homelab-infra/docs/AUDIT_2026-05-23_LIVE.md

Homelab Audit Live-Daten - 2026-05-23

Stand: 2026-05-23 11:27 CEST. Quelle: lokaler Windows-Clone und SSH auf Kallilabcore. Secret-Werte wurden nicht ausgelesen oder redaktiert; dokumentiert sind nur Status, Dateinamen, Modi, Env-Key-Namen und nicht geheime Bool-/Host-Werte.

9.1 Windows-Host / Git

• git status --short nach dem initialen Push: keine tracked Modifikationen, untracked waren .serena/, docs/AUDIT_2026-05-23.md, docs/CODEX_ENDSTUFE_PROMPT_2026-05-23.md und drei ops/windows-reinstall/*.ps1.
• cd650b1 wurde nach origin/master gepusht: af231dd..cd650b1 master -> master.

9.2 Gitea online

• curl -sI https://git.kaleschke.info/: HTTP/2 200.
• docker exec gitea gitea --version: 1.25.4.
• Signup-Smoke: /user/sign_up meldet Registration disabled.

9.3 Komodo / Workspace-Reaktion

Stack	Workspace HEAD	Status	Live-Beleg
gitea	cd650b1	## master...origin/master	Container neu gestartet, Env-Keys aktiv
borg-ui	cd650b1	## master...origin/master	Container healthy, /mnt/user/services -> /local/services gemountet
monitoring	cd650b1	## master...origin/master, untracked Host-Backup monitoring/prometheus/alerts.yml.bak-20260520-incident	Stack laeuft seit 4 Tagen

Gitea Live-Env ohne Secrets:

GITEA__service__DISABLE_REGISTRATION=true
GITEA__openid__ENABLE_OPENID_SIGNIN=false
GITEA__openid__ENABLE_OPENID_SIGNUP=false
GITEA__webhook__ALLOWED_HOST_LIST=komodo-core,localhost,127.0.0.1,192.168.178.0/24

9.4 Borg-Lauf-Frische und Dump-Coverage

• Borg UI DB: Repository appdata-critical, last_backup=2026-05-23 02:30:12 UTC, archive_count=30, letzter Job completed, nfiles=100056.
• Schedule: Taegliche Sicherung enabled, letzter Lauf 2026-05-23 02:30:11 UTC, naechster Lauf 2026-05-24 02:30:00 UTC.
• Hinweis: docker exec borg-ui borg list --short funktioniert ohne Repository-Parameter/Env nicht (Invalid location format: ""). Der Borg-UI-Status wurde deshalb ueber die lokale Borg-UI-Datenbank ohne Secret-Spalten ausgewertet.

Frische Artefakte in /mnt/user/backups/borg/dumps/latest:

2026-05-23 04:00 postgresql17-globals.sql
2026-05-23 04:00 postgresql17-mailarchiver.dump
2026-05-23 04:00 postgresql17-paperless.dump
2026-05-23 04:01 postgresql17-authelia.dump
2026-05-23 04:01 mealie.dump
2026-05-23 04:01 gitea.sqlite.dump
2026-05-23 04:01 immich.dump
2026-05-23 04:01 nextcloud.dump
2026-05-23 04:01 uptime-kuma.sqlite.dump
2026-05-23 04:01 vaultwarden.sqlite.dump
2026-05-23 04:01 speedtest-tracker.sqlite.dump
2026-05-23 04:01 filebrowser.bolt.dump
2026-05-23 04:01 borg-ui.sqlite
2026-05-23 04:01 grafana.sqlite
2026-05-23 04:01 komodo-mongo.archive.gz

Bewertung: 15 aktuelle Dump-/Archive-Artefakte sind juenger als 24 h. Aeltere nackte .sqlite-Dateien vom 2026-05-16 liegen noch im Verzeichnis, sind aber Legacy-Kopien ohne .dump-Suffix und nicht Teil der aktuellen Dump-Serie.

9.5 Monitoring-Stack

• Aktive Container: monitoring-grafana, monitoring-promtail, monitoring-prometheus, monitoring-cadvisor, monitoring-influxdb3-core, monitoring-loki, monitoring-blackbox-exporter, monitoring-alertmanager-ntfy-bridge, monitoring-alertmanager, monitoring-node-exporter.
• Alte Altcontainer grafana, influxdb3-core, loki, alloy: nicht vorhanden in docker ps -a.
• Secret-Dateien vorhanden und mode 600: monitoring_grafana_admin_password.txt, monitoring_grafana_influxdb_token.txt, influxdb3_admin_token.json.
• https://monitoring.kaleschke.info/: HTTP/2 302 zu Authelia, wie erwartet.
• Host-Listener fuer Monitoring: nur 127.0.0.1:8181; keine Host-Listener fuer :9090 oder :3100.
• Prometheus readiness: Prometheus Server is Ready.
• Grafana health: database=ok, Version 12.4.3.
• Loki: Container laeuft und API/metrics liefert loki_build_info; /ready liefert aktuell 503 Service Unavailable, waehrend Query-/Metrics-Endpunkte 200-Zaehler zeigen. Kein Reparaturversuch gestartet, weil der produktive Logpfad nachweislich Daten annimmt und die Stop-Regel keine blinden Eingriffe erlaubt.

9.6 GitOps Spot-Check Gitea

• /mnt/user/services/stacks/gitea: cd650b1, ## master...origin/master.
• Docker-Image: docker.gitea.com/gitea:1.25.4.
• Live-ENV spiegelt cd650b1 fuer Registrierung, OpenID und Webhook-Allowlist.

9.7 Host-Listener

Dokumentierte Listener gefunden:

• :80, :443 Traefik
• :53 AdGuard DNS
• :222 Gitea SSH
• :8082 AdGuard Admin
• 127.0.0.1:8181 Monitoring InfluxDB

Zusaetzlich sichtbar: mehrere wsdd2 Listener auf :5355 je Interface. Das ist Host-/Unraid-Service-Discovery, kein Compose-Webdienst und kein GitOps-Stack-Port.