ipv64net/node64 v1.7.2

Node64 1.7.2

on GitHub

Änderungen (Deutsch)

• Environment (Sicherheit): In einer über Environment geöffneten Sitzung lassen sich keine Zugangsdaten mehr anlegen oder ändern (API- und MCP-Keys, Passkeys, 2FA, SSO-Verknüpfung, Passwort) – sie galten danach ohne die Begrenzung der Sitzung; stehen auf der Ziel-Node noch Pflichten aus (neues Passwort, 2FA), geht es zur Anmeldeseite. Kennt die Ziel-Node die Adresse der öffnenden Node nicht (z. B. Zugriff über einen anderen Namen, hinzugefügte Nodes), muss die Anmeldung dort einmal bestätigt werden. Der Schalter „Environment → Anmeldung“ gilt auch auf der Ziel-Node. Widerrufene Zugangsschlüssel zählen nicht mehr bei jedem Seitenaufruf als Fehlversuch und bremsen keine anderen Schlüssel; der Status hinzugefügter Nodes wird kurz gemerkt statt bei jedem Aufruf neu abgefragt.
• Healthchecks: Gleicher Kanal auf mehreren verknüpften Nodes – die Meldung kann nicht mehr ganz ausbleiben, bevorzugt sendet eine erreichbare Node, die Zusammenfassung nach der Ruhezeit kommt nur einmal (Forum 5172). Entwarnung während einer Wartung, nachgeholtes „wird nicht geprüft“ und Erinnerung erst nach der Ausfallmeldung (mit dem Update der ipv64-Server).
• IPAM64-Import und eigene DNS64-Filterregeln: Dateien bzw. Regeln über 1 MB scheitern nicht mehr am allgemeinen Größenlimit (vorher 403 bzw. „invalid JSON“).
• PROXY64: Zugriffs-Log als Datei von Anfang an mit gekürzten Adressen; PROXY-Kopf von Cluster-Nodes hinter einem NAT liefert keine private Absenderadresse mehr (Zugriffslisten „nur Heimnetz“), kurze DNS-Fehler leeren die Liste der Node-Adressen nicht mehr (#138).
• Benutzerverwaltung: Rollen aus AD/LDAP-Gruppen werden stündlich und bei Passkey-Anmeldungen im Verzeichnis nachgeprüft (gelöscht, deaktiviert, keine Gruppe = Rolle weg). Ein abgelehnter LDAP- oder SSO-Login nimmt die Gruppen weg, und ohne frische Prüfung gelten sie höchstens 24 Stunden (LDAP) bzw. 7 Tage (SSO). Ändern sich Server, Dienstkonto oder TLS, muss das Bind-Passwort neu eingegeben werden. Ist das Verzeichnis nicht erreichbar, erscheint ein eigener Hinweis statt eines Fehlversuchs. Fehlgeschlagene Anmeldungen antworten gleich spät.
• IPAM64 (neu, Modul, Standard aus): IP-Adressverwaltung für IPv4 und IPv6 – Präfixe mit Hierarchie, Status, VLAN und Tags, feste Adressen und Adressbereiche, zusammengeführt mit DHCP und lokalem DNS von DNS64, Monitor64, Healthchecks, PROXY64 und der Nachbartabelle; Raster und Liste auf einer Seite (Blockübersicht für große Netze und IPv6), freie Blöcke, „Nächste freie Adresse“, begrenzter Netz-Scan, Abgleich im Cluster, API /api/ipam64. Feste Adressen bekommen auf Wunsch gleich einen lokalen DNS-Eintrag (A/AAAA, PTR) und eine DHCP-Reservierung in DNS64; Adressen im DHCP-Adressbereich werden dort automatisch ausgenommen. Ein Assistent übernimmt den Bestand aus DNS64; dynamische IPv6-Präfixe vom Provider werden beim Wechsel samt AAAA-Einträgen nachgezogen. „Scan & Konflikte“ zeigt doppelte Adressen, fremde Geräte, Leases gegen feste Adressen und unbekannte Geräte (mit Hersteller) und meldet neue Konflikte über die Benachrichtigungen. Dazu CSV-Import mit Vorschau, Prometheus (node64_ipam64_*) und MCP-Bereich IPAM64 (lesend). Grundlage ist ein Entwurf aus der Community (UlrichSchwarz).
• IPAM64: Fehler aus dem Code-Review behoben – u. a. Kind-Präfixe in DHCP-Netzen (Pool, Zone, freie Adressen), Prüfung vor dem Schreiben nach DNS64, „An DNS64 übergeben“ im ganzen Cluster, Abgleich ohne Hin und Her, Fund bei doppelter Vergabe im Cluster, IPv6-Präfixwechsel nur über die eigene Schnittstelle und am Stück, keine Fehlalarme beim Gerätetausch.
• DNS64: Feste Adressen, Ausnahmen im DHCP-Adressbereich und A/AAAA-Einträge aus IPAM64 sind gekennzeichnet und bei laufendem IPAM64 nur dort änderbar; neu sind Ausnahmen im DHCP-Adressbereich (Adressen, die der DHCP-Server nie vergibt).
• DNS64: Mullvad ist keine Upstream-Vorlage mehr (Mullvad hat sein öffentliches DNS eingestellt; eingeschaltet bleibt es als eigener Upstream, #162); Blocklisten mit IP-Adressen statt Domains bekommen einen Hinweis statt „0“ Einträge (#164).
• DNS64: Ein Router-Dienst auf demselben Host (radvd, odhcpd) wird schon vor dem ersten eigenen RA erkannt – nach einem Neustart verlieren die Geräte die IPv6-Default-Route nicht mehr; RS von „::“ werden beantwortet. Dazu: IPv4-Vergabe zählt für Gerätenamen auch neben IPv6-Nachbarn, hosts-Zeilen mit Tab in den eigenen Listen bleiben erhalten, eigene Regeln lesen hosts-Zeilen wie die Blocklisten, IP-Adressen zählen in Blocklisten nicht als Domain, nachträglich angehängte Docker-Netze gelten nicht als „von außen“, die Reserve-Node hält beim DHCP-Failover nicht mehr an.
• Monitor64: Funde aus dem Code-Review – Geheimnis neu verlangt beim Wechsel zu SNMP und bei neuer Host-Adresse (sonst ging es an das neue Ziel), Schutz gegen wiederholte SNMPv3-Traps wieder ohne Verfall; „Fingerabdruck übernehmen“ geht wieder, SMART-Dialog im Cluster, Quittierung im Cluster, fehlender Wert bei laufendem Dienst „unbekannt“ statt grün, UniFi-Erkennung, SNMP-Profile, mailcow, FRITZ!OS-Version nach Update, Hostnamen nach RFC 1123; Updates nach pkg upgrade bzw. per SSH nach etwa einer Minute aktuell (Agent 0.1.7, #159).
• Monitor64: Proxmox-Cluster – migrierte VMs und Container gelten nicht mehr als verschwunden; sie ziehen samt Einstellungen und Verlauf zum Host der neuen Node um bzw. werden weitergeführt, wenn die Node nicht eingetragen ist. Bei HA-Ressourcen gilt der Soll-Zustand aus der HA-Konfiguration (#165).
• DynDNS: IPv6 „nur Präfix“ und „Präfix + Interface-ID“ können das Präfix von einem bestimmten Interface nehmen statt von der von außen gesehenen IPv6, z. B. bei zwei Anschlüssen (#154).
• Benutzerverwaltung: „Nur lesen“ ändert mit der eigenen Zeitzone nicht mehr die Zeitzone der Node (die setzen nur Administratoren) und sieht bei Sync-Konflikten mit ipv64.net nur noch Name, Art, Zeit und Grund, nicht mehr beide Fassungen (darin stehen Check-Parameter und Einstellungen der Kanäle; API: local/server sind null).
• Benutzerverwaltung: Zwei gleichzeitige Änderungen (auch über den Cluster) können nicht mehr beide den letzten aktiven lokalen Administrator sperren, herabstufen oder löschen.
• Cluster: Ein Code der Authenticator-App gilt im Benutzer-Abgleich nur noch einmal im ganzen Cluster. Die Wahl der eigenen Benutzerversion, deren 2FA-Geheimnis sich auf der Node nicht entschlüsseln lässt, wird abgelehnt, statt die 2FA auf allen Nodes unbrauchbar zu machen.

Changes (English)

• Environment (security): a session opened via Environment can no longer create or change credentials (API and MCP keys, passkeys, 2FA, SSO link, password) – they used to apply without the limits of the session; if duties are open on the target node (new password, 2FA), you land on its sign-in page. If the target node does not know the address of the opening node (e.g. access through another name, added nodes), the sign-in must be confirmed there once. The "Environment → Sign-in" switch also applies on the target node. Revoked access keys no longer count as a failed attempt on every page view and no longer slow down other keys; the status of added nodes is kept briefly instead of being fetched on every view.
• Health checks: same channel on several linked nodes – the alert can no longer be lost entirely, a reachable node is preferred, the digest after quiet hours comes only once (forum 5172). Recovery during maintenance, "unchecked" sent afterwards and reminder only after the outage alert (with the update of the ipv64 servers).
• IPAM64 import and custom DNS64 filter rules: files and rules above 1 MB no longer fail at the general size limit (before 403 or "invalid JSON").
• PROXY64: access log file with shortened addresses from the start; PROXY headers from cluster nodes behind a NAT no longer supply a private source address ("home network only" access lists), short DNS errors no longer empty the list of node addresses (#138).
• User management: roles from AD/LDAP groups are rechecked in the directory every hour and on passkey sign-ins (deleted, disabled, no group = role gone). A refused LDAP or SSO sign-in removes the groups, and without a fresh check they count for at most 24 hours (LDAP) or 7 days (SSO). Changing server, service account or TLS requires the bind password again. An unreachable directory shows its own notice instead of counting as a failed attempt. Failed sign-ins answer equally late.
• IPAM64 (new, module, off by default): IP address management for IPv4 and IPv6 – prefixes with hierarchy, status, VLAN and tags, fixed addresses and ranges, merged with DHCP and local DNS of DNS64, Monitor64, Healthchecks, PROXY64 and the neighbour table; grid and list on one page (block overview for large networks and IPv6), free blocks, "next free address", limited network scan, cluster sync, API /api/ipam64. Fixed addresses can get a local DNS record (A/AAAA, PTR) and a DHCP reservation in DNS64 right away; addresses inside the DHCP range are excluded there automatically. A setup assistant takes over existing data from DNS64; dynamic IPv6 prefixes from the provider are moved along with their AAAA records when they change. "Scan & conflicts" shows duplicate addresses, foreign devices, leases versus fixed addresses and unknown devices (with vendor) and reports new conflicts via notifications. Plus CSV import with preview, Prometheus (node64_ipam64_*) and MCP area IPAM64 (read only). Based on a community draft (UlrichSchwarz).
• IPAM64: fixes from the code review – among others child prefixes in DHCP networks (pool, zone, free addresses), check before writing to DNS64, "hand over to DNS64" in the whole cluster, sync without back and forth, finding for double assignment in the cluster, IPv6 prefix change only via the own interface and all or nothing, no false alarms on device swaps.
• DNS64: fixed addresses, exclusions in the DHCP range and A/AAAA records from IPAM64 are labelled and, while IPAM64 runs, only changeable there; new exclusions in the DHCP range (addresses the DHCP server never assigns).
• DNS64: Mullvad is no longer an upstream preset (Mullvad shut down its public DNS; if switched on it stays as an own upstream, #162); blocklists with IP addresses instead of domains get a hint instead of "0" entries (#164).
• DNS64: a router service on the same host (radvd, odhcpd) is detected before the first own RA – after a restart devices no longer lose their IPv6 default route; RS from "::" are answered. Also: the IPv4 lease counts for device names next to IPv6 neighbours, hosts lines with a tab in the own lists are kept, custom rules read hosts lines like the blocklists, IP addresses no longer count as domains in blocklists, Docker networks attached later no longer count as "from outside", the reserve node no longer stalls during DHCP failover.
• Monitor64: code review findings – secret required again when switching to SNMP and for a new host address (it went to the new target before), protection against replayed SNMPv3 traps without expiry again; "accept fingerprint" works again, SMART dialog in a cluster, acknowledgements in a cluster, missing value of a running service "unknown" instead of green, UniFi detection, SNMP profiles, mailcow, FRITZ!OS version after an update, host names per RFC 1123; updates after pkg upgrade or via SSH current after about a minute (agent 0.1.7, #159).
• Monitor64: Proxmox cluster – migrated VMs and containers no longer count as vanished; they move with settings and history to the host of the new node, or keep being monitored if that node is not set up. For HA resources the target state comes from the HA configuration (#165).
• DynDNS: IPv6 "prefix only" and "prefix + interface ID" can take the prefix from a specific interface instead of the IPv6 seen from outside, e.g. with two uplinks (#154).
• User management: "Read only" no longer changes the node's time zone along with their own (only administrators set it), and for sync conflicts with ipv64.net sees only name, type, time and reason, no longer both versions (they contain check parameters and channel settings; API: local/server are null).
• User management: two simultaneous changes (also via the cluster) can no longer both disable, demote or delete the last active local administrator.
• Cluster: a code from the authenticator app is now valid only once in the whole cluster with user sync. Choosing the own user version whose 2FA secret cannot be decrypted on the node is refused instead of breaking 2FA on all nodes.

Cluster: Bitte erst alle Nodes auf 1.7.2 aktualisieren und danach Rollen bzw. Gruppen ändern – ältere Nodes kennen die neuen Felder des Benutzer-Abgleichs (Prüfzeitpunkt der AD/LDAP- und SSO-Gruppen, 2FA-Schritt) und von IPAM64 (freigegebene Adressen) noch nicht.

Cluster: Please update all nodes to 1.7.2 first and change roles or groups afterwards – older nodes do not know the new fields of the user sync (check time of AD/LDAP and SSO groups, 2FA step) and of IPAM64 (released addresses) yet.

Images: x64gmbh/node64:1.7.2 (Docker Hub) und ghcr.io/ipv64net/node64:1.7.2 – linux/amd64, arm64, arm/v7. Selbst-Update über ipv64.net/node64 (signiert). Monitor64-Agent 0.1.7 (aktualisiert sich automatisch, wenn am Host eingeschaltet). Vollständiger Changelog: CHANGELOG.md · CHANGELOG.en.md

Die Dateien sonar64-linux-* sind Sonar64 ohne Oberfläche (ghcr.io/ipv64net/sonar64:1.7.2, docs/SONAR64.md; install.sh prüft SHA256SUMS).