ipv64net/node64 v1.7.3

Node64 1.7.3

on GitHub

Änderungen (Deutsch)

• DNS64: Schutz vor DNS-Rebinding (Standard an; zeigt die eigene Domain öffentlich auf Geräte im Heimnetz, in den Einstellungen als Ausnahme eintragen); neue Heimnetz-CAs gelten nur für lokale und eigene Namen, eine vorhandene CA lässt sich per Knopf durch eine beschränkte ersetzen.
• DNS64 (Sicherheit): Im Docker-Bridge-Netz werden Anfragen über das Docker-Gateway abgewiesen (Herkunft unbekannt); Hinweis auf den Seiten, network_mode: host empfohlen, Gateway bei Bedarf als Client-Netz eintragbar.
• Honeypot64 (Sicherheit): Im Docker-Bridge-Netz gilt die Gateway-Adresse nicht mehr als lokal – Info-Seite und /metrics brauchen von dort das Token, Syslog nimmt sie nur einzeln eingetragen an.
• PROXY64 1.56.4 (Sicherheit): Über CDN64 mit HTTP/3 durchgereichte Verbindungen gelten nur noch für ihren Namen (wie über TCP); Verbindungen ohne SNI halten die TLS-Vorgaben des Proxy-Hosts ein.
• PROXY64 1.56.5: HTTP/3 über CDN64 (Modus 1) bricht bei manchen Clients nicht mehr nach etwa 10 Sekunden ab; Streams über CDN64 leiten UDP nicht mehr zu bekannten Verstärker-Diensten (z. B. DNS, NTP).
• PROXY64 1.56.6 (Sicherheit): Anfragen über das Docker-Gateway (Bridge-Netz) gelten nicht mehr als Heimnetz – Zugriffslisten mit privaten Netzen, „nur eigenes Netz“ und die Heimnetz-Ausnahme der Limits greifen für sie nicht; ein Hinweis empfiehlt network_mode: host.
• CDN64-Server (mit deren Update): Der Portmapper in Modus 3 leitet UDP nicht mehr zu bekannten Verstärker-Diensten weiter (z. B. DNS, NTP, memcached); strengere Grenzen für UDP-Antworten, durchgereichtes HTTP/3 und Anmeldungen am Tunnel-Port; der Cache trennt HTTP und HTTPS.
• Honeypot64 (Sicherheit): Gefälschte Absender führen nicht mehr zu Sperren; Syslog nimmt standardmäßig nur noch private Netze an (nicht mehr 100.64.0.0/10); der Firewall-Helfer sperrt nie das eigene IPv6-/64 und lässt bestehende Verbindungen weiterlaufen.
• Sicherheit: „Nur lesen“ sieht den Code zur ipv64.net-Verknüpfung nicht mehr (Seite und API); das Selbst-Update nimmt im Kanal „Stabil“ nur noch Manifeste dieses Kanals an.
• Monitor64-Agent 0.1.8 (Sicherheit): Ein auf Adressen beschränkter Schlüssel (from=) behält seine Einschränkung beim Schlüsselwechsel – wer from= mit Cluster-Schlüsseln nutzt, trägt die Adressen der anderen Nodes ein. Die Installation prüft die Agent-Datei vor dem Start: Der Befehl im Assistenten nennt die Prüfsumme der Prüfsummen-Datei, ohne sie prüft install.sh deren neue Signatur (OpenSSL ab 3.0). Stille Verbindungen aus fremden Netzen blockieren die Erstanmeldung einer Node nicht mehr.
• Healthchecks: Die Meldung „private oder reservierte Adresse“ nennt die aufgelöste IP nicht mehr; strengere Prüfung der Node-Daten auf den ipv64-Servern (mit deren Update).
• DNS64 (Sicherheit): Namen aus Docker-Labels nur noch mit lokaler Endung, in lokalen Zonen oder unter freigegebenen Endungen (neue Einstellung „Weitere Endungen“ – eigene Domain dort eintragen); CSV-Export eigener Einträge mit Formelschutz; unverschlüsselte Upstreams nehmen nur noch passende Antworten an; Blocklisten zusammen höchstens 4 Millionen Regeln.

Changes (English)

• DNS64: DNS rebinding protection (on by default; if your own domain points to devices in your home network publicly, add it as an exception in the settings); new home network CAs only cover local and own names, an existing CA can be replaced by a restricted one with a button.
• DNS64 (security): in the Docker bridge network, queries through the Docker gateway are refused (unknown origin); hint on the pages, network_mode: host recommended, the gateway can be added as a client network if needed.
• Honeypot64 (security): in a Docker bridge network the gateway address no longer counts as local – the info page and /metrics need the token from there, syslog accepts it only if listed on its own.
• PROXY64 1.56.4 (security): connections passed through via CDN64 over HTTP/3 only apply to their own name (as over TCP); connections without SNI meet the TLS rules of the proxy host.
• PROXY64 1.56.5: HTTP/3 via CDN64 (mode 1) no longer drops after about 10 seconds with some clients; streams via CDN64 no longer forward UDP to known amplifier services (e.g. DNS, NTP).
• PROXY64 1.56.6 (security): requests via the Docker gateway (bridge network) no longer count as home network – access lists with private networks, "own network only" and the home network exemption of the limits do not apply to them; a hint recommends network_mode: host.
• CDN64 servers (with their update): the port mapper in mode 3 no longer forwards UDP to known amplifier services (e.g. DNS, NTP, memcached); stricter limits for UDP answers, passed-through HTTP/3 and logins on the tunnel port; the cache keeps HTTP and HTTPS apart.
• Honeypot64 (security): forged senders no longer lead to blocks; syslog accepts only private networks by default (no longer 100.64.0.0/10); the firewall helper never blocks its own IPv6 /64 and keeps existing connections.
• Security: "Read only" no longer sees the code for linking to ipv64.net (page and API); the self-update accepts only manifests of the "Stable" channel in that channel.
• Monitor64 agent 0.1.8 (security): a key restricted to addresses (from=) keeps its restriction on a key change – if you use from= with cluster keys, add the addresses of the other nodes. The installation checks the agent file before starting it: the command in the assistant names the checksum of the checksum file; without it, install.sh checks its new signature (OpenSSL 3.0 or newer). Silent connections from foreign networks no longer block the first sign-in of a node.
• Health checks: the message "private or reserved address" no longer names the resolved IP; stricter checks of node data on the ipv64 servers (with their update).
• DNS64 (security): names from Docker labels only with a local suffix, in local zones or under allowed suffixes (new setting "More suffixes" – add your own domain there); CSV export of own records protected against formulas; unencrypted upstreams only accept matching answers; blocklists together at most 4 million rules.

Bitte vor dem Update lesen / Please read before updating

• DNS64, Docker-Labels: Namen aus node64.dns.name gelten nur noch mit lokaler Endung, in lokalen Zonen oder unter freigegebenen Endungen. Eigene öffentliche Domains unter DNS64 → Einstellungen → „Weitere Endungen“ eintragen, sonst verschwinden diese Einträge. / Names from Docker labels only work with a local suffix, in local zones or under allowed suffixes – add your own domain under DNS64 → Settings → "More suffixes".
• DNS64, Rebinding-Schutz (Standard an): Zeigt eine öffentliche Domain auf eine Adresse im Heimnetz, in den Einstellungen als Ausnahme eintragen. / Rebinding protection is on by default – add public names pointing into your LAN as exceptions.
• Docker-Bridge-Netz: Anfragen über das Docker-Gateway (z. B. 172.17.0.1) gelten nicht mehr als Heimnetz (DNS64, Honeypot64). Empfohlen: network_mode: host. / In the Docker bridge network, requests via the Docker gateway no longer count as home network – network_mode: host is recommended.
• Monitor64-Agent 0.1.8: Wer from= in der Schlüsseldatei zusammen mit Cluster-Schlüsseln nutzt, trägt die Adressen der anderen Nodes ein. / If you use from= with cluster keys, add the addresses of the other nodes.

Images: x64gmbh/node64:1.7.3 (Docker Hub) und ghcr.io/ipv64net/node64:1.7.3 – linux/amd64, arm64, arm/v7. Selbst-Update über ipv64.net/node64 (signiert). Monitor64-Agent 0.1.8 (aktualisiert sich automatisch, wenn am Host eingeschaltet). Vollständiger Changelog: CHANGELOG.md · CHANGELOG.en.md

Die Dateien sonar64-linux-* sind Sonar64 ohne Oberfläche (ghcr.io/ipv64net/sonar64:1.7.3, docs/SONAR64.md; install.sh prüft SHA256SUMS).