removed cloudflare, restructured and created files (see changes in ToDo File

Author: Luis Herr

ToDo_reforming.md

@@ -0,0 +1,55 @@
+#### Admin Guide
+- ...
+- [x] ~~monitoring~~ <-- Verschoben
+- [x] ~~backup~~ 
+- [ ] Theorie
+	- [x] vergleich nginx / traefik
+	- [ ] use cases
+		- [ ] ipv6 pro service
+			- [ ] layer 3 kontrolle über die services
+		- [ ] warum ipv4 -> v6 proxy
+			- [ ] virtualisierung und wenig ipv4 adressen
+			- [ ] ipv6 only server
+		- [x] Vergleich der Möglichkeiten -> Grafik anpassen (In das use case Kapitel)
+
+
+#### Installation
+- [ ] Basisinstallation
+	- [x] Admin Gruppe
+	- [x] Docker
+	- [ ] backup
+	- [ ] monitoring
+- [ ] nginx als Reverse Proxy
+	- [ ] Aktuelle nginx ohne Proxy erklärung übernehmen und Anpassen (siehe unten)
+	- [ ] usefull scripts 
+		- [ ] searchport
+		- [ ] ipv6 gen script
+- [ ] traefik als Reverse Proxy
+	- [ ] aktuelle Traefik ohne Proxy übernehmen??
+- [ ] IPv4 -> IPv6 Proxy
+	- [ ] nginx file
+
+- [x] Alles mit Cloudflare raus
+- [x] Basisinstallation  -> Grafik anpassen (xml in jpg drinne)
+
+- [ ] Backup:
+	- [ ] Ordner mit SSL Zertifikaten speichern (/root/acme.sh oder /etc/ssl)
+- [ ] nginx ohne Proxy
+	- [ ] Bilder
+	- ![[Pasted image 20250805224551.png]]
+	- ![[Pasted image 20250805224712.png]]
+	- ![[Pasted image 20250805224846.png]]
+	- [ ] Client IP Address Filtering -> Tipp: Ipv6 Subnet hinzufügen (wenn vorhanden)
+	- [ ] IPv6
+		- [ ] add del line beneath every ipv6
+	- [ ] nginx service datei: erster Server Block löschen
+
+
+#### Nginx files:
+- [ ] http2 im listener testen ob benötigt wenn http2 = on
+- [ ] ipv6 redirect global file
+- [ ] überall OCSP stapling raus
+- [ ] hinzufügen ```
+	- [ ] ssl_ecdh_curve X25519:prime256v1:secp384r1;
+	- [ ] http2 on;
+

docs/30_Theorie.md

@@ -0,0 +1,99 @@
+# Theorie (Namen werden noch überarbeitet)
+
+## Anwendungsbereiche für Teilempfehlungenen
+
+### IPv6 Adresse für jeden Service einzeln
+- layer 3 Protokoll "Security" für jeden Service
+
+### Wofür benötigt man einen IPv4 -> IPv6 Proxy?
+- Virtualisierungsumgebung und wenig IPv4 Adressen
+- IPv6 Only Server
+
+
+### IPv4-to-IPv6 Proxy
+
+Dieser einfache IPv4-to-IPv6 Proxy unterstützt in seiner ersten Version lediglich HTTP Verbindungen auf Port 80 und TLS
+Verbindungen auf Port 443. Eine Anpassung dieser Konfiguration um einige anderen Protokolle (SMTPs, IMAPs, POP3s) welche
+TLS verwenden zu unterstützten ist denkbar.
+
+Aus Gründen der Vollständigkeit hier einmal die nginx Konfiguration für den Proxy für Alpine Linux. Die Einrichtung ist
+denkbar einfach: nginx installieren, die untenstehende Konfiguration kopieren und den Proxy starten:
+
+```nginx
+user nginx;
+worker_processes auto;
+
+error_log /var/log/nginx/error.log notice;
+pid /var/run/nginx.pid;
+
+
+events {
+    worker_connections 1024;
+}
+
+http {
+    include /etc/nginx/mime.types;
+    default_type application/octet-stream;
+
+    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
+                    '$status $body_bytes_sent "$http_referer" '
+                    '"$http_user_agent" "$http_x_forwarded_for"';
+    access_log /var/log/nginx/access.log  main;
+
+    sendfile on;
+    keepalive_timeout 65;
+
+    server {
+        listen 80 default_server;
+        location / {
+            return 301 https://$host$request_uri;
+        }
+    }
+}
+
+stream {
+    # https://gist.github.com/kekru/c09dbab5e78bf76402966b13fa72b9d2#non-terminating-tls-pass-through
+    server {
+        listen 443;
+
+        proxy_connect_timeout 1s;
+        proxy_timeout 3s;
+
+        resolver 1.1.1.1 1.0.0.1 [2606:4700:4700::1111] [2606:4700:4700::1001] ipv6=on ipv4=off;
+
+        proxy_pass $ssl_preread_server_name:443;
+        ssl_preread on;
+    }
+}
+```
+
+### Vergleich der Proxy Möglichkeiten
+
+![Schaubild](../img/schaubild_cloudflare-vs-transparent-proxy.png){: loading=lazy }
+
+Aus meiner Sicht ergibt die Verwendung eines eigenen vorgeschaltenen Proxies nur Sinn, wenn mehr als ein 
+Server administriert wird und die Web-Server über IPv6 Adressen exposiert bereitstellt werden.
+
+Wird lediglich ein System betreut (wie z.B. der oben erwähnte Cloudserver), kann die zugewiesene IPv4 
+Adresse natürlich ebenfalls auf den Ports 80 und 443 verwendet werden und dann auf den Reverse Proxy 
+zeigen. Dadurch entfällt die Abhängigkeit zu anderen Systemen.
+
+Sofern der Cloudserver über keine eigene IPv4 Adresse oder keine
+eigenen IPv6 Adressen verfügt, sollte ein Proxy vorgeschaltet werden,
+um den Nutzern, die keine IPv4/IPv6 Adresse verfügen den Zugriff zu
+ermöglichen.
+
+Wird Cloudflare Proxy verwendet erkauft man sich neben der Erreichbarkeit
+diverse Vorteile (DDoS Protection,
+[Web Application Firewall](https://developers.cloudflare.com/waf/managed-rules/),
+[Page Rules](https://www.cloudflare.com/features-page-rules/)).
+
+Jedoch sollte man einige Details beachten, bevor man sich auf Cloudflare festlegt.
+Der Datenverkehr der Nutzer liegt bei Cloudflare unverschlüsselt vor, da diese die
+TLS Pakete terminieren. In der kostenfreien Version von Cloudflare Proxy können
+des Weiteren keine gestackten Subdomains (`sub.sub.domain.de`) eingerichtet werden,
+da dafür kein TLS Zertifikat angefordert werden kann.
+
+
+
+## Vergleich nginx / traefik

docs/30_backup.md

@@ -1 +1,75 @@
-<mxfile host="Electron" modified="2023-02-10T23:10:18.002Z" agent="5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) draw.io/20.6.2 Chrome/106.0.5249.199 Electron/21.3.3 Safari/537.36" version="20.6.2" etag="sFu-EArZlYoDhIFpad0w" type="device"><diagram id="njIiju-AVSU0POU4GLiy" name="Page-1">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</diagram></mxfile>
+<mxfile host="Electron" agent="Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) draw.io/26.1.1 Chrome/138.0.7204.157 Electron/37.2.4 Safari/537.36" version="26.1.1">
+  <diagram id="njIiju-AVSU0POU4GLiy" name="Page-1">
+    <mxGraphModel dx="1195" dy="696" grid="1" gridSize="10" guides="1" tooltips="1" connect="1" arrows="1" fold="1" page="1" pageScale="1" pageWidth="850" pageHeight="1100" math="0" shadow="0">
+      <root>
+        <mxCell id="0" />
+        <mxCell id="1" parent="0" />
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-2" value="Actor" style="shape=umlActor;verticalLabelPosition=bottom;verticalAlign=top;html=1;outlineConnect=0;" parent="1" vertex="1">
+          <mxGeometry x="40" y="200" width="30" height="60" as="geometry" />
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-4" value="Eigener&lt;br&gt;transparenter&lt;br&gt;Proxy" style="ellipse;shape=cloud;whiteSpace=wrap;html=1;" parent="1" vertex="1">
+          <mxGeometry x="200" y="150" width="120" height="80" as="geometry" />
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-10" value="" style="endArrow=classic;html=1;rounded=0;" parent="1" edge="1">
+          <mxGeometry width="50" height="50" relative="1" as="geometry">
+            <mxPoint x="80" y="240" as="sourcePoint" />
+            <mxPoint x="200" y="190" as="targetPoint" />
+          </mxGeometry>
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-11" value="IPv4" style="edgeLabel;html=1;align=center;verticalAlign=middle;resizable=0;points=[];" parent="NeJ6TIGh4lUE9vMk7l9H-10" vertex="1" connectable="0">
+          <mxGeometry x="0.27" y="1" relative="1" as="geometry">
+            <mxPoint x="-16" y="-7" as="offset" />
+          </mxGeometry>
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-12" value="" style="endArrow=classic;html=1;rounded=0;" parent="1" edge="1">
+          <mxGeometry width="50" height="50" relative="1" as="geometry">
+            <mxPoint x="80" y="240" as="sourcePoint" />
+            <mxPoint x="440" y="240" as="targetPoint" />
+          </mxGeometry>
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-13" value="IPv6" style="edgeLabel;html=1;align=center;verticalAlign=middle;resizable=0;points=[];" parent="NeJ6TIGh4lUE9vMk7l9H-12" vertex="1" connectable="0">
+          <mxGeometry x="0.27" y="1" relative="1" as="geometry">
+            <mxPoint x="-129" y="-9" as="offset" />
+          </mxGeometry>
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-14" value="" style="endArrow=classic;html=1;rounded=0;" parent="1" edge="1">
+          <mxGeometry width="50" height="50" relative="1" as="geometry">
+            <mxPoint x="320" y="189.8" as="sourcePoint" />
+            <mxPoint x="440" y="240" as="targetPoint" />
+          </mxGeometry>
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-15" value="IPv6" style="edgeLabel;html=1;align=center;verticalAlign=middle;resizable=0;points=[];" parent="NeJ6TIGh4lUE9vMk7l9H-14" vertex="1" connectable="0">
+          <mxGeometry x="0.27" y="1" relative="1" as="geometry">
+            <mxPoint x="-8" y="-15" as="offset" />
+          </mxGeometry>
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-18" value="Reverse Proxy&lt;br&gt;(Traefik / nginx)" style="rounded=1;whiteSpace=wrap;html=1;" parent="1" vertex="1">
+          <mxGeometry x="440" y="220" width="100" height="40" as="geometry" />
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-19" value="&lt;font style=&quot;font-size: 8px;&quot;&gt;[::]:443&lt;/font&gt;" style="text;html=1;strokeColor=none;fillColor=none;align=center;verticalAlign=middle;whiteSpace=wrap;rounded=0;" parent="1" vertex="1">
+          <mxGeometry x="410" y="243" width="30" height="10" as="geometry" />
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-21" value="Actor" style="shape=umlActor;verticalLabelPosition=bottom;verticalAlign=top;html=1;outlineConnect=0;" parent="1" vertex="1">
+          <mxGeometry x="40" y="320" width="30" height="60" as="geometry" />
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-22" value="Reverse Proxy&lt;br&gt;(Traefik / nginx)" style="rounded=1;whiteSpace=wrap;html=1;" parent="1" vertex="1">
+          <mxGeometry x="440" y="340" width="100" height="40" as="geometry" />
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-23" value="" style="endArrow=classic;html=1;rounded=0;" parent="1" edge="1">
+          <mxGeometry width="50" height="50" relative="1" as="geometry">
+            <mxPoint x="80" y="359.76" as="sourcePoint" />
+            <mxPoint x="440" y="359.76" as="targetPoint" />
+          </mxGeometry>
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-24" value="IPv4 / IPv6" style="edgeLabel;html=1;align=center;verticalAlign=middle;resizable=0;points=[];" parent="NeJ6TIGh4lUE9vMk7l9H-23" vertex="1" connectable="0">
+          <mxGeometry x="0.27" y="1" relative="1" as="geometry">
+            <mxPoint x="-49" y="-9" as="offset" />
+          </mxGeometry>
+        </mxCell>
+        <mxCell id="NeJ6TIGh4lUE9vMk7l9H-25" value="&lt;font style=&quot;font-size: 8px;&quot;&gt;[::]:443&lt;/font&gt;" style="text;html=1;strokeColor=none;fillColor=none;align=center;verticalAlign=middle;whiteSpace=wrap;rounded=0;" parent="1" vertex="1">
+          <mxGeometry x="410" y="363" width="30" height="10" as="geometry" />
+        </mxCell>
+      </root>
+    </mxGraphModel>
+  </diagram>
+</mxfile>

docs/img/installation/cloudflare_origin-cert.png

@@ -79,89 +79,6 @@ Webservers, sodass die Nutzer sich direkt mit diesem Verbinden können. Falls di
 verfügen, nutzen Sie den im IPv4 (DNS A-Record) hinterlegten IPv4-to-IPv6 Proxy, der die Anfragen dann über IPv6
 weiterleitet, OHNE die TLS Verbindung zu terminieren. Dies hat den Vorteil das keine TLS Zertifikate benötigt werden.
 
-### IPv4-to-IPv6 Proxy
-
-Dieser einfache IPv4-to-IPv6 Proxy unterstützt in seiner ersten Version lediglich HTTP Verbindungen auf Port 80 und TLS
-Verbindungen auf Port 443. Eine Anpassung dieser Konfiguration um einige anderen Protokolle (SMTPs, IMAPs, POP3s) welche
-TLS verwenden zu unterstützten ist denkbar.
-
-Aus Gründen der Vollständigkeit hier einmal die nginx Konfiguration für den Proxy für Alpine Linux. Die Einrichtung ist
-denkbar einfach: nginx installieren, die untenstehende Konfiguration kopieren und den Proxy starten:
-
-```nginx
-user nginx;
-worker_processes auto;
-
-error_log /var/log/nginx/error.log notice;
-pid /var/run/nginx.pid;
-
-
-events {
-    worker_connections 1024;
-}
-
-http {
-    include /etc/nginx/mime.types;
-    default_type application/octet-stream;
-
-    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
-                    '$status $body_bytes_sent "$http_referer" '
-                    '"$http_user_agent" "$http_x_forwarded_for"';
-    access_log /var/log/nginx/access.log  main;
-
-    sendfile on;
-    keepalive_timeout 65;
-
-    server {
-        listen 80 default_server;
-        location / {
-            return 301 https://$host$request_uri;
-        }
-    }
-}
-
-stream {
-    # https://gist.github.com/kekru/c09dbab5e78bf76402966b13fa72b9d2#non-terminating-tls-pass-through
-    server {
-        listen 443;
-
-        proxy_connect_timeout 1s;
-        proxy_timeout 3s;
-
-        resolver 1.1.1.1 1.0.0.1 [2606:4700:4700::1111] [2606:4700:4700::1001] ipv6=on ipv4=off;
-
-        proxy_pass $ssl_preread_server_name:443;
-        ssl_preread on;
-    }
-}
-```
-
-### Vergleich der Möglichkeiten
-
-![Schaubild](../img/schaubild_cloudflare-vs-transparent-proxy.png){: loading=lazy }
-
-Aus meiner Sicht ergibt die Verwendung eines eigenen vorgeschaltenen Proxies nur Sinn, wenn mehr als ein 
-Server administriert wird und die Web-Server über IPv6 Adressen exposiert bereitstellt werden.
-
-Wird lediglich ein System betreut (wie z.B. der oben erwähnte Cloudserver), kann die zugewiesene IPv4 
-Adresse natürlich ebenfalls auf den Ports 80 und 443 verwendet werden und dann auf den Reverse Proxy 
-zeigen. Dadurch entfällt die Abhängigkeit zu anderen Systemen.
-
-Sofern der Cloudserver über keine eigene IPv4 Adresse oder keine
-eigenen IPv6 Adressen verfügt, sollte ein Proxy vorgeschaltet werden,
-um den Nutzern, die keine IPv4/IPv6 Adresse verfügen den Zugriff zu
-ermöglichen.
-
-Wird Cloudflare Proxy verwendet erkauft man sich neben der Erreichbarkeit
-diverse Vorteile (DDoS Protection,
-[Web Application Firewall](https://developers.cloudflare.com/waf/managed-rules/),
-[Page Rules](https://www.cloudflare.com/features-page-rules/)).
-
-Jedoch sollte man einige Details beachten, bevor man sich auf Cloudflare festlegt.
-Der Datenverkehr der Nutzer liegt bei Cloudflare unverschlüsselt vor, da diese die
-TLS Pakete terminieren. In der kostenfreien Version von Cloudflare Proxy können
-des Weiteren keine gestackten Subdomains (`sub.sub.domain.de`) eingerichtet werden,
-da dafür kein TLS Zertifikat angefordert werden kann.
 
 ### Reverse Proxy