homelab-infra/docs/EXTERNAL_DEPENDENCIES.md

External Dependencies - KalliLab CORE

Status: Betreiber-Baseline 2026-06-01; Account-Recovery, Schluessel und Besitznachweise bleiben ausserhalb des Repos.

Zweck

Dieses Dokument beschreibt externe Anbieter und Konten, von denen Betrieb, Recovery oder Zugriff abhaengen. Ziel ist, im Ausfallfall nicht erst suchen zu muessen, welcher Provider welches Teilproblem verursacht.

Abhaengigkeiten

Anbieter / System	Zweck	Kritikalitaet	Recovery-Auswirkung	Zugang / Besitz	Notfallplan
Telekom DSL	Internet-Uplink	hoch	Public Apps, ACME, DDNS, Hetzner-Off-site und Tailscale-Initial-Verbindung fallen aus	Telekom-Kundenkonto	Kein WAN-Failover am Standort eingerichtet (FRITZ!Box-Ausfallschutz inaktiv); lokale LAN-Dienste laufen weiter; Hotspot-Behelf nur fuer Operator-Arbeit, nicht fuer Public Apps
FRITZ!Box 7590	Router, DHCP, Telefonie, WAN	hoch	LAN ohne DHCP/Routing; auch lokale Inter-Subnet-Kommunikation kann brechen	Operator-Login auf 192.168.178.1	FRITZ!Box-Konfig-Backup vom 2026-06-01 liegt extern/off-system in Vaultwarden; Reset-Pin und Account-Pfad bereithalten; Remote-HTTPS/FTP/FTPS aus dem Internet sind aus
Domain-Registrar	Besitz kaleschke.info	hoch	Ohne Domain brechen Public URLs/TLS-Erneuerung	Operator-Konto ausserhalb Repo, konkreten Registrar im Account pruefen	Registrar-Zugang, 2FA-Recovery und Zahlungsweg analog/off-system sichern
Cloudflare DNS	Authoritative DNS, ACME DNS-Challenge, DDNS	hoch	Neue Zertifikate/DNS-Aenderungen blockiert	Cloudflare-Konto; API-Token liegt als Host-Secret	API-Token rotierbar halten, Account-Recovery und Zone-Besitz pruefen
Hetzner Storage Box	Off-site Borg Backup	kritisch	Restore aus Off-site ggf. nicht moeglich	Hetzner-Konto / Storage-Box-Zugang ausserhalb Repo	Borg-Passphrase ist offline gesichert; Hetzner 2FA/Recovery/Zahlung sind bestaetigt; Storage Box ist SSH-only, Maintenance-Key liegt in Vaultwarden; Borg append-only wird per Operator-Entscheidung nicht umgesetzt
GitHub Mirror	Externer Repo-Mirror michaelkaleschke-spec/homelab-infra (privat)	mittel/hoch	Gitea-Verlust abfederbar, aber Bare-Metal-Bootstrap braucht Read-Zugang (PAT oder SSH-Deploy-Key); ohne diesen ist der Mirror im DR nicht klonbar	GitHub-Konto; Push-PAT liegt in Gitea-Mirror-Settings; Read-PAT/Deploy-Key fuer DR muss zusaetzlich offline im DR-Kit liegen	Mirror-Status regelmaessig pruefen; lokalen Clone als zweite Kopie behalten; Read-PAT mit Scope repo:read separat erzeugen und im DR-Kit ablegen
Tailscale	Remote-/Operator-Zugang	hoch	Remote-Zugriff erschwert, lokale Bedienung bleibt	Tailnet-Konto; Node Kallilabcore, IPv4 100.80.98.33	Break-glass per LAN und physischem Zugriff; Tailnet-Recovery-Codes sichern
GMX SMTP	Authelia Notifier, Vaultwarden-Einladungen, Ops-Report-Mail	mittel	Mail-Notifier und Vaultwarden-Einladungen fallen aus; Login selbst nicht zwingend	GMX-Konto; SMTP-Secrets liegen hostseitig	ntfy/zweiter SMTP als Fallback pruefen
OpenAI API	Paperless-GPT LLM und Vision-OCR	mittel	Automatische Dokument-Titel, Tags, Korrespondenten und LLM-OCR fallen aus; Paperless selbst laeuft weiter	OpenAI-Projekt/API-Key ausserhalb Repo	Key in Vaultwarden/Komodo sichern, bei Offenlegung rotieren; Kosten/Usage im OpenAI-Projekt beobachten
Let's Encrypt	TLS-Zertifikate	hoch	Cert-Erneuerung faellt aus	automatisch via Traefik und Cloudflare DNS-Challenge	Cert-Expiry Alert einrichten; Cloudflare-Token und Traefik-Storage pruefen
Container Registries	Image Pulls von Docker Hub, GHCR, LSCR, Gitea Registry u. a.	mittel	Redeploy/Update blockiert	ueberwiegend oeffentlich; keine produktiven Registry-Tokens im Repo	Gepinnte Digests und lokale Runtime helfen kurzfristig; Updates geplant und einzeln deployen
Plex Konto	Plex native Auth, Claim und Client-Zugriff ueber plex.kaleschke.info	mittel	Plex-Web/App-Login und Clients koennen ausfallen; LAN-Medienpfade bleiben lokal	Plex-Konto ausserhalb Repo; PLEX_CLAIM nur fuer Setup	Plex Remote Access bleibt aus; externer Zugriff laeuft ueber Traefik/443. Konto-Recovery separat sichern
Mobile Push	ntfy und ggf. mobile Plattform-Pushes	niedrig/mittel	Alerts erreichen Mobilgeraete ggf. nicht	App-/Device-seitig	Kritische Alerts zusaetzlich in Grafana/Glance sichtbar halten
Operator-DR-Workstation	Bare-Metal-Recovery-Arbeitsplatz (Gaming-PC Windows, lokaler Repo-Clone G:\Gitea_Clone\homelab-infra)	kritisch	Ohne Workstation kein Borg-Extract, kein Hetzner-Zugriff, kein Repo-Bootstrap; der Unraid-Host ist im Bare-Metal-Fall gerade weg	Operator-PC, WSL2 + Borg-Client, SSH-Key fuer Hetzner Storage Box, Offline-Kopie der Borg-Passphrase	Setup als bewusste DR-Vorbedingung pflegen (siehe Abschnitt "DR-Workstation Bare-Metal-Kit")

Kritische Secrets ausserhalb des Repos

Authoritativ ist docs/SECRETS_MAP.md. Diese Liste markiert nur externe Abhaengigkeiten.

Secret	Zweck	Recovery-Hinweis
Borg Passphrase	Entschluesselung Borg-Repos	Offline gesichert, Operator-Bestaetigung 2026-05-26
Cloudflare DNS API Token	ACME DNS-Challenge	Token-Rotation und Scope pruefen
GitHub Mirror Token	Push-Mirror	In Gitea/GitHub verwaltet, nicht im Repo
Tailscale Account Recovery	Tailnet-Zugang	Account-2FA/Recovery Codes sichern
SMTP Passwort	Authelia Mail, Vaultwarden-Einladungen, Ops-Report-Mail	In Host-Secrets, Fallback pruefen
Domain-Registrar Recovery	Domain-Besitz und Zahlung	Account, 2FA und Zahlungsweg ausserhalb des Homelabs sichern
Hetzner Storage Box Zugang	Off-site Backup-Ziel	Account 2FA aktiv, Recovery Key offline gedruckt, Zahlungsweg ok; Maintenance-Key und Storage-Box-Passwort in Vaultwarden
OpenAI API Key	Paperless-GPT GPT-Zugriff	Als Stack ENV / Vaultwarden-Eintrag sichern; bei Verdacht auf Leak rotieren
KOMODO_* Stack-ENV-Notiz	Offline-Sicherung der 5 Komodo-Werte (KOMODO_SECRET_KEY, KOMODO_WEBHOOK_SECRET, KOMODO_JWT_SECRET, KOMODO_MONGO_PASSWORD, KOMODO_PERIPHERY_PASSKEY)	Status 2026-06-03: offline gesichert (Operator-Bestaetigung). Quelle der Werte ist die host-seitige Self-Stack-.env (/mnt/user/services/stacks/komodo/.env) bzw. die Drift-Recovery-Kopie unter /mnt/user/appdata/secrets/_komodo_stack_env_recovery_2026-05-04.env. Nicht im Repo, nicht in ntfy, nicht in Logs
GitHub-Mirror Read-Only Deploy-Key	DR-Read-Zugang zum privaten Mirror michaelkaleschke-spec/homelab-infra	Status 2026-06-03: offline gesichert (Operator-Bestaetigung). SSH-Deploy-Key dr-readonly-2026-06-03 (ed25519, Passphrase-frei), Title in GitHub Repo Settings -> Deploy Keys: DR Read-Only 2026-06-03, Write-Access bewusst deaktiviert. Private Key liegt offline neben der KOMODO_*-Notiz. Smoke git ls-remote am 2026-06-03 erfolgreich.

DR-Workstation Bare-Metal-Kit

Der Operator-Gaming-PC ist im Bare-Metal-Fall die einzige Stelle, von der aus Recovery starten kann. Folgende Bestandteile gehoeren zum minimalen DR-Kit auf diesem Rechner:

Bestandteil	Zweck	Pruefen
Repo-Clone G:\Gitea_Clone\homelab-infra (master, gefetcht)	Recovery-Anker fuer ops/komodo/docker-compose.yml, Restore-Skripte	git -C G:\Gitea_Clone\homelab-infra log --oneline -1 plausibel aktuell
Read-Zugang zum privaten GitHub-Mirror	Fallback, falls lokaler Clone defekt	SSH-Deploy-Key dr-readonly-2026-06-03 (ed25519, Passphrase-frei) offline im DR-Kit, ein Test-Clone pro Quartal mit GIT_SSH_COMMAND="ssh -i <pfad-zum-key> -o IdentitiesOnly=yes" git ls-remote git@github.com:michaelkaleschke-spec/homelab-infra.git
WSL2 mit Borg-Client (apt install borgbackup)	Borg-Extract von Hetzner Storage Box ohne laufenden Unraid-Host	borg --version antwortet; ein borg list gegen Hetzner-Repo laeuft
SSH-Key fuer Hetzner Storage Box	Login auf u565255.your-storagebox.de:23	Status 2026-06-03: ed25519-DR-Key dr-hetzner-2026-06-03 offline gesichert. Pubkey via install-ssh-key auf der Storage Box autorisiert, passwortloser Login erfolgreich, ls zeigt vier Borg-Repos (backup, backup2, hetzner_borg_appdata, hetzner_borg_appdata_critical). Private Key liegt offline neben KOMODO_*-Notiz und GitHub-Deploy-Key
Offline-Kopie Borg-Passphrase	Entschluesselung des Borg-Repos	Operator-Bestaetigung 2026-05-26; bei Reviews nur Auffindbarkeit pruefen
Offline-Kopie KOMODO_* Stack-ENV	Komodo-Bootstrap ohne Vaultwarden	Status 2026-06-03: offline gesichert (Operator-Bestaetigung)
Vaultwarden Master-Passwort offline	Zugriff auf Vaultwarden-Export im DR	Operator-Wissen, ggf. analog gesichert

Operative Regel: Die DR-Workstation wird nicht als Test-/Spiel-PC betrachtet. WSL und das DR-Kit duerfen nicht unbemerkt unbrauchbar werden. Quartalsweise minimaler Trockenlauf: borg list <hetzner-repo> muss antworten und der Repo-Clone muss fetchbar bleiben.

Ausfall-Szenarien

Hetzner Storage Box nicht erreichbar

• Lokales Borg-Repo und aktuelle Dumps pruefen.
• Keine destruktiven Host-Aenderungen starten, solange Off-site unklar ist.
• H:/ Nearline-Pull als schnelle lokale Zweitkopie fuer kritische Restore-Artefakte nutzen.
• Zweites Off-site-Ziel nur neu bewerten bei Hetzner-Problemen, stark wachsendem Datenwert oder geaenderter Betreiber-Praeferenz.

Cloudflare Account/DNS gestoert

• Bestehende Zertifikate laufen bis Ablauf weiter.
• Keine Domain-/ACME-Aenderungen moeglich.
• Tailscale/LAN-Zugang als Break-glass nutzen.

Tailscale gestoert

• Lokalen LAN-Zugang nutzen.
• Direkte Admin-Ports nur gemaess dokumentierten Ausnahmen verwenden.
• AdGuard-Admin-Bind muss so geplant werden, dass ein lokaler Break-glass-Weg bekannt ist.
• Seit 2026-05-26 ist AdGuard Admin nur ueber 100.80.98.33:8082 gebunden; bei Tailnet-Ausfall ist lokaler Host-/Compose-Zugriff der Break-glass-Weg.

Telekom-DSL / FRITZ!Box gestoert

• Lokale LAN-Apps (Plex, AdGuard-DNS, lokales Borg-Dump-Repository) bleiben verfuegbar, solange Host und Switch laufen.
• Tailscale-Sessions, die bereits stehen, koennen ueber DERP/Relays kurzzeitig weiterlaufen; neue Verbindungen koennen ausfallen.
• ACME-/DDNS-/Hetzner-Backup-Laeufe pausieren bis WAN zurueck ist.
• FRITZ!OS ist am 2026-06-01 auf 8.25 (154.08.25) beobachtet; weitere Updates nur in einem geplanten Service-Fenster einspielen, weil Reboot WAN/Tailscale-Aufbau unterbricht.

Domain verloren oder Registrar-Zugriff verloren

• Gitea/GitHub Mirror und lokale IP/Tailscale-Pfade fuer Recovery nutzen.
• Neue Domain waere separater Migrationsfall fuer Traefik, Authelia, App-URLs und Clients.

Review

Datum	Ergebnis	Naechste Aktion
2026-05-26 bis 2026-06-03	Baseline und Haertung abgeschlossen: externe Abhaengigkeiten dokumentiert; FRITZ!Box-WAN auf 443/tcp bereinigt, Remote-Dienste aus, Konfig-Backup in Vaultwarden; Hetzner-Account-Hygiene (2FA, Recovery Key offline); KOMODO_*-Notiz und GitHub-Read-Deploy-Key offline gesichert. Detailhistorie in Git.	Keine Folgeaktion
2026-06-03	Hetzner Storage Box DR-SSH-Key dr-hetzner-2026-06-03 (ed25519, Passphrase-frei) erzeugt, via install-ssh-key auf Storage Box u565255.your-storagebox.de:23 autorisiert, passwortloser Login erfolgreich (Borg-Repos sichtbar), Private-Key offline neben KOMODO_*-Notiz und GitHub-Deploy-Key abgelegt, Arbeitsplatz-Kopie geloescht. Bare-Metal-Borg-Restore von der DR-Workstation ist damit moeglich, sobald WSL2 + Borg-Client installiert sind.	Restliche P1-Operator-Aufgaben: WSL2 + Borg-Client auf DR-Workstation installieren, Nextcloud-Restore-Test
2026-06-06	DR-Workstation produktiv: WSL2 Ubuntu 24.04 vorhanden, SSH/Git und Borg 1.2.8 in WSL vorhanden, DR-Key-Arbeitskopien unter ~/.ssh/dr-readonly und ~/.ssh/dr-hetzner, GitHub-Read-Smoke und Hetzner-SSH-Smoke erfolgreich, ops/maintenance/dr-workstation-smoke.sh nach ~/dr-smoke.sh kopiert. Finaler Operator-Smoke erfolgreich: GitHub HEAD 3a263a4..., Hetzner Storage Box Repos sichtbar, Borg-Repo hetzner_borg_appdata_critical gelesen, Repository ID 5dd9b949..., encrypted Yes (repokey), DR-Smoke OK (2026-06-06 10:05:30).	Quartalsweise bash ~/dr-smoke.sh; Borg-Passphrase weiterhin nur interaktiv eingeben und nicht speichern