Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- home_infrastruktur:systemanpassungen [2026/07/12 15:46] – DokuWiki-Reparatur (12.07.2026) dokumentiert gaston
+++ home_infrastruktur:systemanpassungen [2026/08/11 06:31] (aktuell) – [Reverse Proxy] nick
@@ Zeile 1: / Zeile 1: @@
-====== Home IT-Infrastruktur &amp; Systemanpassungen ======
+====== Home IT-Infrastruktur & Systemanpassungen ======
 ===== NAS2 Wiederherstellung (12. Juli 2026) =====
@@ Zeile 6: / Zeile 6: @@
 ==== Zertifikat ====
-Let&#039;s Encrypt Zertifikat für &#039;&#039;nas2.lynx-consulting.ch&#039;&#039; erfolgreich neu beantragt via DSM-Wizard (HTTP-01 Challenge). Gültig bis 10.10.2026.
+Let's Encrypt Zertifikat für ''nas2.lynx-consulting.ch'' erfolgreich neu beantragt via DSM-Wizard (HTTP-01 Challenge). Gültig bis 10.10.2026.
 **SAN-Einträge:**
   adguard.lynx-consulting.ch;drucker.lynx-consulting.ch;git.lynx-consulting.ch;grafana.lynx-consulting.ch;ha.lynx-consulting.ch;nas2.lynx-consulting.ch;plex.lynx-consulting.ch;prometheus.lynx-consulting.ch;wiki.lynx-consulting.ch
-**⚠️ Kritische Regel:** SANs im DSM-Zertifikatsdialog zwingend mit Semikolons (&#039;&#039;;&#039;&#039;) ohne Leerzeichen trennen!
+**⚠️ Kritische Regel:** SANs im DSM-Zertifikatsdialog zwingend mit Semikolons ('';'') ohne Leerzeichen trennen!
-**Fehlende SAN:** &#039;&#039;llms.lynx-consulting.ch&#039;&#039; — DNS-Eintrag fehlt noch bei Hetzner (Account-Aussperrung).
+**Fehlende SAN:** ''llms.lynx-consulting.ch'' — DNS-Eintrag fehlt noch bei Hetzner (Account-Aussperrung).
-**Logs bei Problemen:** &#039;&#039;/var/log/messages&#039;&#039; auf dem NAS2.
+**Logs bei Problemen:** ''/var/log/messages'' auf dem NAS2.
 ==== Reverse Proxy ====
@@ Zeile 19: / Zeile 19: @@
 ^ Dienst ^ Quelle ^ Port ^ Ziel ^ Port ^
-| AdGuard | &#039;&#039;adguard.lynx-consulting.ch&#039;&#039; | 443 (HTTPS) | localhost | 3000 (HTTPS) |
+| AdGuard | ''adguard.lynx-consulting.ch'' | 443 (HTTPS) | 192.168.128.200 | 3000 (HTTPS) |
-| Gitea | &#039;&#039;git.lynx-consulting.ch&#039;&#039; | 443 (HTTPS) | localhost | 3010 |
+| Gitea | ''git.lynx-consulting.ch'' | 443 (HTTPS) | 192.168.128.200 | 3001 |
-| DokuWiki | &#039;&#039;wiki.lynx-consulting.ch&#039;&#039; | 443 (HTTPS) | localhost | Wiki-Port |
+| DokuWiki | ''wiki.lynx-consulting.ch'' | 443 (HTTPS) | 192.168.128.200 | 8085 |
-| Drucker | &#039;&#039;drucker.lynx-consulting.ch&#039;&#039; | 443 (HTTPS) | 192.168.128.254 | 443 (HTTPS) |
+| Drucker | ''drucker.lynx-consulting.ch'' | 443 (HTTPS) | 192.168.128.254 | 443 (HTTPS) |
-| Home Assistant | &#039;&#039;ha.lynx-consulting.ch&#039;&#039; | 443 (HTTPS) | 192.168.128.22 | 8123 (HTTP) |
+| Home Assistant | ''ha.lynx-consulting.ch'' | 443 (HTTPS) | 192.168.128.22 | 8123 (HTTP) |
-| Plex | &#039;&#039;plex.lynx-consulting.ch&#039;&#039; | 443 (HTTPS) | localhost | 32400 (HTTPS) |
+| Plex | ''plex.lynx-consulting.ch'' | 443 (HTTPS) | localhost | 32400 (HTTPS) |
-| Grafana | &#039;&#039;grafana.lynx-consulting.ch&#039;&#039; | 443 (HTTPS) | localhost | 3001 (HTTP) |
+| Grafana | ''grafana.lynx-consulting.ch'' | 443 (HTTPS) | 192.168.128.200 | 3002 (HTTP) |
-| Prometheus | &#039;&#039;prometheus.lynx-consulting.ch&#039;&#039; | 443 (HTTPS) | localhost | Prometheus-Port |
+| Prometheus | ''prometheus.lynx-consulting.ch'' | 443 (HTTPS) | 192.168.128.200 | 9090 |
 **WebSocket-Header für HA:** Reverse-Proxy-Eintrag → Benutzerdefinierte Kopfzeile → Erstellen → WebSocket. Ohne diesen Header keine WebSocket-Verbindung zu HA.
+==== Drucker (HP PageWide Pro 477dw) ====
+  * IP: 192.168.128.254
+  * **Reverse-Proxy Konfiguration:** HTTPS → HTTPS (443 → 443)
+**⚠️ Kritischer Host-Header-Fix:** Der HP-Drucker setzt Session-Cookies für seine eigene IP-Adresse. Der Synology-Reverse-Proxy überschreibt standardmäßig den Host-Header auf die externe Domain ("drucker.lynx-consulting.ch"). Der Drucker akzeptiert die Cookies dann nicht → alle dynamischen Kacheln (Füllstände, Scan, Fax, Energie) schlagen mit 403 Forbidden fehl!
+**Lösung — Benutzerdefinierte Kopfzeile:**
+  * **Name:** ''Host''
+  * **Wert:** ''192.168.128.254''
+Damit sieht der Drucker seine eigene IP im Host-Header, setzt und akzeptiert Cookies korrekt, und alle dynamischen Inhalte laden einwandfrei.
+**NICHT benötigt:** WebSocket-Header, X-Forwarded-Proto, X-Forwarded-Host — die wurden alle getestet und hatten keinen Effekt. Einzig der Host-Header-Fix löste das Problem.
 ==== Home Assistant (VM) ====
@@ Zeile 34: / Zeile 48: @@
   * HAOS 10.1, Core von 2023.7.1 → 2024.7.2 aktualisiert
   * Läuft als VM im Virtual Machine Manager auf NAS2
-  * **Problem:** Nach DSM-Reset kein Netzwerkadapter → VMM → Bearbeiten → &quot;Default VM Network&quot; zuweisen
+  * **Problem:** Nach DSM-Reset kein Netzwerkadapter → VMM → Bearbeiten → "Default VM Network" zuweisen
-  * **Synology-DSM-Integration:** Neuer Benutzer &#039;&#039;homeassistant&#039;&#039; (muss in Gruppe &#039;&#039;administrators&#039;&#039; sein), Port 5679, SSL-Prüfung deaktiviert
+  * **Synology-DSM-Integration:** Neuer Benutzer ''homeassistant'' (muss in Gruppe ''administrators'' sein), Port 5679, SSL-Prüfung deaktiviert
 ==== AdGuard Home ====
   * Port 3000 (Host-Netzwerk), Version v0.107.77
-  * **Passwort-Reset:** v0.107 hat KEIN CLI-Reset und KEINE Web-UI-Passwortänderung! Workaround: bcrypt-Hash generieren und in &#039;&#039;/opt/adguardhome/conf/AdGuardHome.yaml&#039;&#039; ersetzen
+  * **Passwort-Reset:** v0.107 hat KEIN CLI-Reset und KEINE Web-UI-Passwortänderung! Workaround: bcrypt-Hash generieren und in ''/opt/adguardhome/conf/AdGuardHome.yaml'' ersetzen
-  * Container ist Alpine-basiert → nur &#039;&#039;sh&#039;&#039;, kein &#039;&#039;bash&#039;&#039;
+  * Container ist Alpine-basiert → nur ''sh'', kein ''bash''
-  * **⚠️ Wichtig:** Vor Zertifikatserneuerung muss AdGuard deaktiviert werden (DNS-Rewrites leiten sonst auf private IPs um und Let&#039;s Encrypt lehnt ab)
+  * **⚠️ Wichtig:** Vor Zertifikatserneuerung muss AdGuard deaktiviert werden (DNS-Rewrites leiten sonst auf private IPs um und Let's Encrypt lehnt ab)
 ==== Grafana ====
   * Port-Mapping: Docker intern 3000 → Host 3001 (3000 von AdGuard belegt)
-  * Reverse-Proxy: &#039;&#039;grafana.lynx-consulting.ch&#039;&#039; → localhost:3001 (HTTP)
+  * Reverse-Proxy: ''grafana.lynx-consulting.ch'' → localhost:3001 (HTTP)
-  * **Tippfehler-Falle:** &quot;consulting&quot; mit **g** am Ende — &#039;&#039;consultin.ch&#039;&#039; führt zu nicht erreichbarer Seite
+  * **Tippfehler-Falle:** "consulting" mit **g** am Ende — ''consultin.ch'' führt zu nicht erreichbarer Seite
 ==== DokuWiki ====
   * DokuWiki-Container überlebte den DSM-Reset (Docker-Daten erhalten)
-  * **Problem:** Der Config-Manager war durch das &#039;&#039;markdownextra&#039;&#039;-Plugin (Version 2013) blockiert — ParseError beim Laden
+  * **Problem:** Der Config-Manager war durch das ''markdownextra''-Plugin (Version 2013) blockiert — ParseError beim Laden
   * **Lösung:** Plugin über die Erweiterungsverwaltung deaktiviert (nicht gelöscht). Danach Config-Manager wieder funktionsfähig
-  * **Config gesetzt:** &#039;&#039;baseurl&#039;&#039; auf &quot;https://wiki.lynx-consulting.ch&quot;, &#039;&#039;remote&#039;&#039; API-Zugang aktiviert
+  * **Config gesetzt:** ''baseurl'' auf "https://wiki.lynx-consulting.ch", ''remote'' API-Zugang aktiviert
-  * **XML-RPC/JSON-RPC:** Core-API (seit DokuWiki 2018 im Kern) läuft, aber Aufrufe werden aktuell mit &quot;forbidden&quot; abgewiesen — wird separat behoben
+  * **XML-RPC/JSON-RPC:** Core-API (seit DokuWiki 2018 im Kern) läuft, aber Aufrufe werden aktuell mit "forbidden" abgewiesen — wird separat behoben
-  * **Credentials:** User &#039;&#039;gaston&#039;&#039; (Gruppe: admin) für API-Zugriffe
+  * **Credentials:** User ''gaston'' (Gruppe: admin) für API-Zugriffe
   * Seiten können zuverlässig via CSRF-Formular geschrieben werden (Fallback bis JSON-RPC läuft)
@@ Zeile 60: / Zeile 74: @@
   * Aktiviert → Synology-Konto (Cloud), letzte Sicherung 12.07.2026 12:34
   * Sichern NUR DSM-Konfiguration. **Nicht gesichert:** Docker-Volumes, Reverse-Proxy, Zertifikate, VM-Konfigurationen
-  * Für vollständige Backups: Hyper Backup oder manuelles Backup von &#039;&#039;/volume1/docker/&#039;&#039;
+  * Für vollständige Backups: Hyper Backup oder manuelles Backup von ''/volume1/docker/''
 ==== Noch offen ====
   * [[https://prometheus.lynx-consulting.ch|Prometheus]] (Reverse-Proxy und Dienst)
-  * Hetzner DNS-Eintrag für &#039;&#039;llms.lynx-consulting.ch&#039;&#039; (Account-Aussperrung)
+  * Hetzner DNS-Eintrag für ''llms.lynx-consulting.ch'' (Account-Aussperrung)
   * Homebridge wurde durch HA-eigene HomeKit-Bridge ersetzt (wird nicht wiederhergestellt)
   * JSON-RPC-Zugriff reparieren (Core-API blockt aktuell)
 ==== Gelernte Lektionen ====
-  - Vor jedem Reset komplette &#039;&#039;.dss&#039;&#039;-Sicherung exportieren **und lokal speichern**
+  - Vor jedem Reset komplette ''.dss''-Sicherung exportieren **und lokal speichern**
   - Docker-Konfigurationen separat sichern (nicht von DSM-Backup abgedeckt)
-  - AdGuard vor Let&#039;s-Encrypt-Erneuerung deaktivieren
+  - AdGuard vor Let's-Encrypt-Erneuerung deaktivieren
-  - HA hinter Reverse-Proxy braucht immer &#039;&#039;trusted_proxies&#039;&#039; + WebSocket-Header
+  - HA hinter Reverse-Proxy braucht immer ''trusted_proxies'' + WebSocket-Header
   - SANs im DSM nur mit Semikolons, ohne Leerzeichen
+  - HP-Drucker hinter Reverse-Proxy: Host-Header auf Drucker-IP setzen (Cookie-Problem!)
+  - DokuWiki nach Reset: ''markdownextra''-Plugin kann Config-Manager blockieren
-===== Wichtige Links &amp; Dienste (Reverse Proxy) =====
+===== Wichtige Links & Dienste (Reverse Proxy) =====
 ^ Software ^ URL ^ Beschreibung ^
 | **NAS2** | [[https://nas2.lynx-consulting.ch]] | Synology DSM (Hauptsystem) |
-| **AdGuard Home** | [[https://adguard.lynx-consulting.ch]] | DNS-Server &amp; Netzwerkweiter Werbeblocker |
+| **AdGuard Home** | [[https://adguard.lynx-consulting.ch]] | DNS-Server & Netzwerkweiter Werbeblocker |
 | **Home Assistant** | [[https://ha.lynx-consulting.ch]] | Smart Home Zentrale |
 | **Gitea** | [[https://git.lynx-consulting.ch]] | Lokaler Git-Server für Code-Repositories |
@@ Zeile 85: / Zeile 101: @@
 | **HP Drucker** | [[https://drucker.lynx-consulting.ch]] | Weboberfläche des Druckers |
 | **Homebridge** | [[https://home.lynx-consulting.ch]] | Apple HomeKit Bridge |
-| **Grafana** | [[https://grafana.lynx-consulting.ch]] | Monitoring &amp; Dashboards |
+| **Grafana** | [[https://grafana.lynx-consulting.ch]] | Monitoring & Dashboards |
 | **Prometheus** | [[https://prometheus.lynx-consulting.ch]] | Time-Series Datenbank für Metriken |
-===== Monitoring (Grafana &amp; Prometheus) =====
+===== Monitoring (Grafana & Prometheus) =====
   * **Hintergrund:** Grafana und Prometheus wurden als Docker-Container eingerichtet, um die Infrastruktur und Smart Home Temperaturen zu überwachen.
-  * **Installation:** Die Verwendung von &quot;Named Volumes&quot; in Docker führt auf der Synology dazu, dass Daten versteckt abgelegt werden. Besser ist die Nutzung von &quot;Bind Mounts&quot; (z.B. &#039;&#039;./grafana:/var/lib/grafana&#039;&#039;), damit die Konfigurationen sichtbar im Verzeichnis &#039;&#039;/volume1/docker/monitoring&#039;&#039; liegen. Die Berechtigungen der Ordner müssen an die Container-User (UID 472 für Grafana, UID 65534 für Prometheus) angepasst werden.
+  * **Installation:** Die Verwendung von "Named Volumes" in Docker führt auf der Synology dazu, dass Daten versteckt abgelegt werden. Besser ist die Nutzung von "Bind Mounts" (z.B. ''./grafana:/var/lib/grafana''), damit die Konfigurationen sichtbar im Verzeichnis ''/volume1/docker/monitoring'' liegen. Die Berechtigungen der Ordner müssen an die Container-User (UID 472 für Grafana, UID 65534 für Prometheus) angepasst werden.
-  * **Grafana &amp; Prometheus verbinden:** Grafana und Prometheus müssen &quot;verheiratet&quot; werden. Da Grafana die Weboberfläche manchmal restriktiv behandelt (besonders beim ersten Login via Reverse Proxy), kann die Datenquelle direkt über die &quot;Provisioning&quot;-Funktion von Grafana hart im Hintergrund verdrahtet werden. Die URL lautet dann einfach &#039;&#039;http://prometheus:9090&#039;&#039;, da beide im selben Docker-Netzwerk laufen.
+  * **Grafana & Prometheus verbinden:** Grafana und Prometheus müssen "verheiratet" werden. Da Grafana die Weboberfläche manchmal restriktiv behandelt (besonders beim ersten Login via Reverse Proxy), kann die Datenquelle direkt über die "Provisioning"-Funktion von Grafana hart im Hintergrund verdrahtet werden. Die URL lautet dann einfach ''http://prometheus:9090'', da beide im selben Docker-Netzwerk laufen.
   * **Home Assistant Sensoren auslesen:** Anstatt jeden Temperatursensor der Wohnung einzeln anzuzapfen, holt Prometheus die Daten elegant gebündelt bei Home Assistant ab.
-    * **In Prometheus:** Ein neuer Scrape-Job mit einem &quot;Long-Lived Access Token&quot; von Home Assistant muss in die &#039;&#039;prometheus.yml&#039;&#039; eingetragen werden.
+    * **In Prometheus:** Ein neuer Scrape-Job mit einem "Long-Lived Access Token" von Home Assistant muss in die ''prometheus.yml'' eingetragen werden.
-    * **In Home Assistant:** In der &#039;&#039;configuration.yaml&#039;&#039; muss lediglich das Wort &#039;&#039;prometheus:&#039;&#039; eingetragen und das System neu gestartet werden.
+    * **In Home Assistant:** In der ''configuration.yaml'' muss lediglich das Wort ''prometheus:'' eingetragen und das System neu gestartet werden.
-  * **Grafana Dashboards:** Mit der Dashboard-ID &#039;&#039;1860&#039;&#039; lassen sich sofort umfassende Metriken der Hardware (via Node-Exporter) importieren. Home Assistant Metriken (z.B. &#039;&#039;homeassistant_sensor_temperature_celsius&#039;&#039;) können in eigenen Panels per PromQL visualisiert und gezielt über Label-Filter (z.B. &#039;&#039;friendly_name != FritzBox&#039;&#039;) gefiltert werden.
+  * **Grafana Dashboards:** Mit der Dashboard-ID ''1860'' lassen sich sofort umfassende Metriken der Hardware (via Node-Exporter) importieren. Home Assistant Metriken (z.B. ''homeassistant_sensor_temperature_celsius'') können in eigenen Panels per PromQL visualisiert und gezielt über Label-Filter (z.B. ''friendly_name != FritzBox'') gefiltert werden.
 ===== Home Assistant Reverse Proxy (400 Bad Request) =====
-  * **Problem:** Beim Zugriff auf Home Assistant über den Synology Reverse Proxy (&#039;&#039;ha.lynx-consulting.ch&#039;&#039;) erscheint die Fehlermeldung &quot;400: Bad Request&quot;.
+  * **Problem:** Beim Zugriff auf Home Assistant über den Synology Reverse Proxy (''ha.lynx-consulting.ch'') erscheint die Fehlermeldung "400: Bad Request".
   * **Ursache:** Home Assistant blockiert sicherheitshalber Zugriffe, die von einem unbekannten Reverse Proxy weitergeleitet werden.
-  * **Lösung:** In der &#039;&#039;configuration.yaml&#039;&#039; des Home Assistant muss der Reverse Proxy des NAS2 explizit als &quot;Trusted Proxy&quot; eingetragen werden:
+  * **Lösung:** In der ''configuration.yaml'' des Home Assistant muss der Reverse Proxy des NAS2 explizit als "Trusted Proxy" eingetragen werden:
-&lt;code yaml&gt;
+<code yaml>
 http:
   use_x_forwarded_for: true
   trusted_proxies:
     - 192.168.128.222
-&lt;/code&gt;
+</code>
-  * **Dateizugriff bei HA-Ausfall:** Wenn HA als VM läuft und der Reverse Proxy streikt, erreicht man die &#039;&#039;configuration.yaml&#039;&#039; entweder, indem man direkt über die lokale IP-Adresse (&#039;&#039;http://192.168.128.22:8123&#039;&#039;) auf die Weboberfläche zugreift und das Add-on &quot;File editor&quot; bzw. &quot;Studio Code Server&quot; nutzt, oder über die voll funktionsfähige iPhone-App.
+  * **Dateizugriff bei HA-Ausfall:** Wenn HA als VM läuft und der Reverse Proxy streikt, erreicht man die ''configuration.yaml'' entweder, indem man direkt über die lokale IP-Adresse (''http://192.168.128.22:8123'') auf die Weboberfläche zugreift und das Add-on "File editor" bzw. "Studio Code Server" nutzt, oder über die voll funktionsfähige iPhone-App.
-===== Synology Let&#039;s Encrypt Zertifikate (SAN) =====
+===== Synology Let's Encrypt Zertifikate (SAN) =====
   * **Problem:** Beim Eintragen mehrerer alternativer Namen (SAN) im Synology DSM blockiert die GUI oft mit kryptischen Fehlermeldungen (z.B. im Feld der Mail-Adresse).
   * **Lösung:** Die Synology DSM-Oberfläche verlangt bei den Subject Alternative Names strikt Semikolons anstelle der branchenüblichen Kommas. Außerdem dürfen absolut keine Leerzeichen verwendet werden.
-  * **Aktuelle SAN-Liste:** &#039;&#039;adguard.lynx-consulting.ch;git.lynx-consulting.ch;drucker.lynx-consulting.ch;wiki.lynx-consulting.ch;home.lynx-consulting.ch;ha.lynx-consulting.ch;plex.lynx-consulting.ch;grafana.lynx-consulting.ch;prometheus.lynx-consulting.ch&#039;&#039;
+  * **Aktuelle SAN-Liste:** ''adguard.lynx-consulting.ch;git.lynx-consulting.ch;drucker.lynx-consulting.ch;wiki.lynx-consulting.ch;home.lynx-consulting.ch;ha.lynx-consulting.ch;plex.lynx-consulting.ch;grafana.lynx-consulting.ch;prometheus.lynx-consulting.ch''
 {{:home_infrastruktur:cert_san.jpg?800|Zertifikat SANs - Subject Alternative Names}}
-===== Gitea &amp; Synology Git-Pakete =====
+===== Gitea & Synology Git-Pakete =====
   * **Hintergrund:** Gitea und AdGuard haben um Port 3000 konkurriert. Zudem hat das offizielle Synology Git Server Paket die SSH-Zugriffe (git-shell) für Administratoren blockiert.
   * **Lösung:** Deinstallation der Synology-Pakete Git Server und des inoffiziellen Gitea-Pakets aus dem Paketzentrum. Verschieben des Docker-Gitea-Containers auf Port 3010. Reverse Proxy git.lynx-consulting.ch zeigt nun auf localhost:3010. SSH ist wieder frei für normale administrative Befehle.