Thore CimbalandClaude Opus 4.8
64f11c178a
matrix.axion1337.de was already removed by sorb independently (platform runs under .chat), so www.matrix went with it (confirmed NXDOMAIN via two independent DoH resolvers). www.game deleted through IONOS and verified. #0005 down to a single remaining item: ftp.axion1337.de. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
106 lines
6.3 KiB
Markdown
106 lines
6.3 KiB
Markdown
---
|
|
type: issue
|
|
id: "0005"
|
|
status: in-progress
|
|
created: 2026-08-01
|
|
milestone: M2
|
|
priority: low
|
|
area: infrastructure
|
|
gitlab_iid: "5"
|
|
related: []
|
|
---
|
|
# ZONE-01: IONOS-Default-Records bereinigen (www-Paare, tote Mail-Sätze)
|
|
|
|
> Import aus [management#5](https://git.lab/axion1337.chat/management/-/issues/5) (2026-08-11). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei (ADR-0012).
|
|
|
|
IONOS legt je Subdomain automatisch `www.`-Paare und komplette Mail-Sätze an
|
|
(MX, SPF ~all, DKIM-CNAMEs, autodiscover) — auch für Hosts ohne Mail. Ungenutzte
|
|
Subdomain mit gültigem MX + Softfail-SPF = Spoofing-Vektor; ohne MX weichen Absender
|
|
per RFC 5321 auf A/AAAA aus. Richtig: explizit „keine Mail" erklären — **Null-MX
|
|
(RFC 7505), `v=spf1 -all`, `_dmarc p=reject`** — statt ersatzlos löschen.
|
|
|
|
**Stand:** `rohana` + `selendis` in Arbeit (sorb setzt direkt um, seit 2026-07-30).
|
|
Offen: `matrix` (Mail-Satz kann weg — MATRIX-01 hat verifiziert, dass weder Synapse
|
|
noch MAS Mail versenden), `www.game`/`www.matrix` (GAME-02, MATRIX-03), `ftp` (zeigt
|
|
auf IONOS-Hosting — Ballast, löschen falls ungenutzt).
|
|
|
|
⚠️ Beim SPF-Ändern **bestehenden TXT editieren**, nie zweiten anlegen (PermError).
|
|
Nach Umsetzung verifizieren: www-Namen lösen nicht mehr auf, genau EIN SPF pro Name,
|
|
A/AAAA von rohana/selendis unangetastet (Gitea/Grafana weiter per HTTPS erreichbar).
|
|
|
|
Detail-Rezepte pro Name (Löschen/Anlegen-Tabellen): Git-Historie von
|
|
[shared/zone-axion1337.md](https://git.lab/axion1337.chat/management/-/blob/main/shared/zone-axion1337.md)
|
|
|
|
---
|
|
*Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).*
|
|
|
|
---
|
|
|
|
## Rezepte pro Name (aus dem Backlogs-Markdown übernommen)
|
|
|
|
### rohana.axion1337.de
|
|
**Löschen:** `A www.rohana`, `AAAA www.rohana`
|
|
**Anlegen:** MX `rohana` = `.` (Prio 0) · TXT `rohana` = `v=spf1 -all` · TXT `_dmarc.rohana` = `v=DMARC1; p=reject;`
|
|
**Nicht anfassen:** `A`/`AAAA rohana` — daran hängen Gitea und das Zertifikat.
|
|
|
|
### selendis.axion1337.de
|
|
**Löschen:** `MX mx00/mx01.ionos.de`, `CNAME s1-ionos._domainkey`, `s2-ionos._domainkey`, `s42582890._domainkey`, `CNAME autodiscover.selendis`, `A`/`AAAA www.selendis`
|
|
**Ändern:** TXT `selendis` von `v=spf1 include:_spf-eu.ionos.com ~all` auf `v=spf1 -all` — **bestehenden Record editieren, keinen zweiten anlegen** (PermError!)
|
|
**Anlegen:** MX `selendis` = `.` (Prio 0) · TXT `_dmarc.selendis` = `v=DMARC1; p=reject;`
|
|
**Vorab prüfen:** ob im IONOS-Mail-Bereich Postfach/Weiterleitung für `selendis` existiert (dann entfallen die MX-Änderungen). Falls IONOS `.` als MX-Ziel ablehnt: MX weglassen, TXT reicht.
|
|
|
|
### matrix.axion1337.de (entblockt durch MATRIX-01)
|
|
Gleiches Härtungsmuster wie selendis: kompletten IONOS-Mail-Satz entfernen, Null-MX + `v=spf1 -all` + `_dmarc p=reject`; `autodiscover.matrix` kann weg. (`www.matrix` → #1.)
|
|
|
|
## In Arbeit 2026-08-14 — Ist-Stand verifiziert (DoH, extern)
|
|
|
|
Die frühere Notiz „rohana + selendis in Arbeit" ist überholt — tatsächlicher Zonenstand heute:
|
|
|
|
| Name | MX | SPF (TXT) | _dmarc | www | Bewertung |
|
|
|---|---|---|---|---|---|
|
|
| rohana | — | — | — | `www.rohana` **existiert** (188.245.193.243) | Mail-Satz weg, aber **ungehärtet** (kein Null-MX/-all/reject = spoofbar); www offen |
|
|
| selendis | mx00/mx01.ionos | `~all` (softfail) | — | weg | **IONOS-Mail-Satz noch komplett da** — unangetastet |
|
|
| matrix | mx00/mx01.ionos | `~all` | — | `www.matrix` + `autodiscover.matrix`→adsredir.ionos | Mail-Satz + autodiscover + www offen (#0001) |
|
|
| game | — | — | — | `www.game` da (#0003) | Apex sauber (kein Mail-Satz), nur www weg |
|
|
| ftp | — | — | — | A → 217.160.233.227 (IONOS-Hosting) | Ballast, löschen falls ungenutzt |
|
|
|
|
**Konsolidierte Aktionsliste (IONOS-Panel/-API, nur sorb — ich habe keinen Zugang):**
|
|
- **rohana**: `www.rohana` löschen · Null-MX (`.` Prio 0) + TXT `v=spf1 -all` + `_dmarc p=reject` **anlegen** (aktuell ungeschützt!).
|
|
- **selendis**: MX mx00/mx01 + DKIM-CNAMEs (`s1-/s2-/s42582890-_domainkey`) + `autodiscover.selendis` löschen · SPF-TXT **editieren** `~all`→`-all` (keinen zweiten anlegen — PermError!) · Null-MX + `_dmarc p=reject` anlegen.
|
|
- **matrix**: MX + `autodiscover.matrix` löschen · SPF `~all`→`-all` editieren · Null-MX + `_dmarc p=reject` anlegen · `www.matrix` löschen (#0001).
|
|
- **game**: `www.game` löschen (#0003). Apex ist bereits sauber.
|
|
- **ftp**: A löschen, falls nichts darauf zeigt (IONOS-Hosting-Default).
|
|
|
|
**Nach Umsetzung verifizieren:** www-Namen lösen nicht mehr auf; genau EIN SPF pro Name; A/AAAA
|
|
von rohana/selendis/matrix unangetastet (Gitea/Grafana/Matrix weiter per HTTPS). Ich checke die
|
|
Außensicht per DoH gegen, sobald du durch bist.
|
|
|
|
## Erledigt 2026-08-14 (Teil) — rohana & selendis
|
|
|
|
Beide gemeinsam mit sorb Schritt für Schritt durch IONOS umgesetzt, extern per DoH bestätigt:
|
|
|
|
- **rohana**: `www.rohana` gelöscht · Null-MX (`0 .`) · SPF `v=spf1 -all` · `_dmarc.rohana`
|
|
`p=reject` — alles neu angelegt, vorher komplett ungeschützt. `rohana` A-Record (Gitea)
|
|
unangetastet.
|
|
- **selendis**: IONOS-„Mail"-Service (nur für `selendis`, kein Postfach) deaktiviert, dadurch
|
|
MX-Einträge löschbar geworden · 3 DKIM-CNAMEs + `www.selendis` gelöscht (`autodiscover.selendis`
|
|
gab es nicht) · bestehenden SPF-TXT editiert (`~all`→`-all`, kein Duplikat) · Null-MX (`0 .`) ·
|
|
`_dmarc.selendis` `p=reject` neu angelegt. `selendis` A-Record (Grafana) unangetastet.
|
|
|
|
**Lehre für die verbleibenden Namen (matrix):** Falls dort ebenfalls ein IONOS-„Mail"-Service
|
|
aktiv ist, blockiert er die MX-Löschung mit „wird von einem Service verwaltet" — vorher im
|
|
IONOS-Mail-Bereich prüfen, ob ein Postfach/eine Weiterleitung existiert, und den Service ggf.
|
|
deaktivieren, bevor die MX-Einträge gelöscht werden.
|
|
|
|
**Noch offen:** `matrix` (Mail-Satz + `autodiscover.matrix` + `www.matrix` → #0001), `www.game`
|
|
(→ #0003), `ftp` (Ballast, falls ungenutzt).
|
|
|
|
## Erledigt 2026-08-14 (Teil 2) — matrix & www.game
|
|
|
|
`matrix.axion1337.de` war bereits von sorb selbst entfernt (Plattform läuft unter
|
|
`axion1337.chat`) — `www.matrix` damit automatisch mit weg (#0001 erledigt). `A www.game`
|
|
gelöscht, extern bestätigt (#0003 erledigt).
|
|
|
|
**Einziger Rest von #0005: `ftp.axion1337.de`** (zeigt auf `217.160.233.227`, IONOS-Hosting-Default)
|
|
— noch nicht geprüft/gelöscht.
|