Netz

Edge-Grundsatz

Zielgruppe: Anwender und Betreuer · Stand: 06.11.2026

Der Edge ist das Eingangstor für Menschen. Oberflächen und Dashboards bekommen dort einen eigenen Hostnamen. Maschinen sprechen intern miteinander und nie über den Edge.

Regeln

Ein interner Dienst, der über den Edge erreichbar ist, ist von außen angreifbar. Im Zweifel bleibt ein Dienst intern.

Vorgehen: Oberfläche veröffentlichen

  1. Hostnamen unter der Wildcard der Umgebung wählen.
  2. Bei Diensten in Nomad oder Consul: Route über Tags im Consul-Katalog definieren. Der Edge übernimmt sie automatisch. Wie das geht, steht in Router per Consul-Tags definieren. Ob der Weg direkt oder über den internen Ingress läuft, erklärt Dienst veröffentlichen: Edge oder interner Ingress.
  3. Prüfen, dass die Oberfläche eine Anmeldung hat. Der Edge ersetzt keine Authentifizierung.

Stolperfallen

Weiterführend

Firewall-Freigaben anfragen

Zielgruppe: Anwender · Stand: 06.11.2026

Zwischen den Netzen (z. B. von den GitLab-Runnern zu Diensten im Lab) filtert eine Firewall. Fehlt eine Freigabe, scheitern Pipelines oder Dienste mit Timeouts. So bekommst du eine Freigabe.

Vorgehen

  1. Verbindung genau beschreiben: Quelle (Host bzw. Gruppe, z. B. „GitLab-Runner“), Ziel (Hostname), Port und Protokoll (TCP/UDP), Zweck.
  2. Nur das Nötigste anfragen: einzelne Ports, keine Bereiche „zur Sicherheit“.
  3. Die Freigabe beim Netzteam bzw. den Betreuern beantragen. Firewall-Regeln setzen nur sie.
  4. Nach der Freigabe die Verbindung testen.

Prüfen

nc -vz <ziel-hostname> <port>

„succeeded“ bzw. „open“ heißt: Die Freigabe wirkt.

Stolperfallen

Weiterführend

Dienst veröffentlichen: Edge oder interner Ingress

Zielgruppe: Anwender und Betreuer · Stand: 06.11.2026

Du willst einen Dienst erreichbar machen und fragst Dich, ob das über den Edge oder den internen Ingress läuft. Diese Seite erklärt den Unterschied und zeigt die Wege. Wie Du Tags und Router konkret schreibst, steht in den Büchern Traefik und Consul.

Erst klären: Wer greift zu?

Edge und interner Ingress

Edge Interner Ingress
Was Traefik-Paar auf eigenen VMs mit VIPs Traefik als Nomad-Job im Cluster
Aufgabe Eingangstor: Hostnamen, Zertifikate, Allowlists, öffentliche Entrypoints verteilt Anfragen im Cluster weiter an Dienste im Mesh
Erreichbar über die VIPs der Umgebung (intern bzw. öffentlich) nur vom Edge, über Consul Connect (mTLS), ohne feste Ports 80/443
Routen kommen aus Tags im Consul-Katalog und Dateien der Rolle traefik der Konfiguration im Nomad-Job des Ingress
Zertifikate Let's Encrypt am Edge keine eigenen, die TLS-Verbindung endet am Edge

Wichtig: Der interne Ingress ist kein zweiter Eingang. Jede Anfrage von Menschen kommt zuerst am Edge an.

Die Wege für einen Dienst

A: Dienst auf einer VM. Der Dienst registriert sich im Consul-Katalog mit Traefik-Tags, der Edge routet direkt dorthin.

Browser → Edge → Dienst

B: Nomad-Dienst direkt vom Edge. Der Dienst hängt im Mesh und trägt traefik.consulcatalog.connect=true. Der Edge spricht ihn per Connect an. Ein Beispiel ist Grafana im Lab.

Browser → Edge → Connect → Dienst

C: Nomad-Dienst über den internen Ingress. Der Ingress trägt die Tags für den Edge und leitet per Connect-Upstream an den Dienst weiter. Ein Beispiel ist der Demo-Dienst im Namespace cpi im Lab.

Browser → Edge → Connect → interner Ingress → Connect → Dienst

Welchen Weg Dein Nomad-Dienst nimmt (B oder C), stimmst Du mit den Betreuern ab.

Vorgehen

  1. Klären, ob ein Mensch oder ein Dienst zugreift (siehe oben). Für Dienste ist hier Schluss: Sie bleiben intern.
  2. Hostnamen unter der Wildcard der Umgebung wählen. Lab-PoC: *.lab.bre1.dexpro.services.
  3. Dienst im Consul-Katalog registrieren: Dienst im Consul-Katalog registrieren.
  4. Router-Tags setzen, bei Weg C am Ingress statt am Dienst: Router per Consul-Tags definieren.
  5. Bei Weg B und C die Intentions bei den Betreuern anfragen: Edge → Dienst bzw. Edge → Ingress und Ingress → Dienst.
  6. Prüfen, dass die Oberfläche eine eigene Anmeldung hat.

Stolperfallen

Öffentlich (Entrypoint public) ist ein Dienst nur nach Absprache mit den Betreuern. Ein interner Dienst, der über den Edge erreichbar ist, ist angreifbar.

Weiterführend