Julian Boldt
5cb2ebe1c6
Release / verify (push) Canceled after 0s
CI / checks (push) Canceled after 0s
CI / frontend (push) Canceled after 0s
CI / backend (push) Canceled after 0s
Release / test (push) Canceled after 0s
Release / publish (backend) (push) Canceled after 0s
Release / publish (frontend) (push) Canceled after 0s
Release / publish (proxy) (push) Canceled after 0s
Release / publish (updater) (push) Canceled after 0s
Vorgesehen als MINOR-Release **1.27.0** „Firewall-Oberfläche über OPNexus“. - **Firewall-Oberfläche über OPNexus:** Auf der Host-Seite öffnet **Oberfläche öffnen** die Weboberfläche der Firewall in einem neuen Tab, auch bei Firewalls hinter NAT im Management-Tunnel. Nur für Admins; jede Firewall läuft in einer eigenen Browser-Origin (Platz = Port), Cookies bleiben auf dem Server, das Ticket gilt einmalig 30 Sekunden, Inaktivitäts- und Gesamtlimit sind einstellbar, Ticket, Start und Ende stehen im Audit (Art „GUI-Zugriff“). Standardmäßig **aus**: braucht das Compose-Profil `gui`, `OPNEXUS_GUI_SITES`, `GUI_PORTS`, `GUI_GATEWAY_TOKEN`, `COOKIE_SECURE=true` und den Schalter unter Einstellungen (Handbuch, „Firewall-Oberfläche über OPNexus“). Live getestet auf OPNsense 26.7. - **Einschränkungen:** kein WebSocket, keine automatische Anmeldung, höchstens 4 Plätze gleichzeitig. OPNexus-Adresse vorher in die Whitelist des Anmeldeschutzes (sshguard) der Firewall eintragen, sonst können Fehlanmeldungen die API-Zugriffe von OPNexus aussperren. Nach einem Neustart des wg-hub braucht der Tunnel 2 bis 4 Minuten. - **Hinweis für Betreiber mit eigenen Skripten:** Bei HTTPS heißt das Sitzungs-Cookie jetzt `__Host-opnexus-session` (bestehende Sitzungen werden ohne Abmelden übernommen), und Cookie-Anfragen an `/api` mit `Sec-Fetch-Site: same-site/cross-site` werden abgelehnt. Zugriffe mit API-Token sind nicht betroffen.
79 lines
3.4 KiB
Python
79 lines
3.4 KiB
Python
"""GUI-Zugriff über das gui-gateway (1.27): Einstellungen, Einmal-Tickets, Gateway-Sitzungen.
|
|
|
|
Revision ID: 0024
|
|
Revises: 0023
|
|
Create Date: 2026-10-21
|
|
"""
|
|
import sqlalchemy as sa
|
|
from alembic import op
|
|
from sqlalchemy.dialects import postgresql
|
|
|
|
revision = "0024"
|
|
down_revision = "0023"
|
|
branch_labels = None
|
|
depends_on = None
|
|
|
|
UUID = postgresql.UUID(as_uuid=True)
|
|
TS = sa.DateTime(timezone=True)
|
|
|
|
|
|
def upgrade() -> None:
|
|
# A pre-Alembic install is bridged with create_all() first (app/migrate.py), which already made the tables.
|
|
if sa.inspect(op.get_bind()).has_table("gui_access_settings"):
|
|
return
|
|
op.create_table(
|
|
"gui_access_settings",
|
|
sa.Column("id", sa.Integer(), nullable=False),
|
|
sa.Column("enabled", sa.Boolean(), server_default="false", nullable=False),
|
|
sa.Column("idle_timeout_minutes", sa.Integer(), server_default="15", nullable=False),
|
|
sa.Column("absolute_timeout_minutes", sa.Integer(), server_default="60", nullable=False),
|
|
sa.Column("slot_count", sa.Integer(), server_default="4", nullable=False),
|
|
sa.Column("updated_by", sa.String(150), nullable=True),
|
|
sa.Column("updated_at", TS, nullable=True),
|
|
sa.PrimaryKeyConstraint("id"),
|
|
)
|
|
op.create_table(
|
|
"gui_tickets",
|
|
sa.Column("id", UUID, nullable=False),
|
|
sa.Column("ticket_hash", sa.String(64), nullable=False),
|
|
sa.Column("session_hash", sa.String(64), nullable=False),
|
|
sa.Column("user_id", UUID, nullable=False),
|
|
sa.Column("host_id", UUID, nullable=False),
|
|
sa.Column("slot", sa.Integer(), nullable=False),
|
|
sa.Column("created_at", TS, nullable=False),
|
|
sa.Column("expires_at", TS, nullable=False),
|
|
sa.Column("redeemed_at", TS, nullable=True),
|
|
sa.ForeignKeyConstraint(["user_id"], ["admin_users.id"], ondelete="CASCADE"),
|
|
sa.ForeignKeyConstraint(["host_id"], ["opnsense_hosts.id"], ondelete="CASCADE"),
|
|
sa.PrimaryKeyConstraint("id"),
|
|
sa.UniqueConstraint("ticket_hash"),
|
|
)
|
|
op.create_index("ix_gui_tickets_session_hash", "gui_tickets", ["session_hash"])
|
|
op.create_index("ix_gui_tickets_user_id", "gui_tickets", ["user_id"])
|
|
op.create_index("ix_gui_tickets_host_id", "gui_tickets", ["host_id"])
|
|
op.create_table(
|
|
"gui_sessions",
|
|
sa.Column("id", UUID, nullable=False),
|
|
sa.Column("session_hash", sa.String(64), nullable=False),
|
|
sa.Column("user_id", UUID, nullable=False),
|
|
sa.Column("host_id", UUID, nullable=False),
|
|
sa.Column("slot", sa.Integer(), nullable=False),
|
|
sa.Column("client_ip", sa.String(45), nullable=True),
|
|
sa.Column("started_at", TS, nullable=False),
|
|
sa.Column("last_checked_at", TS, nullable=False),
|
|
sa.Column("ended_at", TS, nullable=True),
|
|
sa.Column("end_reason", sa.String(32), nullable=True),
|
|
sa.ForeignKeyConstraint(["user_id"], ["admin_users.id"], ondelete="CASCADE"),
|
|
sa.ForeignKeyConstraint(["host_id"], ["opnsense_hosts.id"], ondelete="CASCADE"),
|
|
sa.PrimaryKeyConstraint("id"),
|
|
)
|
|
op.create_index("ix_gui_sessions_session_hash", "gui_sessions", ["session_hash"])
|
|
op.create_index("ix_gui_sessions_user_id", "gui_sessions", ["user_id"])
|
|
op.create_index("ix_gui_sessions_host_id", "gui_sessions", ["host_id"])
|
|
|
|
|
|
def downgrade() -> None:
|
|
op.drop_table("gui_sessions")
|
|
op.drop_table("gui_tickets")
|
|
op.drop_table("gui_access_settings")
|