From adb8cf3a11c8aa7b8e22c64d88c3e701f2b35186 Mon Sep 17 00:00:00 2001 From: Claude Date: Thu, 30 Jul 2026 14:17:17 +0200 Subject: [PATCH] BACKLOG.md: IPv6 und www.rohana ergaenzen rohana, www.rohana und selendis haben jetzt AAAA-Records auf 2a01:4f8:c17:93eb::1. Let's Encrypt validiert damit bevorzugt ueber IPv6, die Hetzner-Firewall braucht fuer 443 also eine Regel mit Quelle ::/0 zusaetzlich zu 0.0.0.0/0 -- sonst scheitert die Erneuerung Ende September trotz offenem IPv4. Ausliefern ueber IPv6 funktioniert bereits (rohana und selendis antworten mit 200, Traefik lauscht auf [::]:443). www.rohana matcht keinen Traefik-Router und liefert das Traefik-Default- Cert aus. Bei einer Subdomain ist das www.-Praefix ueberfluessig; Empfehlung ist Loeschen der beiden Records statt Router + Cert-SAN. Co-Authored-By: Claude Opus 5 --- BACKLOG.md | 24 ++++++++++++++++++++++++ 1 file changed, 24 insertions(+) diff --git a/BACKLOG.md b/BACKLOG.md index 84712ba..2179e5e 100644 --- a/BACKLOG.md +++ b/BACKLOG.md @@ -30,6 +30,14 @@ Eine IP-Allowlist für die Let's-Encrypt-Server ist **keine** Option: LE veröffentlicht seine Validierungs-IPs nicht und prüft seit Einführung der Multi-Perspective Validation aus mehreren Regionen gleichzeitig. +**IPv6 beachten (Stand 2026-07-30):** `rohana`, `www.rohana` und `selendis` haben +inzwischen AAAA-Records auf `2a01:4f8:c17:93eb::1`. Damit validiert Let's Encrypt +**bevorzugt über IPv6**. Die Hetzner-Cloud-Firewall braucht für Port 443 deshalb +eine Regel mit Quelle `::/0` — `0.0.0.0/0` deckt IPv6 **nicht** mit ab. Fehlt sie, +scheitert die Erneuerung, obwohl IPv4 offen ist. Vom Host aus lässt sich das nicht +verifizieren (Verbindung auf die eigene öffentliche Adresse läuft lokal), das muss +in der Hetzner-Konsole geprüft werden. + Zwei Wege: - **A — Port 443 zur Erneuerung öffnen.** Nichts umbauen, aber alle ~60 Tage @@ -44,6 +52,22 @@ Zwei Wege: **Nächster Schritt:** Entscheidung A oder B. Bei B: DNS-Provider benennen und API-Token bereitstellen, dann Traefik-Resolver umstellen. +### Nebenpunkt: `www.rohana.axion1337.de` löschen + +Der Record (A + AAAA) wurde nach IONOS-Default-Muster angelegt. Bei einer +Subdomain ist ein `www.`-Präfix überflüssig — das Muster gilt für Apex-Domains +(`axion1337.de` / `www.axion1337.de`, dort bei IONOS sinnvoll). `rohana` ist +bereits der Hostname des Dienstes. + +Aktueller Zustand: kein Traefik-Router matcht den Namen, Traefik liefert sein +`TRAEFIK DEFAULT CERT` aus, TLS bricht mit Zertifikatsfehler ab. Der Name +funktioniert also ohnehin nicht. + +**Empfehlung:** A- und AAAA-Record für `www.rohana` löschen. Es geht nichts +verloren. Die Alternative — Router plus Cert-SAN für den zweiten Namen — bedeutet +mehr Teile, die bei jeder Erneuerung mitvalidieren müssen, ohne Nutzen. Für +`selendis` aus demselben Grund kein `www.` anlegen. + --- ## 2. Pterodactyl-Host 157.90.155.206 nicht erreichbar — 2 Prometheus-Targets down