Edge-Grundsatz
Zielgruppe: Anwender und Betreuer · Stand: 06.11.2026
Der Edge ist das Eingangstor für Menschen. Oberflächen und Dashboards bekommen dort einen eigenen Hostnamen. Maschinen sprechen intern miteinander und nie über den Edge.
Regeln
- Für Menschen über den Edge: Web-Oberflächen (z. B. Traefik-Dashboard, Nomad-UI, Grafana, Graylog) bekommen einen Hostnamen unter der passenden Wildcard (Lab:
*.lab.bre1.dexpro.services) und einen Router am Edge-Traefik. - Keine Umwege: keine SSH-Tunnel, keine Port-Forwards, keine ungeschützten Admin-Ports.
- Maschinen intern: Dienste untereinander (z. B. Backup-Jobs zur Nomad-API, Consul zu Nomad) nutzen interne Namen wie
*.service.consulund nie Edge-Hostnamen. - Nie über den Edge: interne Jobs, APIs für Maschinen und OpenBao.
Ein interner Dienst, der über den Edge erreichbar ist, ist von außen angreifbar. Im Zweifel bleibt ein Dienst intern.
Vorgehen: Oberfläche veröffentlichen
- Hostnamen unter der Wildcard der Umgebung wählen.
- Bei Diensten in Nomad oder Consul: Route über Tags im Consul-Katalog definieren. Der Edge übernimmt sie automatisch. Wie das geht, steht in Router per Consul-Tags definieren. Ob der Weg direkt oder über den internen Ingress läuft, erklärt Dienst veröffentlichen: Edge oder interner Ingress.
- Prüfen, dass die Oberfläche eine Anmeldung hat. Der Edge ersetzt keine Authentifizierung.
Stolperfallen
- Admin-APIs von Traefik lauschen nur lokal (
127.0.0.1:8080). Das Dashboard läuft über einen eigenen Router. - Datenbank-Verbindungen über Edge-TCP-Entrypoints sind nur intern. Die Datenbank sieht dabei die IP des Edges, nicht die des Clients. Grants mit Host-Beschränkung müssen das berücksichtigen.