# Gültiger Stand und Verlauf

<p class="callout info">Zielgruppe: Anwender und Betreuer · Stand: 06.11.2026</p>

Hier steht, was für Consul bei DEXPRO gerade gilt und wie es dazu kam. Schau hier nach, bevor Du Dich auf ältere Notizen oder Gespräche verlässt.

## Gültiger Stand

- **Konzept** (20.10.2026): Consul wird neu aufgebaut, mit ACL `default_policy = deny`, TLS und Connect (Service Mesh). Jeder Konsument bekommt eine eigene Policy und ein eigenes Token. Der Bestand in DEV und Produktion bleibt unverändert. TLS und ACL kommen dort nur über Neuaufbau und Migration.
- **Entscheidung** (20.10.2026): Die HTTP-API der Clients lauscht nur lokal auf `127.0.0.1:8500`. Für CI-Runner bieten die Server HTTPS auf Port `8501` an.
- **Regel** (20.10.2026): Der Edge-Traefik liest den Katalog mit einem eigenen Token der Policy `traefik-catalog`, die Services und Nodes lesen darf. Ein Default-Token gibt es nicht. Beim Einschalten der ACL kommt zuerst das Traefik-Token, danach die ACL.
- **Regel** (21.10.2026): Intentions entstehen nur per Terraform im Stack `cloud-core-infrastructure/bremen1/consul-servers` (`config_entries`) und werden nur ergänzt. Default-Deny ist aktiv: Ohne Intention kommt keine Verbindung durchs Mesh.
- **Konzept** (20.10.2026): KV-Schema `traefik/<stage>/tcp/<entrypoint>` für TCP-Entrypoints des Edge, `services/<stage>/…` für Dienstkonfiguration und `squeeze.config/<partner>/…` (ohne Stage) für SQUEEZE-Mandanten.
- **Fakt** (20.10.2026): Lab-PoC: Das Lab ist die Stage `pre-development` und läuft im sogenannten DEV-Netz. In der Konfiguration tragen die Lab-Consul-Server deshalb technisch `stage = dev`, nur KV-Präfixe und Token-Namen tragen `lab`. Deshalb tragen Lab-Dienste den Stage-Tag `dev` (siehe [Dienst im Consul-Katalog registrieren](https://docs.squeeze.one/books/consul/page/dienst-im-consul-katalog-registrieren)).
- **Entscheidung** (30.10.2026): Server-Zertifikate kommen nur noch aus OpenBao (Modul-Linie `0.3` von `terraform-modules/proxmox/consul`). Details: [Consul-Zertifikate aus OpenBao](https://docs.squeeze.one/books/openbao/page/consul-zertifikate-aus-openbao).

## Verlauf

- **Fakt** (30.10.2026): Der Lab-Cluster wurde mit dem gesamten Lab abgerissen. Neu aufgebaut wird er nur über den OpenBao-Weg.
- **Regel** (28.10.2026): Jeder Neuaufbau des ACL-Setups setzt manuell angelegte Intentions zurück. Deshalb Intentions nur in Terraform pflegen (siehe Gültiger Stand).
- **Fakt** (22.10.2026): Der bisherige DEV-Cluster ist abgerissen.
- **Entscheidung** (20.10.2026): Das Lab läuft mit Consul `2.0.3`. Für den Bestand in DEV und Produktion bleibt der Rollen-Default `1.21.5`.
- **Konzept** (20.10.2026): Start des Neuaufbaus im Lab mit ACL deny, TLS und Connect.