Zentraler MegBes-Server – Inventur und Administration - Versionsgeschichte

Clawtronics: MongoDB-Backupautomatisierung und Wiki-Logo ergänzt

2026-08-07T13:08:24Z

MongoDB-Backupautomatisierung und Wiki-Logo ergänzt

← Nächstältere Version		Version vom 7. August 2026, 13:08 Uhr
Zeile 137:		Zeile 137:
	Im Plesk-Sicherungsverzeichnis liegen tägliche inkrementelle Sicherungen mit erfolgreichen Statusmarkern bis einschließlich 7. August 2026. Erfasst sind Plesk-Systembestandteile sowie die Domains `gkp.megbes.de`, `hon.megbes.de`, `megbes.de`, `nowalux.megbes.de`, `status.megbes.de`, `vserver.megbes.de` und `wiki.megbes.de`.		Im Plesk-Sicherungsverzeichnis liegen tägliche inkrementelle Sicherungen mit erfolgreichen Statusmarkern bis einschließlich 7. August 2026. Erfasst sind Plesk-Systembestandteile sowie die Domains `gkp.megbes.de`, `hon.megbes.de`, `megbes.de`, `nowalux.megbes.de`, `status.megbes.de`, `vserver.megbes.de` und `wiki.megbes.de`.

	Aus der Dateiliste lässt sich ~~noch~~ nicht ableiten, dass `/~~root~~/~~mdb/data~~`, `/~~root~~/~~mdb/config~~`, `/home/~~certs~~`, `/home/~~ssl~~` und ~~alle Containerdefinitionen vollständig und konsistent gesichert~~ werden. ~~Insbesondere die MongoDB benötigt ein anwendungsgeeignetes Backupverfahren; eine reine Dateikopie im laufenden Betrieb ist nicht automatisch konsistent~~. ~~Ablageziel, Aufbewahrungsdauer~~ und ~~ein praktischer Wiederherstellungstest bleiben zu dokumentieren~~.		Für MongoDB wurde zusätzlich ein logisches Sicherungsverfahren mit `mongodump` eingerichtet. Der erste aktuelle, komprimierte Dump wurde erfolgreich erstellt und mittels Gzip-Test und SHA-256 geprüft. Ein Cronjob erstellt täglich um 02:17 Uhr UTC einen neuen Dump. Details und Wiederherstellungsregeln: [[MongoDB sichern und wiederherstellen]].

			Noch offen sind automatische Aufbewahrung, eine externe Kopie außerhalb des Servers und ein praktischer Wiederherstellungstest. Aus der Plesk-Dateiliste lässt sich außerdem nicht ableiten, dass `/home/certs`, `/home/ssl` und alle Containerdefinitionen vollständig gesichert werden.

			== Wiki-Logo und Persistenz ==
			Das MegBes-Logo aus dem Status-Monitor ist im Wiki eingebunden. Die ausgelieferte Datei und das Quelllogo besitzen dieselbe SHA-256-Prüfsumme. Vor der Änderung wurde `LocalSettings.php` geschützt unter `/home/megbeswiki/config-backups` gesichert.

			Logo und persistente Kopie liegen unter `/home/megbeswiki/assets`. Die aktive `LocalSettings.php` und die ausgelieferte Bilddatei befinden sich derzeit jedoch im beschreibbaren Layer des MediaWiki-Containers. Nach einer Neuerstellung des Containers muss die fest definierte Aktion `wiki-logo-install` erneut ausgeführt werden. Langfristig sollten `LocalSettings.php` und Logo als eigene Bind-Mounts in der Containerdefinition verankert werden.

	== Erste Betriebsbeobachtungen ==		== Erste Betriebsbeobachtungen ==

Clawtronics: Vertiefte Read-only-Inventur: Mounts, Ports, Proxy, Firewall und Sicherungsstand ergänzt

2026-08-07T12:57:22Z

Vertiefte Read-only-Inventur: Mounts, Ports, Proxy, Firewall und Sicherungsstand ergänzt

@@ Zeile 4: / Zeile 4: @@
 Diese Seite dokumentiert den geprüften Istzustand, das Berechtigungsmodell und das Inventurverfahren des zentralen MegBes-Servers. Sie ist die technische Grundlage für Wartung, Fehlerdiagnose und das spätere Anlegen neuer Kundencontainer.
-'''Stand der Bestandsaufnahme: 7. August 2026.''' Die erste Übersicht ist geprüft; Mounts, Firewall, Plesk-Proxy-Zuordnungen, Backups und Wiederherstellungswege werden noch vertieft inventarisiert. Vorläufige Beobachtungen sind ausdrücklich als solche gekennzeichnet.
+'''Stand der Bestandsaufnahme: 7. August 2026.''' System, Container, Mounts, Hostbindungen, Plesk-Proxy-Zuordnungen, Firewall-Grundzustand und vorhandene Plesk-Sicherungen wurden ausschließlich lesend aufgenommen. MongoDB-Authentisierung, Herkunft der Containerdefinitionen und ein praktischer Wiederherstellungstest bleiben offen. Vorläufige Beobachtungen sind ausdrücklich als solche gekennzeichnet.
 == Serverbasis ==
@@ Zeile 19: / Zeile 19: @@
 |-
 | Arbeitsspeicher || 15,55 GiB für die Container verfügbar
 |-
 | Docker-Netzwerke || Standardnetzwerke `bridge`, `host` und `none`; keine benannten projektspezifischen Netzwerke
@@ Zeile 76: / Zeile 82: @@
 Die Hostbindung zeigt, an welchen Schnittstellen Docker lauscht. Sie beweist allein noch keine Erreichbarkeit aus dem Internet; dafür müssen zusätzlich Plesk-, Firewall- und Providerregeln geprüft werden.
 == Erste Betriebsbeobachtungen ==
@@ Zeile 83: / Zeile 145: @@
 * Die zehn Kundencontainer von `megbes-external` verwenden `MARCH-2026-1-RELEASE`, obwohl das Image `AUGUST-2026-1-RELEASE` lokal vorhanden ist. Daraus folgt kein automatischer Updateauftrag; Freigabe, Kompatibilität und Rückkehrweg sind projektweise zu prüfen.
 * MediaWiki sowie BayAM und HoN sind nur an localhost gebunden.
-* Die Bindung von MongoDB an alle IPv4-Schnittstellen ist sicherheitsrelevant und muss gegen Firewall, Authentisierung und tatsächlichen Verwendungszweck geprüft werden.
+* Die Bindung von MongoDB an alle IPv4-Schnittstellen ist sicherheitsrelevant. Der Port war extern nicht erreichbar; Authentisierung, vorgelagerte Filterregel und tatsächlicher Verwendungszweck bleiben dennoch zu prüfen.
-* Mehrere MegBes-Ports sind an alle Schnittstellen gebunden. Ob dies erforderlich ist oder Plesk als lokaler Reverse Proxy genügt, wird projektweise geprüft.
+* Mehrere MegBes-Ports sind an alle Schnittstellen gebunden, waren beim externen Test mit Ausnahme von Port 9990 jedoch nicht erreichbar. Ob die Bindungen erforderlich sind oder Plesk als lokaler Reverse Proxy genügt, wird projektweise geprüft.
 == Inventurplan ==
 Die folgenden Punkte werden ausschließlich lesend aufgenommen, bevor Betriebsänderungen erfolgen:
-# Container-Mounts, Datenpfade und Eigentümer
+# Eigentümer, Rechte und Sicherungsumfang der ermittelten Datenpfade
-# Restart-Policies, Healthchecks und Ressourcenbegrenzungen
+# Herkunft und reproduzierbare Definition der Container
-# Plesk-Domains, Reverse-Proxy-Ziele und Zertifikatszuordnungen
+# Zertifikatszuordnungen und Erneuerungsverfahren
 # MongoDB-Authentisierung und Netzwerkbindung, ohne Geheimwerte auszugeben
-# Ablage und Sicherung der MongoDB- und MediaWiki-Daten
+# konsistentes Backup der MongoDB- und MediaWiki-Daten
-# Backup-Zeitpläne, Aufbewahrung und vorhandene Wiederherstellungstests
+# Aufbewahrungsdauer und praktischer Wiederherstellungstest
-# freier Speicherplatz, Logwachstum und Docker-Datennutzung
+# Logwachstum und Logrotation der Container
 # standardisierter Ablauf für Update, Rollback und neuen Kundencontainer

Clawtronics: Geprüften Ausgangsstand, Berechtigungsmodell und Inventurplan dokumentiert

2026-08-07T12:45:01Z

Geprüften Ausgangsstand, Berechtigungsmodell und Inventurplan dokumentiert

Neue Seite

= Zentraler MegBes-Server – Inventur und Administration =

== Zweck und Status ==
Diese Seite dokumentiert den geprüften Istzustand, das Berechtigungsmodell und das Inventurverfahren des zentralen MegBes-Servers. Sie ist die technische Grundlage für Wartung, Fehlerdiagnose und das spätere Anlegen neuer Kundencontainer.

'''Stand der Bestandsaufnahme: 7. August 2026.''' Die erste Übersicht ist geprüft; Mounts, Firewall, Plesk-Proxy-Zuordnungen, Backups und Wiederherstellungswege werden noch vertieft inventarisiert. Vorläufige Beobachtungen sind ausdrücklich als solche gekennzeichnet.

== Serverbasis ==
{| class="wikitable"
! Merkmal !! Geprüfter Stand
|-
| Hosting || IONOS-Server mit Plesk
|-
| Betriebssystem || Ubuntu 24.04.4 LTS, x86_64
|-
| Plesk || Plesk Obsidian 18.0.79.5
|-
| Container-Laufzeit || Docker 29.7.2
|-
| Arbeitsspeicher || 15,55 GiB für die Container verfügbar
|-
| Docker-Netzwerke || Standardnetzwerke `bridge`, `host` und `none`; keine benannten projektspezifischen Netzwerke
|-
| Docker-Volumes || Keine benannten Volumes; persistente Daten werden voraussichtlich über Bind-Mounts bereitgestellt und müssen noch geprüft werden
|}

Die öffentliche IP-Adresse, Zugangsdaten und weiteren sicherheitsrelevanten Verbindungsdaten werden nicht auf dieser Seite veröffentlicht. Sie liegen in der geschützten System- beziehungsweise Passwortdokumentation.

== Berechtigungsmodell für Administration ==
Für automatisierte Prüfung und unterstützte Administration existiert der eigene Serverbenutzer `clawtronics` mit separatem ED25519-Schlüssel.

Der Benutzer:

* besitzt keine Mitgliedschaft in der Gruppe `docker`,
* besitzt keinen pauschalen Root- oder sudo-Zugang,
* darf nur ausdrücklich freigegebene, root-eigene Hilfsskripte ohne Passwort ausführen,
* kann die freigegebenen Skripte selbst nicht verändern,
* erhält neue Rechte stufenweise und nur für einen dokumentierten Betriebszweck.

Der aktuelle Read-only-Befehl `/usr/local/sbin/megbes-discovery` liefert ausschließlich Plesk-Version, Container, Images, Docker-Netzwerke, Docker-Volumes und eine momentane Ressourcenübersicht. Containeränderungen, `docker exec`, Datenbankzugriffe und Dateisystemänderungen sind nicht freigegeben.

Die Gruppe `docker` wird nicht vergeben, da deren Mitgliedschaft praktisch Root-Rechte ermöglicht. Erweiterungen werden als eng begrenzte, root-eigene Hilfsskripte umgesetzt.

== Aktueller Containerbestand ==
Zum Prüfzeitpunkt liefen 13 Container ohne sichtbare Neustartschleife.

{| class="wikitable"
! Container !! Image beziehungsweise Release !! Hostbindung !! Aufgabe
|-
| `megbes-status` || `tinetronics/megbes-status:AUGUST-2026-2-RELEASE` || alle IPv4-Schnittstellen, Port 9990 || zentraler [[Status-Monitor]]
|-
| `megbes-external-tine` || `MARCH-2026-1-RELEASE` || alle IPv4-Schnittstellen, Port 32770 || Kundenprojekt Tine
|-
| `megbes-external-limes` || `MARCH-2026-1-RELEASE` || alle IPv4-Schnittstellen, Port 32780 || Kundenprojekt Limes
|-
| `megbes-external-gkp` || `MARCH-2026-1-RELEASE` || alle IPv4-Schnittstellen, Port 32769 || Kundenprojekt GKP
|-
| `megbes-external-bayam` || `MARCH-2026-1-RELEASE` || nur localhost, Port 32768 || Kundenprojekt BayAM
|-
| `megbes-external-miqua` || `MARCH-2026-1-RELEASE` || alle IPv4-Schnittstellen, Port 32779 || Kundenprojekt MiQua
|-
| `megbes-external-messe` || `MARCH-2026-1-RELEASE` || alle IPv4- und IPv6-Schnittstellen, Port 32771 || Kundenprojekt Messe
|-
| `megbes-external-hon` || `MARCH-2026-1-RELEASE` || nur localhost, Port 9997 || Kundenprojekt HoN
|-
| `mediawiki` || `mediawiki:latest` || nur localhost, Port 49155 || internes MegBes-Wiki
|-
| `mongodb` || `mongo:7.0.12` || alle IPv4-Schnittstellen, Port 49154 || zentrale MongoDB
|-
| `megbes-external-nowalux` || `MARCH-2026-1-RELEASE` || alle IPv4-Schnittstellen, Port 34615 || Kundenprojekt NowaLux
|-
| `megbes-external-miquaguide` || `MARCH-2026-1-RELEASE` || alle IPv4- und IPv6-Schnittstellen, Port 32774 || Kundenprojekt MiQua Guide
|-
| `megbes-external-gse` || `MARCH-2026-1-RELEASE` || alle IPv4-Schnittstellen, Port 32805 || Kundenprojekt GSE
|}

Die Hostbindung zeigt, an welchen Schnittstellen Docker lauscht. Sie beweist allein noch keine Erreichbarkeit aus dem Internet; dafür müssen zusätzlich Plesk-, Firewall- und Providerregeln geprüft werden.

== Erste Betriebsbeobachtungen ==
* Alle 13 Container liefen zum Prüfzeitpunkt seit rund sechs Stunden.
* Die momentane CPU- und Speicherauslastung war unauffällig.
* Der Status-Monitor nutzt den derzeit bekannten aktuellen Release `AUGUST-2026-2-RELEASE`.
* Die zehn Kundencontainer von `megbes-external` verwenden `MARCH-2026-1-RELEASE`, obwohl das Image `AUGUST-2026-1-RELEASE` lokal vorhanden ist. Daraus folgt kein automatischer Updateauftrag; Freigabe, Kompatibilität und Rückkehrweg sind projektweise zu prüfen.
* MediaWiki sowie BayAM und HoN sind nur an localhost gebunden.
* Die Bindung von MongoDB an alle IPv4-Schnittstellen ist sicherheitsrelevant und muss gegen Firewall, Authentisierung und tatsächlichen Verwendungszweck geprüft werden.
* Mehrere MegBes-Ports sind an alle Schnittstellen gebunden. Ob dies erforderlich ist oder Plesk als lokaler Reverse Proxy genügt, wird projektweise geprüft.

== Inventurplan ==
Die folgenden Punkte werden ausschließlich lesend aufgenommen, bevor Betriebsänderungen erfolgen:

# Container-Mounts, Datenpfade und Eigentümer
# Restart-Policies, Healthchecks und Ressourcenbegrenzungen
# Plesk-Domains, Reverse-Proxy-Ziele und Zertifikatszuordnungen
# Host-Firewall und tatsächlich öffentlich erreichbare Ports
# MongoDB-Authentisierung und Netzwerkbindung, ohne Geheimwerte auszugeben
# Ablage und Sicherung der MongoDB- und MediaWiki-Daten
# Backup-Zeitpläne, Aufbewahrung und vorhandene Wiederherstellungstests
# freier Speicherplatz, Logwachstum und Docker-Datennutzung
# Herkunft und Startparameter jedes Containers
# standardisierter Ablauf für Update, Rollback und neuen Kundencontainer

== Regeln für Änderungen ==
* Vor jeder Änderung werden betroffene Container, Konfiguration, Mounts, Ports und aktueller Image-Stand gesichert beziehungsweise dokumentiert.
* Geheimwerte werden weder in Befehlsausgaben noch im Wiki gespeichert.
* Ein Container wird nur mit bekanntem Rückkehrweg ersetzt.
* Datenbank- und Volume-Änderungen erfolgen erst nach geprüfter Sicherung.
* Neustarts, Updates und neue Kundencontainer benötigen einen ausdrücklichen Auftrag.
* Nach Änderungen werden Anwendung, Logs, Status-Monitor und mindestens ein kontrollierter Projektablauf geprüft.

Siehe auch [[Megbes-external unter Plesk]] und [[Wartung, Backups und Fehlerdiagnose]].

[[Kategorie:MegBes]]
[[Kategorie:Betrieb]]
[[Kategorie:Plesk]]
[[Kategorie:Wartung]]
[[Kategorie:Sicherheit]]