren:** www-Namen lösen nicht mehr auf; genau EIN SPF pro Name; A/AAAA
|
|
von rohana/selendis/matrix unangetastet (Gitea/Grafana/Matrix weiter per HTTPS). Ich checke die
|
|
Außensicht per DoH gegen, sobald du durch bist.
|
|
|
|
## Erledigt 2026-08-14 (Teil) — rohana & selendis
|
|
|
|
Beide gemeinsam mit sorb Schritt für Schritt durch IONOS umgesetzt, extern per DoH bestätigt:
|
|
|
|
- **rohana**: `www.rohana` gelöscht · Null-MX (`0 .`) · SPF `v=spf1 -all` · `_dmarc.rohana`
|
|
`p=reject` — alles neu angelegt, vorher komplett ungeschützt. `rohana` A-Record (Gitea)
|
|
unangetastet.
|
|
- **selendis**: IONOS-„Mail"-Service (nur für `selendis`, kein Postfach) deaktiviert, dadurch
|
|
MX-Einträge löschbar geworden · 3 DKIM-CNAMEs + `www.selendis` gelöscht (`autodiscover.selendis`
|
|
gab es nicht) · bestehenden SPF-TXT editiert (`~all`→`-all`, kein Duplikat) · Null-MX (`0 .`) ·
|
|
`_dmarc.selendis` `p=reject` neu angelegt. `selendis` A-Record (Grafana) unangetastet.
|
|
|
|
**Lehre für die verbleibenden Namen (matrix):** Falls dort ebenfalls ein IONOS-„Mail"-Service
|
|
aktiv ist, blockiert er die MX-Löschung mit „wird von einem Service verwaltet" — vorher im
|
|
IONOS-Mail-Bereich prüfen, ob ein Postfach/eine Weiterleitung existiert, und den Service ggf.
|
|
deaktivieren, bevor die MX-Einträge gelöscht werden.
|
|
|
|
**Noch offen:** `matrix` (Mail-Satz + `autodiscover.matrix` + `www.matrix` → #0001), `www.game`
|
|
(→ #0003), `ftp` (Ballast, falls ungenutzt).
|
|
|
|
## Erledigt 2026-08-14 (Teil 2) — matrix & www.game
|
|
|
|
`matrix.axion1337.de` war bereits von sorb selbst entfernt (Plattform läuft unter
|
|
`axion1337.chat`) — `www.matrix` damit automatisch mit weg (#0001 erledigt). `A www.game`
|
|
gelöscht, extern bestätigt (#0003 erledigt).
|
|
|
|
**Einziger Rest von #0005: `ftp.axion1337.de`** (zeigt auf `217.160.233.227`, IONOS-Hosting-Default)
|
|
— noch nicht geprüft/gelöscht.
|
|
|
|
## Erledigt 2026-08-14 (Abschluss) — ftp
|
|
|
|
`A ftp.axion1337.de` von sorb gelöscht, extern per DoH bestätigt: NXDOMAIN. Damit ist die
|
|
gesamte Zonen-Bereinigung abgeschlossen: rohana + selendis gehärtet (Null-MX/SPF -all/DMARC
|
|
reject), matrix bereits vorher entfernt, www.game und ftp gelöscht. Alle A/AAAA-Records der
|
|
produktiven Hosts (rohana, selendis) unangetastet verifiziert.
|