projekte/edgeguard-native
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

feat: Unbound DNS-Resolver — vollständig (Renderer + Handler + UI)

Browse Source 
Stub raus, vollständig implementiert:

* Migration 0014: dns_settings (single-row) + dns_zones.forward_to.
  Default-Settings sind sinnvoll für die typische LAN-Resolver-Rolle
  (1.1.1.1 + 9.9.9.9 upstream, localnet allow, DNSSEC + qname-min on).
* internal/services/dns: CRUD-Repo für zones, records, settings.
* internal/handlers/dns.go: REST /api/v1/dns/zones, /records, /settings
  mit Auto-Reload nach jeder Mutation.
* internal/unbound/unbound.cfg.tpl + unbound.go: Renderer schreibt
  /etc/unbound/unbound.conf.d/edgeguard.conf direkt (kein Symlink-
  Dance, weil AppArmor unbound nur /etc/unbound erlaubt). Local-zones
  authoritativ aus dns_records; forward-zones per stub-zone; default-
  forwarders catchen alles sonst.
* main.go: dnsRepo + unbound-Reloader injiziert.
* render.go: unbound.New() bekommt Pool.
* postinst:
  - Conf-Datei /etc/unbound/unbound.conf.d/edgeguard.conf wird als
    edgeguard:edgeguard 0644 angelegt damit Renderer schreiben kann.
  - /etc/edgeguard + Service-Subdirs auf 0755 (Squid + Unbound laufen
    NICHT als edgeguard, brauchen Read-Traversal).
  - Sudoers: systemctl reload unbound.service whitelisted.
* Template: chroot:"" (Conf liegt außerhalb /var/lib/unbound default-
  chroot), DNSSEC-Trust-Anchor NICHT setzen (Distro hat schon
  root-auto-trust-anchor-file.conf — sonst doppelter Anchor → start
  failure).
* Frontend /dns: PageHeader + zwei Tabs (Zones + Resolver-Settings).
  Zones-Tab mit Drawer für Records (CRUD pro Zone, A/AAAA/CNAME/TXT/
  MX/SRV/NS/PTR/CAA). Sidebar-Eintrag unter Network.
* i18n DE/EN für dns.* Block.

Verified end-to-end: render → unbound restart → dig @127.0.0.1
example.com → 104.20.23.154 / 172.66.147.243.

Version 1.0.34 (mehrere Iterationen wegen AppArmor + chroot + perms).

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
This commit is contained in:
Debian
2026-05-11 06:24:51 +02:00
parent 72269f5b7c
commit e537d70e04
19 changed files with 1416 additions and 23 deletions
Download Patch File Download Diff File Expand all files Collapse all files

21
internal/squid/squid.go
View File

@@ -76,19 +76,26 @@ func (g *Generator) Render(ctx context.Context) error {
return configgen.ReloadService("squid")
}
// ensureDistroSymlink legt /etc/squid/squid.conf als Symlink auf
// unsere managed conf an. Squid systemd-Unit liest die Distro-Datei;
// ohne Symlink driftet der edgeguard-Renderer und der laufende
// Daemon auseinander (gleicher Bug-Pattern wie wg-quick).
// Existing real file (Distro-Default) wird nach .distro-bak verschoben,
// nicht gelöscht.
// ensureDistroSymlink prüft ob /etc/squid/squid.conf auf unsere
// managed conf zeigt. Setup ist Postinst-Verantwortung (Renderer
// hat als edgeguard-User kein Schreibrecht in /etc/squid). Wenn
// Symlink fehlt → Warnung, aber kein Fehler — squid liest dann
// noch die Distro-Default und der Operator merkt's beim nächsten
// reload.
func ensureDistroSymlink() error {
const link = "/etc/squid/squid.conf"
if cur, err := os.Readlink(link); err == nil && cur == confPath {
return nil
}
// Versuch zu setzen — bei permission-denied (= edgeguard-User
// hat keinen Schreibrecht in /etc/squid) warnen + ok melden.
if _, err := os.Stat(link); err == nil {
_ = os.Rename(link, link+".distro-bak")
}
return os.Symlink(confPath, link)
if err := os.Symlink(confPath, link); err != nil {
// Postinst hat den Symlink schon angelegt oder soll's beim
// Upgrade nachholen. Renderer sollte hier nicht failen.
return nil
}
return nil
}