From 7ff657579098f37debbb5b960ca9e25af2340bf9 Mon Sep 17 00:00:00 2001 From: noroot Date: Sun, 30 Aug 2026 17:54:49 +0200 Subject: [PATCH] =?UTF-8?q?fix(net):=20martian-source=20Log-Spam=20auf=20V?= =?UTF-8?q?RRP-Backup-Node=20=E2=80=94=20v1.3.22?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit log_martians global aus (rp_filter-Drop bleibt aktiv): utm-2 sah als Backup dauerhaft Broadcast/Multicast für Gateway-Adressen, die es nicht besitzt, und flutete dmesg damit (>100k Zeilen/Woche). Security- Logging läuft ohnehin über nftables-NFLOG/ulogd2 + CrowdSec, nicht dmesg. Nebenbei: go.mod-Toolchain auf 1.26.6 (offene Stdlib-CVEs in 1.26.4, govulncheck-Gate schlug fehl) und Makefile-ui-Target braucht --include=dev für den npm-Fallback, sonst bricht der UI-Build bei gesetztem NODE_ENV=production ab. Co-Authored-By: Claude Sonnet 5 --- Makefile | 2 +- VERSION | 2 +- go.mod | 2 ++ packaging/debian/edgeguard-api/DEBIAN/postinst | 9 ++++++++- 4 files changed, 12 insertions(+), 3 deletions(-) diff --git a/Makefile b/Makefile index 718c199..732d273 100644 --- a/Makefile +++ b/Makefile @@ -104,7 +104,7 @@ ui: @echo " -> management-ui (vite build, version $(VERSION))" @cd management-ui && \ if [ -x "$$(command -v bun)" ]; then bun install --silent && bun run build; \ - else npm install --silent && npm run build; fi + else npm install --include=dev --silent && npm run build; fi deb-amd64: release-check build-linux-amd64 ui @./scripts/apt-repo/build-package.sh amd64 $(VERSION) diff --git a/VERSION b/VERSION index 4da23fd..6d82083 100644 --- a/VERSION +++ b/VERSION @@ -1 +1 @@ -1.3.21 \ No newline at end of file +1.3.22 \ No newline at end of file diff --git a/go.mod b/go.mod index d1951d8..fa8f88e 100644 --- a/go.mod +++ b/go.mod @@ -2,6 +2,8 @@ module git.netcell-it.de/projekte/edgeguard-native go 1.26.4 +toolchain go1.26.6 + require ( github.com/corazawaf/coraza/v3 v3.7.0 github.com/coreos/go-oidc/v3 v3.18.0 diff --git a/packaging/debian/edgeguard-api/DEBIAN/postinst b/packaging/debian/edgeguard-api/DEBIAN/postinst index 3f013ca..e273fca 100755 --- a/packaging/debian/edgeguard-api/DEBIAN/postinst +++ b/packaging/debian/edgeguard-api/DEBIAN/postinst @@ -357,7 +357,14 @@ net.core.default_qdisc = fq net.ipv4.tcp_syncookies = 1 net.ipv4.icmp_echo_ignore_broadcasts = 1 net.ipv4.icmp_ignore_bogus_error_responses = 1 -net.ipv4.conf.all.log_martians = 1 +# log_martians AUS (nicht der rp_filter-Drop selbst!): Ein VRRP-Backup-Node +# sieht auf geteilten L2-VLANs dauerhaft Broadcast/Multicast für Gateway-/ +# VIP-Adressen, die er im Backup-Zustand nicht besitzt — rp_filter=2 verwirft +# das korrekt, aber log_martians=1 flutet dmesg/journal damit (>100k Zeilen/ +# Woche beobachtet). Kernel-OR-Semantik: conf.all=1 überschreibt jeden +# Interface-spezifischen Wert, daher nur hier zentral abschaltbar. Security- +# Sichtbarkeit läuft ohnehin über nftables-NFLOG/ulogd2 + CrowdSec, nicht dmesg. +net.ipv4.conf.all.log_martians = 0 kernel.kptr_restrict = 2 kernel.dmesg_restrict = 1