2 Commits

Author	SHA1	Message	Date
Debian	51ea1fc802	feat: Zonen als first-class Entity + Domain↔Backend-Verknüpfung sichtbar ... * Migration 0012: firewall_zones (id, name UNIQUE, description, builtin), Seed wan/lan/dmz/mgmt/cluster als builtin. CHECK-Constraints auf network_interfaces.role + firewall_rules.{src,dst}_zone + firewall_nat_rules.{in,out}_zone gedroppt — Validation lebt jetzt app-side (Handler prüft Existenz in firewall_zones). * Backend: firewall.ZonesRepo (CRUD + Exists + References-Lookup), /api/v1/firewall/zones, builtin geschützt (Name nicht änderbar, Delete blockiert), Rename eines Custom-Zone aktuell ohne Cascade (Handler-Sorge bei Rules/NAT/Networks). * Handler-Validation in CreateRule/UpdateRule/CreateNAT/UpdateNAT + NetworksHandler: Zone-Existence-Check pro Mutation, 400 bei Tippfehler. * Frontend: Firewall-Tab "Zonen" (CRUD mit builtin-Schutz). Networks- Form lädt Rollen aus /firewall/zones (statt hardcoded Liste); Rules- und NAT-Forms ziehen die Zone-Auswahl ebenfalls aus der API. * Domain-Form bekommt Primary-Backend-Picker (Field war im Modell, fehlte im UI). Backends-Tabelle zeigt umgekehrt welche Domains darauf zeigen — bidirektionale Sicht ohne Schemaänderung. * HAProxy-Renderer: safeID-FuncMap escaped Server-Namen mit Whitespace ("Control Master 1" → "Control_Master_1"). Vorher ist haproxy beim Reload an Spaces im Backend-Namen kaputt gegangen. * Version 1.0.3 → 1.0.6. Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>	2026-05-10 18:05:27 +02:00
Debian	914538eed1	feat(configgen): Phase 2 Config-Generator + nginx → HAProxy-only Pivot ... Architektur-Pivot: nginx fällt komplett weg. HAProxy 2.8+ übernimmt TLS-Termination, L7-Routing per Host-Header und LB. ACME-Webroot und Management-UI werden von edgeguard-api ausgeliefert (Phase 3 implementiert die zugehörigen Handler); HAProxy proxied /.well-known/acme-challenge/* und Management-FQDN-Traffic an 127.0.0.1:9443. Eine Distro-Abhängigkeit weniger, ein Renderer weniger, sauberere Trennung. Renderer (alle mit Embed-Templates + Tests): * internal/configgen/ — atomic write + systemctl reload helpers * internal/haproxy/ — :80 + :443, ACME-ACL, Host-Header-Routing, Stats-Frontend, api_backend Fallback * internal/firewall/ — default-deny input, stateful baseline, SSH-Rate-Limit, :80/:443 accept, Cluster-Peer-Set für mTLS :8443, Custom-Rules aus PG * internal/{squid,wireguard,unbound}/ — Stubs (ErrNotImplemented) Orchestrator + CLI: * internal/services/configorch/ — fester Reihenfolge-Run, Stubs sind soft-skip statt fatal * cmd/edgeguard-ctl render-config [--no-reload] [--only=svc1,svc2] Packaging: * postinst: /etc/edgeguard/nginx raus, /var/lib/edgeguard/acme rein, self-signed _default.pem via openssl req (damit HAProxy startet bevor certbot etwas issuet hat) * control: Depends nginx raus, openssl rein * edgeguard-ui: dependency auf nginx weg, "Served by edgeguard-api gin StaticFS" Live-Smoke: render-config gegen lokale PG schreibt /etc/edgeguard/ haproxy/haproxy.cfg + nftables.d/ruleset.nft korrekt; CRUD-Test aus Phase 2 läuft weiter unverändert. Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>	2026-05-09 10:59:52 +02:00