Caddy

Proxmox Datacenter Manager 1.1 kann dem automatischen Installer von Proxmox Antwortdateien ausliefern, und damit ist er der naheliegende Installationsserver für einen MSP, der viele Kundenstandorte betreut. Der Anwendungsfall ist ein Kunde, der jeden Standort mit eigenem Namensschema, eigenem Root-Passwort und eigenen SSH-Schlüsseln aufgebaut haben wollte, indem man einen Server ins richtige VLAN steckt und bootet, ohne Seriennummern zu sammeln und ohne Antwortdatei pro Maschine; dieser Beitrag behandelt diese Hälfte, das Booten und Installieren, und lässt den Beitritt zum Cluster außen vor. Er kann eine Antwort nicht dem Standort zuordnen, und er kann einem Node kein First-Boot-Skript mitgeben, und beides wird aus dem eigenen Quellcode von PDM belegt. Das hier baut trotzdem einen einzigen PXE-Bestand für jeden Standort: ein Boot-Image mit einem nicht geheimen Catch-Token, DNS-TXT-Discovery, damit das Image keine URL enthält, und einen Caddy-Proxy, der das Catch-Token anhand des Quell-Subnetzes gegen das eigene Bearer-Token des Standorts tauscht. Es behandelt, wie PDM eine Antwort auswählt, prepare-iso für iPXE, die DNS-Einträge, dnsmasq und die iPXE-Schleife, einen gehärteten Caddy, der die ganze PDM-Oberfläche auf 443 ausliefert, während nftables 8443 geschlossen hält, das Protokollieren des verwendeten Tokens nur mit Namen, den Post-Installation-Webhook, das Hinzufügen von Proxmox Backup Server und die Kompromisse, die bleiben.

step-ca 0.30.2 stellt Client-Zertifikate für Mutual TLS aus, durchgehend getestet mit nginx 1.30.5 und Caddy 2.11.7. Warum Telefone der schwierige Fall sind, die Anhebung der 24-Stunden-Grenze für Zertifikate in ca.json, das Einschalten der CRL, warum sie mit „different CRL scope“ scheitert, bis idpURL und eine Vorlage einen passenden Verteilungspunkt eintragen, die Root-CRL, die nginx für die ganze Kette braucht, das Veröffentlichen der CRLs über einfaches HTTP auf IPv4 und IPv6, der Refresh-Job, der verhindert, dass eine abgelaufene CRL alle aussperrt, und das Ausstellen, Verpacken, Installieren und Widerrufen des Zertifikats eines Telefons.

Die Home-Assistant-App mit nginx oder Caddy zu Hause an ein Client-Zertifikat binden, mit step-ca als Zertifizierungsstelle statt Cloudflare. Was sich ändert, wenn Cloudflare aus dem Weg ist, eine nginx- und eine Caddy-Konfiguration, jede getestet ohne Zertifikat, mit einem guten, einem widerrufenen und einem WebSocket-Upgrade über IPv4 und IPv6, warum nginx eine CRL prüfen kann und Caddy nur eine Erlaubnisliste führen kann, die Trusted-Proxy-Einstellungen von Home Assistant, was auf dem Telefon installiert sein muss und wo es an seine Grenzen kommt.

Smallsteps step-ca 0.30.2 in einem Podman- oder Docker-Container als Zertifizierungsstelle für alles im Haus, alles getestet. Warum eine private CA für interne Namen besser ist als selbstsignierte Zertifikate und öffentliche, der Start mit eingeschaltetem ACME und SSH, die zwei Passwörter, die das Image erzeugt, und wohin jedes gehört, der Root auf jedem Gerät, internes HTTPS für Caddy oder alles andere, was ACME spricht, und step ca renew für Dienste, die es nicht tun. Client-Zertifikate und SSH haben je einen eigenen Beitrag.