pve-cluster: Phase 4 als Rolle – Admin-Gruppe/-Konten, Healer-Token, Benachrichtigungen, Firewall mit IPSET management (Tasks 4.1–4.4)

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
2026-10-13 17:05:30 +02:00
parent 5c790cc8d4
commit 81602373fc
6 changed files with 309 additions and 0 deletions
@@ -31,3 +31,21 @@ containers:                   # Infrastruktur als LXC (ADR-0001), HA + ZFS-Repli
  infra: {node: pve44, vmid: 101, cores: 4, memory_mb: 8192, disk_gb: 60, storage: tank, ip: dhcp, ha: true, replicate_to: [pve52, pve48]}

 replication_schedule: "*/15"
+
+# Cluster-Grundkonfiguration (Phase 4, Rolle pve-cluster, Playbook playbooks/cluster.yml)
+access:
+  admin_group: admins          # Gruppe mit Administrator auf /; root@pam bleibt Notfallzugang
+  admin_users: [r.rapp]        # persönliche Konten <name>@pve; Passwort und TOTP per scripts/pve-admin-user.sh
+  mail_to: ki@mygodel.de       # Ziel der Proxmox-Benachrichtigungen (Backup, Fencing, Updates, Replikation)
+firewall:
+  enable: true
+  # IPSET management: nur diese Quellen (plus alle Knoten) erreichen 8006, 22, 5900-5999, 3128 und
+  # 60000-60050 der Knoten. Corosync zwischen den Knoten erlaubt Proxmox von selbst.
+  # Achtung: Laptop, ops und infra laufen noch per DHCP (D5). Wechselt eine Adresse, sperrt die
+  # Firewall diese Quelle aus. Rückweg: ssh über eine noch zugelassene Adresse (ops) oder Konsole.
+  management:
+    - {ip: 192.168.100.151, comment: Admin-Laptop (WLAN, DHCP)}
+    - {ip: 192.168.100.29, comment: appsrv08 (LiteLLM mit PSE, n8n-Bruecke)}
+    - {ip: 192.168.100.173, comment: ops CT 100 (Ansible, tofu; DHCP)}
+    - {ip: 192.168.100.188, comment: infra CT 101 (pve-exporter; DHCP)}
+  ping_from: 192.168.100.0/24