Files
OPNexus/frontend/components/AdoptObjectsModal.tsx
T
Julian Boldt ec20940139
Release / verify (push) Canceled after 0s
CI / checks (push) Canceled after 0s
CI / frontend (push) Canceled after 0s
CI / backend (push) Canceled after 0s
Release / test (push) Canceled after 0s
Release / publish (backend) (push) Canceled after 0s
Release / publish (frontend) (push) Canceled after 0s
Release / publish (proxy) (push) Canceled after 0s
Release / publish (updater) (push) Canceled after 0s
Release v1.29.0
- **Fehlende API-Rechte werden sichtbar:** Darf der API-Schlüssel einer Firewall den Gateway- oder Dienststatus nicht lesen (OPNsense antwortet
  mit 403), fiel das bisher niemandem auf, und der standardmäßig aktive Gateway-Alarm konnte nie auslösen. Jetzt zeigen die Host-Seite
  (Abschnitt „Gateways“) und die Dashboard-Karte „Fleet-/CARP-Gesundheit“ ein Warn-Badge „API-Rechte fehlen: Gateways, Dienste“; der Tooltip nennt die
  OPNsense-Berechtigung, die beim Benutzer oder bei der Gruppe fehlt (System: Gateways, Status: Services, Lobby: Dashboard). Zusätzlich gibt es
  den neuen Alarm **API-Rechte fehlen** (standardmäßig an, abschaltbar unter Einstellungen › Benachrichtigungen, gleiche Entprellung wie die
  anderen Messungs-Alarme) und die Prometheus-Metrik `opnexus_host_api_rights_missing{host,read}`. Nur eine ausdrückliche Ablehnung zählt;
  Zeitüberschreitungen oder Serverfehler bleiben „unbekannt“.
- **Gateway-Alarm pro Gateway abschaltbar:** In der Gateway-Liste der Host-Seite schaltet eine Glocke den Alarm für ein einzelnes Gateway aus
  (z. B. ruhendes Zweit-WAN oder tote IPv6-Gateways); ein „Alarm aus“-Badge zeigt es an. Ein offener Alarm dieses Gateways löst sich dabei
  auf. Nur Administratoren, die Änderung steht im Audit-Log. Das Dashboard zeigt bei mehr als acht Gateways „+ N weitere“.
- **Firewall-Oberfläche (GUI-Zugriff) härter:** Ein frei gewordener Platz wird für eine **andere** Firewall erst 5 Minuten nach dem Ende der letzten
  Sitzung vergeben (Schutz, falls dort noch ein Tab offen ist, der die Cookies des Platzes teilt); dieselbe Firewall bekommt ihn sofort wieder.
  Sind alle Plätze belegt oder noch in der Abkühlzeit, nennt die Meldung den Grund. Ändern sich Adresse, festgesetztes Zertifikat oder Tunnelweg
  einer Firewall, während ihre Oberfläche offen ist, endet die Sitzung spätestens nach 20 Sekunden. Das Limit von 64 gleichzeitigen Sitzungen
  verdrängt keine laufende Sitzung mehr: eine neue wird abgelehnt (mit Meldung), bis eine endet. **Hinweis:** Das GUI-Gateway-Image muss zur
  Backend-Version passen (wie bisher beim Update beider Container).
- **Anmeldung (Cookies) härter:** Das alte Sitzungs-Cookie `opnexus-session` wird bei HTTPS **nicht mehr akzeptiert**. **Alle, die sich seit der
  Umstellung auf 1.27 nicht neu angemeldet haben, müssen sich einmal neu anmelden**; Skripte mit rohem Sitzungs-Cookie brauchen den Namen
  `__Host-opnexus-session` (API-Tokens sind nicht betroffen, ohne HTTPS bleibt `opnexus-session` der normale Name). Beim Abmelden wird ein altes
  Cookie weiterhin gelöscht. Das Cookie, das die SSO-Anmeldung an den Browser bindet, heißt bei HTTPS jetzt `__Host-opnexus-oidc-state`; der
  Rückweg vom Anbieter wird nur noch als Seitenaufruf (Navigation) von einer fremden Seite zugelassen, und ohne dieses Cookie scheitert er immer.
- **Webhook, Benachrichtigungskanäle und SSO-Anbieter: Schutz vor DNS-Rebinding:** Bisher prüfte OPNexus die Adresse, auf die ein Name zeigt, und
  der HTTP-Client löste den Namen danach noch einmal auf; ein Server unter Fremdkontrolle konnte beim zweiten Mal eine interne Adresse liefern. Jetzt
  verbindet OPNexus genau zu der geprüften Adresse (Host-Name, TLS-Zertifikatsprüfung und Anfrage bleiben beim Namen); zeigt eine Antwort auch nur
  teilweise auf Loopback, Link-Local oder einen Cloud-Metadaten-Dienst (auch AWS-IPv6 und Alibaba), kommt keine Verbindung zustande und die Zustellung meldet „Zieladresse nicht
  erlaubt“. Private Netze bleiben erlaubt (eigener ntfy, Gotify, Matrix). Proxy-Umgebungsvariablen werden für diese Aufrufe nicht mehr beachtet.
- **Benachrichtigungen parallel zugestellt:** Webhook, E-Mail und alle Kanäle werden gleichzeitig bedient, jeder mit eigener Zeitgrenze (20 Sekunden),
  und ein Prüfdurchlauf sendet insgesamt höchstens 90 Sekunden. Ein hängender Kanal verzögert weder die anderen noch die nächsten Prüfungen; im Log
  steht dann „timed out“ (ohne Adresse oder Token). Wie bisher wird einmal je Ereignis zugestellt, ohne Wiederholung, **außer** der Durchlauf war so voll, dass
  für ein Ereignis noch gar kein Versuch stattfand: es wird im nächsten Durchlauf zugestellt. Die Zustellung beginnt jetzt nach allen Prüfungen
  eines Durchlaufs statt mitten darin.
- **Rollouts: Fingerabdruck, verantwortliche Person, überlappende Termine:** Der Fingerabdruck eines aktivierten Plans umfasst jetzt auch die
  ausgelassenen und verschobenen Termine seines Fensters: **wer einen Termin auslässt oder verschiebt, muss einen automatischen Plan danach neu
  aktivieren** (ohne solche Ausnahmen bleiben bestehende Aktivierungen gültig; **Pläne, deren Fenster schon Ausnahmen haben, nach dem Update
  einmal neu aktivieren**, sonst meldet der Plan „Plan geändert“ und startet nicht automatisch). Die verantwortliche Person (Aktivierende, Startende, Freigebende)
  wird zusätzlich als Konto-ID gespeichert (Migration 0026, bestehende Einträge werden über den Namen zugeordnet): ein gelöschtes und unter gleichem
  Namen neu angelegtes Konto gilt nicht mehr als dieselbe Person, der Lauf pausiert bzw. der automatische Start unterbleibt mit „Person darf nicht mehr
  ausrollen“. Angezeigt wird weiter der Benutzername. Überlappen sich zwei Termine eines Wartungsfensters, zählt der zuletzt begonnene (bisher der
  früheste), sodass ein älterer, längst abgeschnittener Termin keinen neuen Start mehr blockiert.
- **Kleinigkeiten:** Ressourcen-Alarme zeigen bei fehlendem Messwert keine Zahl mehr („None %“ entfällt). Der Dialog „Von Firewall übernehmen“ zeigt ohne aktive
  Firewall einen Hinweis statt dauerhaft „Lädt…“. Fehlermeldungen beim Übernehmen und Verknüpfen nennen die Gründe in Klartext (Deutsch/Englisch) statt
  roher Codes wie `name_exists`; dasselbe gilt für „GUI-Zugriff nicht eingerichtet“ und blockierte Netzwerkänderungen. Der Test-Knopf der
  Benachrichtigungskanäle ist für Nicht-Admins ausgeblendet (der Server verweigert den Test ohnehin). Der Tooltip der aktiven Plätze nennt keine
  Umgebungsvariable mehr. Eine Gateway-Sitzung, die der Gateway-Container nicht mehr bestätigt (Absturz), zählt für die Abkühlzeit der Plätze als
  beendet.
- **Grafana-Dashboard erweitert:** neue Felder für Gateways (erreichbar, Paketverlust, Latenz), Swap, gestoppte Dienste, fehlende API-Rechte und
  Rollouts nach Status; dazu die Metrik `opnexus_rollout_runs{status}`.
2026-10-22 01:58:06 +02:00

257 lines
11 KiB
TypeScript

"use client";
import { Badge } from "@/components/ui/Badge";
import { Button } from "@/components/ui/Button";
import { EmptyState } from "@/components/ui/EmptyState";
import { Modal } from "@/components/ui/Modal";
import { Select } from "@/components/ui/Field";
import { useToast } from "@/components/ui/Toast";
import { useLanguage } from "@/components/LanguageProvider";
import { AdoptLinkChoice } from "@/components/AdoptLinkChoice";
import { AdoptAllResult, AdoptKind, api, Host, UnmanagedObject } from "@/lib/api";
import { useEffect, useMemo, useState } from "react";
interface Props {
kind: AdoptKind;
hosts: Host[];
onClose: () => void;
onAdopted: () => void;
}
const TITLE_KEY: Record<AdoptKind, string> = {
aliases: "adopt.title.aliases",
"port-forward": "adopt.title.portForward",
"one-to-one": "adopt.title.oneToOne",
"outbound-nat": "adopt.title.outboundNat",
};
// The alias types OPNexus manages (the others only show OPNsense's own English label).
const ALIAS_TYPES = ["host", "network", "port", "networkgroup", "mac", "asn"];
function endpoint(net: string | undefined, port: string | undefined): string {
const base = net || "any";
return port ? `${base}:${port}` : base;
}
function isSystem(item: UnmanagedObject): boolean {
return item.reasons.length === 1 && item.reasons[0] === "system";
}
/**
* Lists the aliases / NAT rules that exist on a firewall but are not managed by OPNexus yet and lets the
* operator take them over, one by one or all adoptable ones at once. Taking over only records the object —
* nothing is written to the firewall until it is changed and rolled out the normal way (same idea as
* AdoptRulesModal for filter rules).
*/
export function AdoptObjectsModal({ kind, hosts, onClose, onAdopted }: Props) {
const { t, errorMessage } = useLanguage();
const toast = useToast();
const enabledHosts = hosts.filter((h) => h.enabled);
// Derived rather than initialised once: the host list may still be loading when the dialog opens.
const [chosenHostId, setHostId] = useState("");
const hostId = chosenHostId || enabledHosts[0]?.id || "";
const [items, setItems] = useState<UnmanagedObject[] | null>(null);
const [error, setError] = useState<string | null>(null);
const [busy, setBusy] = useState<string | null>(null);
const [result, setResult] = useState<AdoptAllResult | null>(null);
const [confirming, setConfirming] = useState(false);
function load(id: string) {
setItems(null);
setError(null);
api
.listUnmanagedObjects(kind, id)
.then(setItems)
.catch((e) => {
setItems([]);
setError(errorMessage(e, "adopt.loadFailed"));
});
}
useEffect(() => {
if (hostId) {
setResult(null);
setConfirming(false);
load(hostId);
}
// eslint-disable-next-line react-hooks/exhaustive-deps
}, [hostId]);
const shown = useMemo(
() => (items ?? []).filter((i) => !isSystem(i)).sort((a, b) => Number(b.adoptable) - Number(a.adoptable) || Number(b.bulk_adoptable) - Number(a.bulk_adoptable)),
[items]
);
const systemCount = (items ?? []).filter(isSystem).length;
const linkCount = shown.filter((i) => i.bulk_action === "link").length;
const newCount = shown.filter((i) => i.bulk_action === "new").length;
const leftCount = shown.length - linkCount - newCount;
const bulkCount = linkCount + newCount;
function reasonText(code: string, details: Record<string, string>): string {
return t(`adopt.reasons.${code}`, { detail: details[code] ?? "" });
}
function describe(item: UnmanagedObject): string {
const i = item.info;
switch (kind) {
case "aliases":
return [ALIAS_TYPES.includes(i.type) ? t(`aliases.type.${i.type}`) : i.type_label, t("adopt.entries", { count: i.entries })].filter(Boolean).join(" · ");
case "port-forward":
return `${i.interface_label} · ${i.protocol} ${endpoint(i.source, i.source_port)} → ${endpoint(i.destination, i.destination_port)} ⇒ ${endpoint(i.target, i.target_port)}`;
case "one-to-one":
return `${i.interface_label} · ${i.type.toUpperCase()} · ${i.source} ⇄ ${i.external}${i.destination && i.destination !== "any" ? ` · ${t("adopt.towards", { destination: i.destination })}` : ""}`;
case "outbound-nat":
return `${i.interface_label} · ${i.protocol} ${endpoint(i.source, i.source_port)} → ${endpoint(i.destination, i.destination_port)} ⇒ ${i.target ? endpoint(i.target, i.target_port) : t("adopt.interfaceAddress")}`;
}
}
async function adopt(item: UnmanagedObject, linkTo?: string) {
setBusy(item.uuid);
try {
await api.adoptObject(kind, hostId, item.uuid, linkTo);
toast.show(t(linkTo ? "adopt.linked" : "adopt.adopted", { name: item.title }), "success");
onAdopted();
load(hostId);
} catch (e) {
toast.show(errorMessage(e, "adopt.failed"), "danger");
} finally {
setBusy(null);
}
}
async function adoptAll() {
setBusy("all");
setConfirming(false);
try {
const done = await api.adoptAllObjects(kind, hostId, true);
setResult(done);
toast.show(allDoneText(done), done.adopted.length ? "success" : "info");
onAdopted();
load(hostId);
} catch (e) {
toast.show(errorMessage(e, "adopt.failed"), "danger");
} finally {
setBusy(null);
}
}
function allDoneText(done: AdoptAllResult): string {
return t("adopt.allDoneLinked", {
count: done.adopted.length,
linked: done.adopted.filter((a) => a.linked).length,
skipped: done.skipped.length,
});
}
return (
<Modal title={t(TITLE_KEY[kind])} onClose={onClose}>
<div className="max-h-[70vh] space-y-4 overflow-y-auto pr-1">
<p className="text-sm text-slate-600">{t("adopt.intro")}</p>
<div className="flex flex-wrap items-center justify-between gap-3">
<label className="flex items-center gap-2 text-sm text-slate-600">
{t("adopt.host")}
<Select className="w-auto" value={hostId} onChange={(e) => setHostId(e.target.value)}>
{enabledHosts.map((h) => (
<option key={h.id} value={h.id}>
{h.name}
</option>
))}
</Select>
</label>
{bulkCount > 0 && (
<Button onClick={() => setConfirming(true)} disabled={busy !== null || confirming} loading={busy === "all"}>
{t("adopt.all", { count: bulkCount })}
</Button>
)}
</div>
{confirming && (
<div role="alertdialog" aria-label={t("adopt.confirm.title")} className="space-y-2 rounded-lg border border-slate-300 bg-slate-50 p-3 text-sm text-slate-700">
<p className="font-medium">{t("adopt.confirm.summary", { link: linkCount, created: newCount, left: leftCount })}</p>
<p className="text-xs text-slate-500">{t("adopt.confirm.note")}</p>
<div className="flex flex-wrap gap-2">
<Button onClick={adoptAll} disabled={busy !== null} loading={busy === "all"}>
{t("adopt.confirm.go")}
</Button>
<Button variant="ghost" onClick={() => setConfirming(false)}>
{t("common.cancel")}
</Button>
</div>
</div>
)}
{error && <p role="alert" className="text-sm text-red-600">{error}</p>}
{enabledHosts.length === 0 && <EmptyState title={t("adopt.noHosts.title")} description={t("adopt.noHosts.description")} />}
{enabledHosts.length > 0 && items === null && <p className="text-sm text-slate-500">{t("common.loading")}</p>}
{items !== null && shown.length === 0 && !error && <p className="text-sm text-slate-500">{t("adopt.none")}</p>}
{result && (
<div role="status" className="rounded-lg border border-slate-200 bg-slate-50 p-3 text-sm text-slate-700">
<p className="font-medium">{allDoneText(result)}</p>
{result.skipped.length > 0 && (
<ul className="mt-2 space-y-1 text-xs text-slate-500">
{result.skipped.map((s) => (
<li key={s.uuid}>
<span className="font-medium text-slate-700">{s.title}</span>: {s.reasons.map((code) => reasonText(code, s.reason_details)).join(" · ")}
</li>
))}
</ul>
)}
</div>
)}
<ul className="space-y-2">
{shown.map((item) => (
<li key={item.uuid} className="rounded-lg border border-slate-200 p-3">
<div className="flex flex-wrap items-center justify-between gap-2">
<div className="min-w-0">
<p className="truncate font-medium text-slate-900">
{item.title}
{!item.enabled && <span className="ml-2 text-xs font-normal text-slate-500">{t("common.statusDisabled")}</span>}
</p>
<p className="break-words text-xs text-slate-500">{describe(item)}</p>
{kind === "aliases" && item.info.content && (
<p className="mt-1 whitespace-pre-line break-all font-mono text-xs text-slate-500">{item.info.content}</p>
)}
{kind === "aliases" && item.info.description && <p className="mt-1 text-xs text-slate-500">{item.info.description}</p>}
</div>
{item.linkable ? (
<Badge tone="info">{t("adopt.link.badge")}</Badge>
) : item.adoptable ? (
<Button variant="outline" onClick={() => adopt(item)} disabled={busy !== null} loading={busy === item.uuid}>
{t("adopt.action")}
</Button>
) : (
<Badge tone={item.bulk_adoptable ? "info" : "neutral"}>
{item.bulk_adoptable ? t("adopt.bulkOnly") : t("adopt.notPossible")}
</Badge>
)}
</div>
<AdoptLinkChoice
linkable={item.linkable}
matches={item.matches}
similar={item.similar}
canAdoptNew={item.adoptable}
busy={busy === item.uuid}
anyBusy={busy !== null}
onLink={(objectId) => adopt(item, objectId)}
onAdoptNew={() => adopt(item)}
/>
{!item.adoptable && !item.linkable && (
<p className="mt-2 text-xs text-slate-500">{item.reasons.map((code) => reasonText(code, item.reason_details)).join(" · ")}</p>
)}
{item.kept.length > 0 && (
<p className="mt-2 text-xs text-slate-500">
{t("adopt.kept", { fields: item.kept.map((field) => t(`adopt.keptFields.${field}`)).join(", ") })}
</p>
)}
</li>
))}
</ul>
{systemCount > 0 && <p className="text-xs text-slate-500">{t("adopt.systemNote", { count: systemCount })}</p>}
<div className="flex justify-end">
<Button type="button" variant="ghost" onClick={onClose}>
{t("common.close")}
</Button>
</div>
</div>
</Modal>
);
}