Micha/homelab-infra
1
0
Fork 0
Code Issues 1 Pull Requests 1 Actions Packages Projects Releases Wiki Activity
Files
4e34582008a14ef7a6171100728ab3c6e327859b
homelab-infra/docs/EXTERNAL_DEPENDENCIES.md
T

6.6 KiB
Raw Blame History

External Dependencies - KalliLab CORE

Status: Initiale Betreiber-Baseline 2026-05-26; konkrete Account-Recovery-Codes und Besitznachweise muessen ausserhalb des Repos bestaetigt werden.

Zweck

Dieses Dokument beschreibt externe Anbieter und Konten, von denen Betrieb, Recovery oder Zugriff abhaengen. Ziel ist, im Ausfallfall nicht erst suchen zu muessen, welcher Provider welches Teilproblem verursacht.

Abhaengigkeiten

Anbieter / System Zweck Kritikalitaet Recovery-Auswirkung Zugang / Besitz Notfallplan
Telekom DSL Internet-Uplink hoch Public Apps, ACME, DDNS, Hetzner-Off-site und Tailscale-Initial-Verbindung fallen aus Telekom-Kundenkonto Kein WAN-Failover am Standort eingerichtet (FRITZ!Box-Ausfallschutz inaktiv); lokale LAN-Dienste laufen weiter; Hotspot-Behelf nur fuer Operator-Arbeit, nicht fuer Public Apps
FRITZ!Box 7590 Router, DHCP, Telefonie, WAN hoch LAN ohne DHCP/Routing; auch lokale Inter-Subnet-Kommunikation kann brechen Operator-Login auf 192.168.178.1 FRITZ!Box-Konfig regelmaessig sichern (FRITZ!OS-Backup), Reset-Pin und Account-Pfad bereithalten
Domain-Registrar Besitz kaleschke.info hoch Ohne Domain brechen Public URLs/TLS-Erneuerung Operator-Konto ausserhalb Repo, konkreten Registrar im Account pruefen Registrar-Zugang, 2FA-Recovery und Zahlungsweg analog/off-system sichern
Cloudflare DNS Authoritative DNS, ACME DNS-Challenge, DDNS hoch Neue Zertifikate/DNS-Aenderungen blockiert Cloudflare-Konto; API-Token liegt als Host-Secret API-Token rotierbar halten, Account-Recovery und Zone-Besitz pruefen
Hetzner Storage Box Off-site Borg Backup kritisch Restore aus Off-site ggf. nicht moeglich Hetzner-Konto / Storage-Box-Zugang ausserhalb Repo Borg-Passphrase ist offline gesichert; Account-Hygiene und Borg --append-only als Haertung pruefen
GitHub Mirror Externer Repo-Mirror michaelkaleschke-spec/homelab-infra mittel/hoch Gitea-Verlust abfederbar, Repo-Bootstrap bleibt moeglich GitHub-Konto; PAT liegt in Gitea-Mirror-Settings, nicht im Repo Mirror-Status regelmaessig pruefen; lokalen Clone als zweite Kopie behalten
Tailscale Remote-/Operator-Zugang hoch Remote-Zugriff erschwert, lokale Bedienung bleibt Tailnet-Konto; Node Kallilabcore, IPv4 100.80.98.33 Break-glass per LAN und physischem Zugriff; Tailnet-Recovery-Codes sichern
GMX SMTP Authelia Notifier mittel Mail-Notifier faellt aus, Login selbst nicht zwingend GMX-Konto; SMTP-Secret liegt hostseitig ntfy/zweiter SMTP als Fallback pruefen
Let's Encrypt TLS-Zertifikate hoch Cert-Erneuerung faellt aus automatisch via Traefik und Cloudflare DNS-Challenge Cert-Expiry Alert einrichten; Cloudflare-Token und Traefik-Storage pruefen
Container Registries Image Pulls von Docker Hub, GHCR, LSCR, Gitea Registry u. a. mittel Redeploy/Update blockiert ueberwiegend oeffentlich; keine produktiven Registry-Tokens im Repo Gepinnte Digests und lokale Runtime helfen kurzfristig; Updates geplant und einzeln deployen
Plex Konto/Remote Access Plex native Auth, ggf. Remote Access und Claim mittel Plex-Clients/Remote-Funktionen koennen ausfallen Plex-Konto ausserhalb Repo; PLEX_CLAIM nur fuer Setup LAN-Medienpfade bleiben lokal; Konto-Recovery separat sichern
Mobile Push ntfy und ggf. mobile Plattform-Pushes niedrig/mittel Alerts erreichen Mobilgeraete ggf. nicht App-/Device-seitig Kritische Alerts zusaetzlich in Grafana/Glance sichtbar halten

Kritische Secrets ausserhalb des Repos

Authoritativ ist docs/SECRETS_MAP.md. Diese Liste markiert nur externe Abhaengigkeiten.

Secret Zweck Recovery-Hinweis
Borg Passphrase Entschluesselung Borg-Repos Offline gesichert, Operator-Bestaetigung 2026-05-26
Cloudflare DNS API Token ACME DNS-Challenge Token-Rotation und Scope pruefen
GitHub Mirror Token Push-Mirror In Gitea/GitHub verwaltet, nicht im Repo
Tailscale Account Recovery Tailnet-Zugang Account-2FA/Recovery Codes sichern
SMTP Passwort Authelia Mail In Host-Secret, Fallback pruefen
Domain-Registrar Recovery Domain-Besitz und Zahlung Account, 2FA und Zahlungsweg ausserhalb des Homelabs sichern
Hetzner Storage Box Zugang Off-site Backup-Ziel SSH-/Web-Zugang und Zahlungsweg extern sichern

Ausfall-Szenarien

Hetzner Storage Box nicht erreichbar

  • Lokales Borg-Repo und aktuelle Dumps pruefen.
  • Keine destruktiven Host-Aenderungen starten, solange Off-site unklar ist.
  • H:/ Nearline-Pull als schnelle lokale Zweitkopie fuer kritische Restore-Artefakte nutzen.
  • Zweites Off-site-Ziel nur neu bewerten bei Hetzner-Problemen, stark wachsendem Datenwert oder geaenderter Betreiber-Praeferenz.

Cloudflare Account/DNS gestoert

  • Bestehende Zertifikate laufen bis Ablauf weiter.
  • Keine Domain-/ACME-Aenderungen moeglich.
  • Tailscale/LAN-Zugang als Break-glass nutzen.

Tailscale gestoert

  • Lokalen LAN-Zugang nutzen.
  • Direkte Admin-Ports nur gemaess dokumentierten Ausnahmen verwenden.
  • AdGuard-Admin-Bind muss so geplant werden, dass ein lokaler Break-glass-Weg bekannt ist.
  • Seit 2026-05-26 ist AdGuard Admin nur ueber 100.80.98.33:8082 gebunden; bei Tailnet-Ausfall ist lokaler Host-/Compose-Zugriff der Break-glass-Weg.

Telekom-DSL / FRITZ!Box gestoert

  • Lokale LAN-Apps (Plex, AdGuard-DNS, lokales Borg-Dump-Repository) bleiben verfuegbar, solange Host und Switch laufen.
  • Tailscale-Sessions, die bereits stehen, koennen ueber DERP/Relays kurzzeitig weiterlaufen; neue Verbindungen koennen ausfallen.
  • ACME-/DDNS-/Hetzner-Backup-Laeufe pausieren bis WAN zurueck ist.
  • FRITZ!OS 8.21 Update wird bewusst nur in einem geplanten Service-Fenster eingespielt, weil Reboot WAN/Tailscale-Aufbau unterbricht.

Domain verloren oder Registrar-Zugriff verloren

  • Gitea/GitHub Mirror und lokale IP/Tailscale-Pfade fuer Recovery nutzen.
  • Neue Domain waere separater Migrationsfall fuer Traefik, Authelia, App-URLs und Clients.

Review

Datum Ergebnis Naechste Aktion
2026-05-26 Bekannte externe Abhaengigkeiten aus Repo-/Betriebsdoku dokumentiert; keine Secret-Werte aufgenommen. Borg-Passphrase ist laut Operator offline gesichert. Account-Besitz, 2FA-Recovery-Codes und Zahlungswege extern bestaetigen
2026-05-26 Telekom-DSL und FRITZ!Box 7590 (FRITZ!OS 8.21) als WAN-/Router-Abhaengigkeit aufgenommen; Ausfallschutz nicht eingerichtet FRITZ!OS-Update im Service-Fenster pruefen
2026-05-28 FRITZ!Box-Portfreigaben bereinigt: aktiv bleibt nur 443/tcp; 80/tcp entfernt, 222/tcp bewusst nicht angelegt; UPnP-Recht fuer VONETS-Bridge deaktiviert IPv6-Exposure bei naechstem WAN-/Router-Review pruefen
Reference in New Issue View Git Blame Copy Permalink