From ca5673aad53d7b23bd53fab4ba06b59588289563 Mon Sep 17 00:00:00 2001 From: spektr Date: Wed, 9 Sep 2026 17:27:19 +0200 Subject: [PATCH] =?UTF-8?q?GNAI-006:=20DNS=20Step=206=20ok=20(Wildcard-Dyn?= =?UTF-8?q?DNS=20+=20Redundanz-A-Record,=20Aufl=C3=B6sung=20verifiziert)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- docs/GNAI-006-SEC_VPN.md | 4 ++-- docs/GNAI-006-SEC_VPN_Implementation-Log.md | 2 +- 2 files changed, 3 insertions(+), 3 deletions(-) diff --git a/docs/GNAI-006-SEC_VPN.md b/docs/GNAI-006-SEC_VPN.md index d7a2061..2f1ec88 100644 --- a/docs/GNAI-006-SEC_VPN.md +++ b/docs/GNAI-006-SEC_VPN.md @@ -198,7 +198,7 @@ Eintrag anlegen: `vpn` → Typ **A – IPv4** → Ziel **WAN-IP** (`93.208.161.1 > ⚠️ **WAN-IP-Check offen:** Falls die WAN-IP dynamisch ist (Fritzbox-Übersicht → „statische IP“ prüfen), veraltet der A-Record bei IP-Wechsel → DynDNS nötig. Bestehende Subdomains laufen bereits auf `93.208.161.126`. -**Status: offen (User) – A-Record anlegen + Statisch-Check** +**Status: ✅ erledigt (2026-09-09).** Verifikation: `vpn.ghostnet.selfhost.eu` → `93.208.161.126` (getent + nslookup, 17:22). Hinweis: expliziter A-Record war **nicht nötig** – eine bestehende **Wildcard-DynDNS-Zuordnung** `*.ghostnet.selfhost.eu` → WAN-IP lag bereits vor (exakter Eintrag schlägt vor Wildcard; gleicher Wert → harmlos, redundanter Eintrag kann optional entfernt werden). DynDNS vorhanden → Statisch-Check entfällt. ### 7. Peers erzeugen ✅ @@ -258,7 +258,7 @@ Deaktiviere WLAN auf beiden Testgeräten (reiner 4G/5G-Pfad), VPN aktivieren: | 3 | SSH-Härtung / admin-User | ✅ | | 4 | wg-easy Quadlet + wg0 | ✅ | | 5 | Fritzbox Portforward UDP 51820 | ✅ User (2026-09-09; E2E-Check offen) | -| 6 | A-Record `vpn.ghostnet.selfhost.eu` beim Domain-DNS-Anbieter | ⏳ User | +| 6 | DNS `vpn.ghostnet.selfhost.eu` (via Wildcard-DynDNS + Redundanz-A-Record) | ✅ User (2026-09-09, Auflösung verifiziert) | | 7 | Peers Laptop-FullAdmin / Android-LLMAdmin | ✅ | | 8 | Split-Tunnel-Konfig (`WG_ALLOWED_IPS`) | ✅ (End-to-End-Verifikation ⏳ mit Step 9) | | 9 | Penetrationstest Mobilfunk | ⏳ | diff --git a/docs/GNAI-006-SEC_VPN_Implementation-Log.md b/docs/GNAI-006-SEC_VPN_Implementation-Log.md index 77fd3bc..0fd5475 100644 --- a/docs/GNAI-006-SEC_VPN_Implementation-Log.md +++ b/docs/GNAI-006-SEC_VPN_Implementation-Log.md @@ -118,7 +118,7 @@ Client-UUIDs (LXC): `Laptop-FullAdmin` = `2e9ed910-36dc-4fbd-8694-8d904670ea19`, | # | Punkt | Typ | Blockiert durch | | --- | --- | --- | --- | | O1 | Fritzbox 7530: Portforward **UDP 51820 → 10.0.0.15** | ✅ erledigt (2026-09-09) | E2E-Check mit O4/O5 | -| O2 | **A-Record** `vpn` → WAN-IP `93.208.161.126` beim **Domain-DNS-Anbieter** anlegen (Korrektur: **nicht** NPM – der ist nur HTTP-Proxy; **nicht** selfhost.eu-Portal – das verwaltet keine DNS-Zone) + Statisch-Check der WAN-IP | 👤 User | – | +| O2 | DNS für `vpn.ghostnet.selfhost.eu` (Korrektur: **nicht** NPM/selfhost.eu-Portal, sondern Domain-DNS-Anbieter) | ✅ erledigt (2026-09-09): Auflösung `93.208.161.126` verifiziert; bestehende **Wildcard-DynDNS** `*.ghostnet.selfhost.eu` war bereits ausreichend, expliziter A-Record redundant; DynDNS vorhanden → Statisch-Check entfällt | – | | O3 | Client-Profile herunterladen (Laptop + Android), `AllowedIPs` (aus `WG_ALLOWED_IPS`) + `Endpoint vpn.ghostnet.selfhost.eu:51820` prüfen | Agent + User | O1, O2 | | O4 | Split-Tunnel-Routing end-zu-end verifizieren (Step 8 SOP; Konfig steht, s. 3.3) | Agent + User | O3 | | O5 | Penetrationstest Mobilfunk (Testmatrix Sektion 4 SOP) | gemeinsam | O1, O2, O3 |