Julian Boldt
4eea6424e7
- **Konfiguration als Code:** Unter **System › Konfiguration als Code** (und per `opnexus export` / `opnexus apply`) lassen sich Gerätegruppen, Hierarchiegruppen, Aliase, Filterregeln, Port-Forwards, 1:1-NAT, Outbound-NAT, Hierarchie-Regeln und Standort-Variablen als **eine YAML-Datei exportieren** (sortiert, ohne Zeitstempel, ohne Zugänge oder Schlüssel, für Git und Reviews) und wieder **importieren**: erst ein **Plan** (neu, geändert, entfernt, unverändert, blockiert, mit Hinweisen), dann das **Übernehmen** durch einen Administrator in einer Transaktion mit dem Token genau dieses Plans. **Der Import ändert nur die Entwürfe in OPNexus, nie eine Firewall**; ausgerollt wird wie immer über Vorschau → Ausrollen → Bestätigen. Ausgerollte oder noch verwendete Objekte entfernt er nie (Prune blockiert den Plan). Die Datei wird nur als Daten gelesen (keine Anker, Tags, Merge-Schlüssel, Mehrfach-Dokumente; 1 MiB, strenges Schema mit Zeile und Pfad bei Fehlern). Plan und Export gehen auch mit „Lesen“-Token und Nur-Lese-Konten, `opnexus apply --dry-run` liefert Exit-Codes für CI (0 / 2 / 3 / 4). Regeln und NAT-Objekte tragen dafür einen stabilen `key` (Migration, wird für Bestand automatisch vergeben). Gruppenänderungen stehen jetzt im Audit. - **Rückweg zur vorherigen Firmware:** Vor jedem Firmware-Update und Major-Upgrade (manuell, geplant, Rollout, CARP-Übergabe) legt OPNexus auf der Firewall ein **ZFS-Boot-Environment** `opnexus-pre-<Version>-<Zeit>` als Rückweg-Punkt an (ohne den Punkt startet das Update nicht; ohne ZFS mit Hinweis). Neue Aktion **Zur vorherigen Firmware** (Host-Wartung): Vorschau, Hostname, Downtime-Bestätigung, vorher lokale Sicherung der Konfiguration, dann Aktivieren, Prüfung und Neustart (scheitert ein Schritt, wird das vorherige Boot-Environment wieder eingeschaltet). **Der Rückweg setzt auch die Konfiguration zurück** (live belegt): Ausrollvorgänge seit dem Punkt werden als unklar markiert, damit das nächste Ausrollen wirklich schreibt. Ein Rollout macht nie von selbst einen Rückweg. - **Rollout-Gate: Erreichbarkeitsproben.** Bis zu zehn Ping-/TCP-Proben je Plan, von der Firewall selbst ausgeführt, vor der Welle und nach der Beobachtungszeit: vorher ok und jetzt nicht mehr hält den Rollout an, schon vorher gestört ist nur ein Hinweis. (Erreichbarkeit von der Firewall aus, nicht der Verkehr durch sie hindurch.) - Migrationen 0030 (`config_key`) und 0031 (`gate_probes`).
63 lines
2.2 KiB
Python
63 lines
2.2 KiB
Python
import uuid
|
|
from datetime import datetime
|
|
from typing import Literal
|
|
|
|
from pydantic import BaseModel, ConfigDict, Field, field_validator
|
|
|
|
from app.schemas.rule import DeployApproval, DeploymentResult # noqa: F401 (re-exported for routers/one_to_one.py)
|
|
|
|
|
|
class OneToOneCreate(BaseModel):
|
|
description: str = Field(min_length=1, max_length=255)
|
|
interface: str = Field(min_length=1, max_length=64)
|
|
source_net: str = Field(default="any", min_length=1, max_length=128)
|
|
destination_net: str = Field(default="any", min_length=1, max_length=128)
|
|
source_not: bool = False
|
|
destination_not: bool = False
|
|
enabled: bool = True
|
|
type: Literal["binat", "nat"] = "binat"
|
|
external: str = Field(min_length=1, max_length=128)
|
|
natreflection: Literal["", "enable", "disable"] = ""
|
|
log: bool = False
|
|
target_host_ids: list[uuid.UUID] = Field(default_factory=list)
|
|
target_group_ids: list[uuid.UUID] = Field(default_factory=list)
|
|
policy_hierarchy_group_id: uuid.UUID | None = None
|
|
|
|
@field_validator('description', 'interface', 'source_net', 'destination_net', 'external')
|
|
@classmethod
|
|
def nonblank(cls, value):
|
|
if not value.strip():
|
|
raise ValueError("Feld darf nicht nur Leerzeichen enthalten")
|
|
return value.strip()
|
|
|
|
|
|
class OneToOneRead(BaseModel):
|
|
model_config = ConfigDict(from_attributes=True)
|
|
|
|
id: uuid.UUID
|
|
config_key: str
|
|
description: str
|
|
interface: str
|
|
source_net: str
|
|
destination_net: str
|
|
source_not: bool
|
|
destination_not: bool
|
|
enabled: bool
|
|
type: Literal["binat", "nat"]
|
|
external: str
|
|
natreflection: Literal["", "enable", "disable"]
|
|
log: bool
|
|
created_at: datetime
|
|
updated_at: datetime
|
|
target_host_ids: list[uuid.UUID]
|
|
target_group_ids: list[uuid.UUID] = Field(default_factory=list)
|
|
policy_hierarchy_group_id: uuid.UUID | None = None
|
|
effective_host_ids: list[uuid.UUID] = Field(default_factory=list)
|
|
workflow_state: Literal["attention", "pending", "cleanup", "unassigned", "disabled", "draft", "synced"]
|
|
workflow_counts: dict[str, int]
|
|
deployments: list[DeploymentResult]
|
|
|
|
|
|
class OneToOneEdit(OneToOneCreate):
|
|
expected_updated_at: datetime
|