136 lines
6.3 KiB
Markdown
136 lines
6.3 KiB
Markdown
# Network Inventory - KalliLab CORE
|
|
|
|
Status: Host-Audit erfasst; Router-Baseline aus FRITZ!Box-UI ergaenzt; VLAN/IPv6-Details offen.
|
|
Letzte Pruefung: 2026-05-26
|
|
|
|
## Zweck
|
|
|
|
Dieses Dokument beschreibt Router, DNS, Tailscale, Portfreigaben und Netztrennung. Es ergaenzt das Architektur-Zielbild in `HOMELAB_ARCHITECTURE_MASTER_V2.md` um konkrete Hardware- und Betriebswerte.
|
|
|
|
## Internet und Router
|
|
|
|
| Feld | Wert |
|
|
|---|---|
|
|
| Anschluss / Provider | DSL, Telekom |
|
|
| Bandbreite (FRITZ!Box-UI) | ca. 87,3 Mbit/s Download, ca. 36 Mbit/s Upload |
|
|
| Router-Modell | FRITZ!Box 7590 |
|
|
| Firmware | FRITZ!OS 8.21 (Update gemeldet, nicht eingespielt) |
|
|
| Router-IP | 192.168.178.1 |
|
|
| DHCP-Server | FRITZ!Box (Standardannahme, Override durch Operator nicht dokumentiert) |
|
|
| Lokales Subnetz | 192.168.178.0/24 |
|
|
| IPv6 aktiv | TBD (FRITZ!Box-UI separat pruefen) |
|
|
| DynDNS / DDNS | Cloudflare via `ddns-updater` (kein FRITZ!Box-DynDNS in Nutzung) |
|
|
| Heimnetz-Geraete (FRITZ!Box-UI) | 36 aktive Geraete |
|
|
| LAN-Ports belegt | LAN 1-4 verbunden |
|
|
| Telefonie / DECT | aktiv |
|
|
| USB an FRITZ!Box | nicht verbunden |
|
|
| Ausfallschutz (FRITZ!Box) | nicht eingerichtet (Mobilfunk-Stick-Failover nicht aktiv) |
|
|
|
|
### Beobachtungen
|
|
|
|
- Telekom-DSL ist Single-WAN; ohne Ausfallschutz ist Internet-Ausfall = kein DDNS-Update, keine ACME-Erneuerung, keine externen Push-Quellen.
|
|
- Upload 36 Mbit/s ist die effektive Obergrenze fuer Off-site-Backup-Geschwindigkeit nach Hetzner und fuer Plex-Remote-Streaming.
|
|
- FRITZ!OS 8.21 hat ein angezeigtes Update; Einspielung ist Betreiber-Aufgabe und nicht Teil des Repos.
|
|
|
|
## DNS
|
|
|
|
| Komponente | Rolle | Adresse | Bemerkung |
|
|
|---|---|---|---|
|
|
| AdGuard Home | LAN DNS / Filter | Host `192.168.178.58`, Docker `172.23.0.3` | DNS auf Port 53; Admin soll nur via Tailscale-IP `100.80.98.33:8082` erreichbar sein |
|
|
| Unbound | Rekursiver Resolver | Docker `dns_net` | Upstream fuer AdGuard |
|
|
| Cloudflare | Authoritative DNS | extern | DNS-Challenge fuer TLS |
|
|
| Router | DHCP DNS-Verteilung | TBD | Muss auf AdGuard zeigen, falls so betrieben |
|
|
|
|
## Tailscale
|
|
|
|
| Feld | Wert |
|
|
|---|---|
|
|
| Node-Name | Kallilabcore |
|
|
| Tailscale IPv4 | 100.80.98.33 |
|
|
| Tailscale IPv6 | TBD |
|
|
| Exit Node | TBD |
|
|
| Subnet Router | TBD |
|
|
| ACL-Policy extern dokumentiert | TBD |
|
|
|
|
Pruefkommando:
|
|
|
|
```bash
|
|
tailscale status
|
|
tailscale ip -4
|
|
tailscale ip -6
|
|
```
|
|
|
|
## Portfreigaben und Exposure
|
|
|
|
### FRITZ!Box (WAN -> Host)
|
|
|
|
Die FRITZ!Box-UI meldet "Portfreigabe aktiv, 2 Portfreigaben eingerichtet". Die zwei aktiven Freigaben muessen mit den im Repo dokumentierten Public-Ports konsistent sein:
|
|
|
|
| Erwartete Freigabe | Ziel | Zweck | Konsistenz-Check |
|
|
|---|---|---|---|
|
|
| 443/tcp -> 192.168.178.58:443 | Traefik HTTPS | Public Apps via Traefik | Soll exakt diesen Eintrag in FRITZ!Box-UI haben |
|
|
| 222/tcp -> 192.168.178.58:222 | Gitea SSH | Git Push/Pull via SSH | Soll exakt diesen Eintrag in FRITZ!Box-UI haben |
|
|
|
|
**Wichtig:** Port 80/tcp ist im Cloudflare-DNS-Challenge-Modell **nicht** erforderlich; eine 80er-Freigabe waere ein unnoetiger Angriffsvektor. Wenn die FRITZ!Box-UI mehr oder andere Eintraege zeigt als die zwei oben, muss das im naechsten Operator-Review abgeglichen werden (siehe "Offene Entscheidungen").
|
|
|
|
### Host (lokal beobachtbar)
|
|
|
|
| Port | Ziel | Zweck | Bewertung |
|
|
|---:|---|---|---|
|
|
| 80/tcp | Traefik | HTTP->HTTPS / ACME | nur LAN, keine WAN-Freigabe noetig |
|
|
| 443/tcp | Traefik | HTTPS | WAN-Freigabe in FRITZ!Box erwartet |
|
|
| 222/tcp | Gitea SSH | Git SSH | WAN-Freigabe in FRITZ!Box erwartet, dokumentierte Ausnahme |
|
|
| 53/tcp+udp | AdGuard | DNS | LAN-only, dokumentierte Ausnahme |
|
|
| 8082/tcp | AdGuard Admin | Admin UI | Bind nur `100.80.98.33:8082` (Tailscale), nicht im LAN exponiert |
|
|
| 8181/tcp | InfluxDB 3 Core | LAN Writer fuer Home Assistant | LAN-only, Bind-IP pruefen |
|
|
|
|
Pruefkommando:
|
|
|
|
```bash
|
|
ss -ltnp | sort -k4
|
|
docker ps --format "{{.Names}}: {{.Ports}}" | sort
|
|
```
|
|
|
|
## Netztrennung
|
|
|
|
| Netz | Status | Bemerkung |
|
|
|---|---|---|
|
|
| LAN | 192.168.178.0/24 | Hauptnetz, Host `192.168.178.58`, FRITZ!Box meldet 36 aktive Geraete |
|
|
| WLAN 2,4 / 5 GHz | aktiv, SSID `Fritzi` | Standard-WLAN, im LAN-Adressbereich, kein eigener Adressraum |
|
|
| Gast-WLAN | **inaktiv** (FRITZ!Box-UI) | Solange inaktiv: kein Gast-Pfad zu LAN-Diensten; AdGuard-Admin-Trennung primaer ueber Tailscale-Bind statt Netzsegmentierung |
|
|
| IoT-Netz | nicht existent | Keine VLAN-Trennung dokumentiert |
|
|
| Tailscale | aktiv | Operator-Zugang, Host-IP `100.80.98.33` |
|
|
| VLANs | nicht in Nutzung | FRITZ!Box 7590 kann VLAN-Tagging an einzelnen LAN-Ports; aktuell nicht konfiguriert |
|
|
|
|
## Docker-Netze
|
|
|
|
Authoritativ ist `HOMELAB_ARCHITECTURE_MASTER_V2.md`. Dieses Inventar haelt nur den Laufzeit-Snapshot fest.
|
|
|
|
| Docker-Netz | Zweck | Erwartung |
|
|
|---|---|---|
|
|
| frontend_net | Traefik/Web | external bridge |
|
|
| backend_net | DB/Cache intern | internal bridge |
|
|
| dns_net | AdGuard/Unbound | bridge |
|
|
| monitoring_net | Observability | compose-intern |
|
|
| app-interne Netze | Stack-isoliert | nur wenn technisch noetig |
|
|
|
|
Pruefkommando:
|
|
|
|
```bash
|
|
docker network ls
|
|
docker network inspect frontend_net | jq '.[0].Containers | keys'
|
|
docker network inspect backend_net | jq '.[0].Internal'
|
|
```
|
|
|
|
## Offene Entscheidungen
|
|
|
|
| Thema | Status | Naechster Schritt |
|
|
|---|---|---|
|
|
| AdGuard Admin nur via Tailscale | live validiert 2026-05-26 | Compose bindet Admin-Port auf `100.80.98.33:8082`; DNS auf Port 53 funktioniert, LAN-Zugriff auf `192.168.178.58:8082` schlaegt fehl |
|
|
| FRITZ!Box-Portfreigaben mit Repo-Soll abgleichen | offen | UI -> Internet -> Freigaben pruefen; nur `443/tcp -> 192.168.178.58` und `222/tcp -> 192.168.178.58` sollten aktiv sein; andere Eintraege dokumentieren oder entfernen |
|
|
| FRITZ!OS 8.21 Update | gemeldet | Operator-Aufgabe; vor Update kurzes Service-Fenster planen, weil Reboot WAN/Tailscale-Aufbau unterbricht |
|
|
| Gast-/IoT-Zugriff auf Admin-Ports | aktuell entschaerft | Gast-WLAN ist inaktiv; bei Aktivierung muessen `192.168.178.58:8082`, `192.168.178.58:8181` und ggf. weitere LAN-Ports per FRITZ!Box-Kindersicherung/Netzwerk-Filter abgesichert werden |
|
|
| IPv6 Exposure | offen | Router und Traefik/Cloudflare pruefen; Telekom-DSL liefert in der Regel IPv6, FRITZ!Box-Standard-Verhalten klaeren |
|
|
| WAN-Ausfallschutz | bewusst nicht eingerichtet | Mobilfunk-Stick-Failover an FRITZ!Box ist nicht aktiv; Internet-Ausfall = ACME/DDNS pausieren, lokale Apps laufen weiter |
|
|
| Home Assistant InfluxDB Bind | offen | Effektive Listener-Adresse pruefen |
|