Node64 1.5.8

Änderungen (Deutsch)

• PROXY64: Vom Besucher abgebrochene Anfragen zählen als 499 statt als Fehler 5xx (#120); der Asset-Cache legt Antworten auf Anfragen mit Cookies nur noch ab, wenn das Ziel sie ausdrücklich als öffentlich kennzeichnet.
• Honeypot64: Die eingestellte Startseite der Web-Falle gilt auch für Anfragen ohne passenden Proxy-Host.
• DNS64: MAC-Adressen auch ohne MAC-Gruppe (#79); Sortierung nach Zeit in Abfrage-Log, Geräten und Blocklisten (#80, #123); Hinweis „Ports nicht veröffentlicht“ nennt die Host-Firewall.
• Healthchecks: Meldungen der Module erreichen auch Portal-Kanäle wie Discord, Webhook oder die IPv64 App (#95, #127); Statusseiten ohne Störungen, die ganz in einer Wartung lagen (#75); Tags der Monitor64-Hosts im Filter der Statusseiten (#102); Wartungsfenster gelten auch für Meldungen der ipv64-Server im Hybrid-Modus (#129).
• Oberfläche: Bei Farbschema „System“ blitzt beim Laden keine helle Seite mehr auf (#124); Modul-Logos im Dashboard führen zum Modul (#110); Platzhalter in Eingabefeldern sind blasser und kursiv.
• Anmeldung: Ersteinrichtung, Zwei-Faktor-Codes und Wiederherstellungscodes sind gegen gleichzeitige Anfragen abgesichert; ein Einmalcode gilt nur noch einmal, und das Limit für Fehlversuche greift auch beim zweiten Faktor zuverlässig.
• Image: Go 1.27.4 (Sicherheitskorrektur in net/http), go-jose 4.1.6.
• Start: Mit user: "0:0" bleibt der Zugriff auf den Docker-Socket nach dem Wechsel zum Benutzer 65532 erhalten (#121).
• Monitor64: Fehler behoben – „Abweichung speichern“ unter Schwellen (#107), stehenbleibende Warnung bei „GB frei“ (#109), leere SNMP-Tabelle als fehlgeschlagene Teilabfrage (#98), zweite Platte am gleichen USB-Adapter fehlte (#84), Kategorie „Proxmox“ bei Unraid-VMs (#87); ein geändertes Zertifikat (z. B. FRITZ!Box) lässt sich beim Test neu übernehmen (#121).
• Monitor64: Der Hinweis zum Proxmox-Token erklärt die Privilegientrennung – mit ihr (Standard in der Oberfläche) braucht auch das Token selbst die Rolle PVEAuditor.
• Monitor64: „Bearbeiten“ als eigener Knopf auf der Host-Seite (#126); Höchstalter der Backups beim Proxmox Backup Server einstellbar; „Verbindung testen“ zeigt die verbundene Adresse und die Art des Hostschlüssels; im Docker-Bridge-Netz nennt der SSH-Assistent bei from= nicht mehr die Adresse des Containers.
• Monitor64-Agent 0.1.3: Dateisysteme nicht mehr alle „nur lesbar“ (#97), Start auf UGREEN-NAS/UGOS (#96), automatisches Update unter SELinux (#100).

Changes (English)

• PROXY64: requests aborted by the visitor count as 499 instead of 5xx errors (#120); the asset cache only stores responses to requests with cookies if the target explicitly marks them as public.
• Honeypot64: the configured web trap start page also applies to requests without a matching proxy host.
• DNS64: MAC addresses without a MAC group (#79); sorting by time in query log, devices and blocklists (#80, #123); the "ports not published" notice mentions the host firewall.
• Healthchecks: module alerts also reach portal channels such as Discord, webhook or the IPv64 App (#95, #127); status pages without incidents that lay entirely within maintenance (#75); Monitor64 host tags in the status page filter (#102); maintenance windows also apply to alerts sent by the ipv64 servers in hybrid mode (#129).
• Interface: with colour scheme "System" pages no longer flash light while loading (#124); module logos on the dashboard lead to the module (#110); placeholders in input fields are lighter and italic.
• Login: initial setup, two-factor codes and recovery codes are safe against concurrent requests; a one-time code is accepted only once, and the failed-attempt limit applies reliably to the second factor as well.
• Image: Go 1.27.4 (security fix in net/http), go-jose 4.1.6.
• Startup: with user: "0:0" access to the Docker socket is kept after switching to user 65532 (#121).
• Monitor64: bugs fixed – "Save override" under thresholds (#107), warning that stayed with "GB free" (#109), empty SNMP table reported as a failed partial query (#98), second disk on an identical USB adapter was missing (#84), category "Proxmox" for Unraid VMs (#87); a changed certificate (e.g. FRITZ!Box) can be accepted again during the test (#121).
• Monitor64: the Proxmox token hint explains privilege separation – with it (default in the web UI) the token itself also needs the PVEAuditor role.
• Monitor64: "Edit" as a button of its own on the host page (#126); maximum backup age for Proxmox Backup Server is configurable; "Test connection" shows the connected address and the host key type; in the Docker bridge network the SSH wizard no longer puts the container's address into from=.
• Monitor64 agent 0.1.3: file systems no longer all "read-only" (#97), start on UGREEN NAS/UGOS (#96), automatic update under SELinux (#100).

---

Images: x64gmbh/node64:1.5.8 (Docker Hub) und ghcr.io/ipv64net/node64:1.5.8 – linux/amd64, arm64, arm/v7. Selbst-Update über ipv64.net/node64 (signiert). Monitor64-Agent 0.1.3 (aktualisiert sich automatisch, wenn am Host eingeschaltet). Vollständiger Changelog: CHANGELOG.md · CHANGELOG.en.md

Die Dateien sonar64-linux-* sind Sonar64 ohne Oberfläche (ghcr.io/ipv64net/sonar64:1.5.8, docs/SONAR64.md; install.sh prüft SHA256SUMS).

Node64 1.5.7

Änderungen (Deutsch)

• Start: Host-Ordner als /data ohne Rechte-Ärger (Synology, UGREEN …) – mit user: "0:0" übergibt Node64 den Ordner dem Benutzer 65532 und läuft danach nicht als root weiter (anderer Benutzer über NODE64_UID/NODE64_GID); ist /data nicht beschreibbar, nennt die Meldung Besitzer und Abhilfe.

Changes (English)

• Startup: host folder as /data without permission trouble (Synology, UGREEN …) – with user: "0:0" Node64 hands the folder to user 65532 and then keeps running without root (other user via NODE64_UID/NODE64_GID); if /data is not writable, the message names the owner and the fix.

---

Images: x64gmbh/node64:1.5.7 (Docker Hub) und ghcr.io/ipv64net/node64:1.5.7 – linux/amd64, arm64, arm/v7. Selbst-Update über ipv64.net/node64 (signiert). Monitor64-Agent unverändert 0.1.2. Vollständiger Changelog: CHANGELOG.md · CHANGELOG.en.md

Die Dateien sonar64-linux-* sind Sonar64 ohne Oberfläche (ghcr.io/ipv64net/sonar64:1.5.7, docs/SONAR64.md; install.sh prüft SHA256SUMS).

Node64 1.5.6

Änderungen (Deutsch)

• Monitor64: Neuer Zugang FRITZ!Box (TR-064) – Internetverbindung, DSL-Werte, Durchsatz, FRITZ!OS-Update.

Changes (English)

• Monitor64: new access FRITZ!Box (TR-064) – internet connection, DSL values, throughput, FRITZ!OS update.

---

Images: x64gmbh/node64:1.5.6 (Docker Hub) und ghcr.io/ipv64net/node64:1.5.6 – linux/amd64, arm64, arm/v7. Selbst-Update über ipv64.net/node64 (signiert). Monitor64-Agent unverändert 0.1.2. Vollständiger Changelog: CHANGELOG.md · CHANGELOG.en.md

Die Dateien sonar64-linux-* sind Sonar64 ohne Oberfläche (ghcr.io/ipv64net/sonar64:1.5.6, docs/SONAR64.md; install.sh prüft SHA256SUMS).

Node64 1.5.5

Änderungen (Deutsch)

• Monitor64: Raspberry Pi – die Stromversorgung wird jetzt über vcgencmd bzw. den Alarm des Kernels gelesen; die bisherige Abfrage schrieb auf dem Pi eine Warnung ins Kernel-Log und lief auf Raspberry Pi OS 13 ins Leere (Agent 0.1.2).

Diese Version enthält auch alles aus 1.5.4 (Proxmox Mail Gateway, mailcow, Inodes, Btrfs, ZFS, Raspberry Pi) und 1.5.3 (Sicherheits- und Fehlerkorrekturen aus einem großen Code-Review) – Einzelheiten in den Notes dieser Versionen.

Changes (English)

• Monitor64: Raspberry Pi – the power supply is now read via vcgencmd or the kernel's alarm; the previous query wrote a warning to the kernel log on the Pi and found nothing on Raspberry Pi OS 13 (agent 0.1.2).

This version also contains everything from 1.5.4 (Proxmox Mail Gateway, mailcow, inodes, Btrfs, ZFS, Raspberry Pi) and 1.5.3 (security and bug fixes from a large code review) – see the notes of those versions.

---

Images: x64gmbh/node64:1.5.5 (Docker Hub) und ghcr.io/ipv64net/node64:1.5.5 – linux/amd64, arm64, arm/v7. Selbst-Update über ipv64.net/node64 (signiert). Monitor64-Agent 0.1.2 über ipv64.net/node64/agent und node64.de/agent (signiert; Nodes aktualisieren Agents mit Auto-Update selbst). Vollständiger Changelog: CHANGELOG.md · CHANGELOG.en.md

Die Dateien sonar64-linux-* sind Sonar64 ohne Oberfläche (ghcr.io/ipv64net/sonar64:1.5.5, docs/SONAR64.md; install.sh prüft SHA256SUMS).

Node64 1.5.4

Änderungen (Deutsch)

• Monitor64: Neuer Zugang Proxmox Mail Gateway – Dienste, Mail-Warteschlange (mit Schwelle), Durchsatz, Quarantäne, ClamAV-Signaturen, Cluster und Updates; Anmeldung mit einem Benutzer der Rolle „Auditor“.
• Monitor64: Neuer Zugang mailcow – Container, Mail-Speicher, Mail-Warteschlange und Quarantäne über die mailcow-API (Nur-Lese-Schlüssel).
• Monitor64: Inodes werden beim Dateisystem mit überwacht (eigene Schwelle, Warnung ab 80 %, kritisch ab 90 %).
• Monitor64: Btrfs – fehlende Geräte und Gerätefehler je Dateisystem; ZFS – Fragmentierung des Pools.
• Monitor64: Raspberry Pi – eigene Kachel, Dienst „Stromversorgung“ (Unterspannung, Drosselung); der Agent (0.1.1) läuft jetzt auch auf Pi Zero und Pi 1.
• Monitor64-Agent 0.1.1: Fehlversuche vor der Anmeldung zählen auch je IPv6-/48 (ein Angreifer mit vielen /64 hält nicht mehr alle Plätze); Agents aktualisieren sich automatisch.

Changes (English)

• Monitor64: new access Proxmox Mail Gateway – services, mail queue (with threshold), mail flow, quarantine, ClamAV signatures, cluster and updates; login with a user of the role "Auditor".
• Monitor64: new access mailcow – containers, mail storage, mail queue and quarantine via the mailcow API (read-only key).
• Monitor64: inodes are monitored together with the file system (own threshold, warning from 80 %, critical from 90 %).
• Monitor64: Btrfs – missing devices and device errors per file system; ZFS – pool fragmentation.
• Monitor64: Raspberry Pi – own tile, service "Power supply" (under-voltage, throttling); the agent (0.1.1) now also runs on Pi Zero and Pi 1.
• Monitor64 agent 0.1.1: failed attempts before login also count per IPv6 /48 (an attacker with many /64 no longer holds all slots); agents update automatically.

---

Images: x64gmbh/node64:1.5.4 (Docker Hub) und ghcr.io/ipv64net/node64:1.5.4 – linux/amd64, arm64, arm/v7. Selbst-Update über ipv64.net/node64 (signiert). Der Monitor64-Agent wird erst mit 1.5.5 (Agent 0.1.2, korrigierte Pi-Stromversorgung) verteilt – 1.5.4 bitte direkt auf 1.5.5 überspringen. Vollständiger Changelog: CHANGELOG.md · CHANGELOG.en.md

Die Dateien sonar64-linux-* sind Sonar64 ohne Oberfläche (ghcr.io/ipv64net/sonar64:1.5.4, docs/SONAR64.md; install.sh prüft SHA256SUMS).

Node64 1.5.3

Änderungen (Deutsch)

• Monitor64: Hängende Zugänge melden „nicht erreichbar“ statt still auf OK zu bleiben; ausdrücklich gewählte Standardkanäle bekommen alle Meldungen; Erinnerung für nicht erreichbare Hosts; nach einem Neustart kein „unbekannt“ bei Push-Hosts; Pausieren sofort sichtbar; Prometheus-Label service mit Namen; Cluster-Abgleich robuster (Quittierungen, Verlauf, Zuständigkeit, Schlüssel).
• Monitor64: Sicherheit – neues Ziel eines Zugangs verlangt das Geheimnis neu; Push-Token nicht mehr im Klartext im Export; Grenzen für Agent-Berichte; SNMP-Traps je Absender; PVE/PBS mit IPv6-Zone; Podman-CPU auf 2 Kernen; mehrere Korrekturen der Oberfläche (Assistent, Probleme, Dialoge); schneller (ETag, Indizes).
• Monitor64: Karte im Dashboard; Probleme stehen unter „Letzte Störungen“ zusammen mit den Healthchecks.
• Monitor64: Host-Seite und Listenansicht auf Tablet und Smartphone gut lesbar (Dienste-Tabelle passt auf den Bildschirm).
• Monitor64: IPv6 durchgängig – Host-Adresse auch als [2001:db8::1]:2222, IPv6 ohne Klammern beim Prometheus-Exporter und bei Docker (tcp://, ssh://), Link-Local-Adressen mit Zone (fe80::1%eth0) auch bei Proxmox VE, PBS, TrueNAS, Unraid und Server-BMC.
• PROXY64: Bei abgeschalteter Erreichbarkeitsprüfung bleibt der Host nicht mehr rot („nicht erreichbar“) in der Übersicht stehen; Healthchecks aufs Ziel gehen trotzdem.
• PROXY64: Sicherheit – Location-Zugriffslisten nicht mehr per /%5Cadmin umgehbar (IIS/Windows-Ziele); Kopfzeilen des Hosts überschreiben auf Seiten der Node nichts mehr (no-store, X-Frame-Options, Anmeldung); gRPC-Kopf hebelt die Begrenzung ans Ziel nicht mehr aus.
• PROXY64: ;jsessionid=-Adressen (Tomcat/Jetty) gehen wieder; Upgrades außer WebSocket (kubectl, Docker-API) im automatischen Protokoll; 1xx nicht mehr als Status im Log; Traefik-Kopfzeilen folgen Label-Änderungen.
• DNS64: Sicherheit – DHCP vergibt keine Gerätenamen von Zonen mehr (gefälschte MAC), DECLINE nur für die eigene Adresse, RA-Liste begrenzt; DHCP verteilt die Node nur als DNS, wenn DNS64 läuft, und übernimmt geänderte Einstellungen sofort; neue Schnittstellen und Adressen ohne Neustart; Cluster ohne doppelte Vergaben bei getrennter Verbindung; keine eigenen RAs neben radvd/odhcpd.
• Healthchecks: Statusseiten-Editor – nach Sortieren der Liste entfernte „entfernen“ den falschen Eintrag.
• Healthchecks: Im Cluster mit älteren Nodes löscht das Update keine Docker-/Proxmox-Checks mehr auf den älteren Nodes.
• Benachrichtigungen: Im Protokoll führen Monitor64-Meldungen zum Host (bisher ins Leere).
• Anmeldung per SSO: geänderte eigene CAs gelten sofort auch für die Schlüssel des Anbieters (JWKS); keine offenen Verbindungen je Anmeldung mehr.

Changes (English)

• Monitor64: hanging accesses report "unreachable" instead of silently staying OK; explicitly chosen default channels get all messages; reminder for unreachable hosts; no "unknown" for push hosts after a restart; pausing visible right away; Prometheus label service with names; more robust cluster sync (acknowledgements, history, responsibility, keys).
• Monitor64: security – a new access target requires the secret again; push tokens no longer in clear text in exports; limits for agent reports; SNMP traps per sender; PVE/PBS with IPv6 zone; Podman CPU on 2 cores; several UI fixes (wizard, problems, dialogs); faster (ETag, indexes).
• Monitor64: card on the dashboard; problems appear under "Recent incidents" together with the health checks.
• Monitor64: host page and list view readable on tablets and smartphones (services table fits the screen).
• Monitor64: IPv6 throughout – host address also as [2001:db8::1]:2222, IPv6 without brackets for the Prometheus exporter and Docker (tcp://, ssh://), link-local addresses with a zone (fe80::1%eth0) also for Proxmox VE, PBS, TrueNAS, Unraid and server BMC.
• PROXY64: with the reachability check switched off, the host no longer stays red ("unreachable") in the overview; health checks on the target still work.
• PROXY64: security – location access lists can no longer be bypassed via /%5Cadmin (IIS/Windows targets); host headers no longer override anything on the node's own pages (no-store, X-Frame-Options, login); a gRPC header no longer bypasses the limit to the target.
• PROXY64: ;jsessionid= addresses (Tomcat/Jetty) work again; upgrades other than WebSocket (kubectl, Docker API) with the automatic protocol; 1xx no longer logged as status; Traefik headers follow label changes.
• DNS64: security – DHCP no longer assigns zone device names (spoofed MAC), DECLINE only for the own address, RA list limited; DHCP only hands out the node as DNS when DNS64 runs and applies changed settings right away; new interfaces and addresses without restart; cluster without double leases when the connection is broken; no own RAs next to radvd/odhcpd.
• Health checks: status page editor – after sorting the list, "remove" deleted the wrong entry.
• Health checks: in a cluster with older nodes, the update no longer deletes Docker/Proxmox checks on the older nodes.
• Notifications: Monitor64 entries in the log lead to the host (so far nowhere).
• SSO login: changed own CAs apply immediately to the provider's keys (JWKS) too; no more open connections per login.

---

Images: x64gmbh/node64:1.5.3 (Docker Hub) und ghcr.io/ipv64net/node64:1.5.3 – linux/amd64, arm64, arm/v7. Selbst-Update über ipv64.net/node64 (signiert). Vollständiger Changelog: CHANGELOG.md · CHANGELOG.en.md

Die Dateien sonar64-linux-* sind Sonar64 ohne Oberfläche (ghcr.io/ipv64net/sonar64:1.5.3, docs/SONAR64.md; install.sh prüft SHA256SUMS).

Node64 1.5.2

Änderungen (Deutsch)

• Monitor64: PBS-Befehle im Assistenten vergeben Audit auch an den Benutzer.
• Monitor64: eigenes Logo.
• Monitor64: Knöpfe „alle“/„keine“ bei neuen Diensten; Container auch mit Podman überwachen (Docker-kompatible API über podman.socket).
• Monitor64: SNMP-Ports von MikroTik-Switches und -Routern (RouterOS, z. B. CRS305) erscheinen jetzt.
• PROXY64: Erreichbarkeitsprüfung je Host abschaltbar (Ziele ohne Weboberfläche); Ländersperre mit Kürzel EU und Vorschlägen auch nach dem ersten Land (#54).
• Healthchecks: gestörte Messpunkte sind zusätzlich gestreift – auch bei Rot-Grün-Schwäche von OK unterscheidbar.
• Statusseiten: Healthchecks und Monitor64-Systeme als getrennte Abschnitte („Dienste“, „Systeme“), auch im Editor.
• Zertifikate: Let's-Encrypt-Zertifikate wahlweise mit RSA-Schlüssel (RSA 2048) – z. B. für ältere Geräte wie Synology DSM 6, die kein ECDSA importieren (#62).
• Anmeldung per SSO: Die Node vertraut beim SSO-Anbieter auch ihren eigenen CAs – z. B. authentik mit einem Zertifikat der eigenen CA (bisher „Der SSO-Anbieter ist nicht erreichbar …“).
• Honeypot64: Live-Karte mit Schalter „nur neue Angriffe“ (#51).
• KI-Schnittstelle (MCP): Monitor64 als eigener Bereich mit vier lesenden Werkzeugen – Übersicht, Host mit Diensten und Messwerten, Probleme, Wartungen.
• KI-Schnittstelle (MCP): weitere lesende Werkzeuge für DNS64-DHCP (Vergaben, feste Adressen, fremde DHCP-Server), Statusseiten (Zustand je Eintrag) und den Cluster.
• API: Monitor64 in der API-Doku (OpenAPI, Seite API) – alle Endpunkte unter /api/monitor64/… mit Anfragen und Antworten.
• Dashboard zeigt einen Hinweis, wenn eine neue Version verfügbar ist.

Changes (English)

• Monitor64: PBS commands in the wizard also grant Audit to the user.
• Monitor64: own logo.
• Monitor64: "all"/"none" buttons for new services; monitor containers with Podman too (Docker-compatible API via podman.socket).
• Monitor64: SNMP ports of MikroTik switches and routers (RouterOS, e.g. CRS305) now show up.
• PROXY64: reachability check per host can be switched off (targets without a web interface); country blocking with the shortcut EU and suggestions after the first country (#54).
• Status pages: health checks and Monitor64 systems as separate sections ("Services", "Systems"), in the editor too.
• Health checks: failed beats are also striped – distinguishable from OK with red-green colour blindness too.
• Certificates: Let's Encrypt certificates optionally with an RSA key (RSA 2048) – e.g. for older devices like Synology DSM 6 that cannot import ECDSA (#62).
• SSO login: the node also trusts its own CAs for the SSO provider – e.g. authentik with a certificate from the own CA (so far "The SSO provider is not reachable …").
• Honeypot64: live map with a "new attacks only" switch (#51).
• AI interface (MCP): Monitor64 as its own area with four read-only tools – overview, host with services and values, problems, maintenance.
• AI interface (MCP): more read-only tools for DNS64 DHCP (leases, fixed addresses, foreign DHCP servers), status pages (state per entry) and the cluster.
• API: Monitor64 in the API docs (OpenAPI, page API) – all endpoints under /api/monitor64/… with requests and responses.
• Dashboard shows a notice when a new version is available.

---

Images: x64gmbh/node64:1.5.2 (Docker Hub) und ghcr.io/ipv64net/node64:1.5.2 – linux/amd64, arm64, arm/v7. Selbst-Update über ipv64.net/node64 (signiert). Vollständiger Changelog: CHANGELOG.md · CHANGELOG.en.md

Die Dateien sonar64-linux-* sind Sonar64 ohne Oberfläche (ghcr.io/ipv64net/sonar64:1.5.2, docs/SONAR64.md; install.sh prüft SHA256SUMS).

Node64 1.5.1

Änderungen (Deutsch)

• PROXY64: Zugriffslisten und Sperren einer Location lassen sich nicht mehr über Schreibvarianten des Pfads umgehen (/SECURE, /secure., /secure%20 …) – wichtig bei Zielen wie IIS oder Windows.
• Monitor64: In der Listenansicht der Übersicht stehen die Hosts nach Gruppen zusammen; ein Klick auf eine Spalte sortiert innerhalb jeder Gruppe, und die Sortierung bleibt beim automatischen Auffrischen erhalten.

Changes (English)

• PROXY64: a location's access lists and blocks can no longer be bypassed with spelling variants of the path (/SECURE, /secure., /secure%20 …) – important for targets like IIS or Windows.
• Monitor64: in the overview's list view, hosts stay together by group; clicking a column sorts within each group, and the order survives the automatic refresh.

---

Images: x64gmbh/node64:1.5.1 (Docker Hub) und ghcr.io/ipv64net/node64:1.5.1 – linux/amd64, arm64, arm/v7. Selbst-Update über ipv64.net/node64 (signiert). Vollständiger Changelog: CHANGELOG.md · CHANGELOG.en.md

Die Dateien sonar64-linux-* sind Sonar64 ohne Oberfläche (ghcr.io/ipv64net/sonar64:1.5.1, docs/SONAR64.md; install.sh prüft SHA256SUMS).

Node64 1.5.0

Änderungen (Deutsch)

• Monitor64 (neues Modul, standardmäßig aus): Systeme überwachen mit Schwellen und Verlauf – Linux, Windows und FreeBSD über den Monitor64-Agent (auch hinter NAT im Push-Betrieb, mit Symbol in der Windows-Taskleiste und automatischen Updates), Linux ohne Agent per SSH, Proxmox VE, Proxmox Backup Server, Docker, TrueNAS, Unraid, Server-BMC (Redfish), USV (NUT), Prometheus-Exporter und SNMP-Geräte samt Traps. Dienste werden erkannt und nie automatisch übernommen; Schwellen in drei Stufen, Probleme mit Ablauf und Quittieren, Wartungsfenster, Benachrichtigung über die Kanäle der Node, Einträge auf den Statusseiten, Prometheus-Export. Im Cluster überwacht je Host eine Node, eine Ersatz-Node übernimmt bei Ausfall. Einschalten unter Einstellungen → Module.
• Healthchecks: Achtung: Proxmox VE und Docker sind ins Modul Monitor64 umgezogen. Beim Update werden die bisherigen Proxmox-/Docker-Checks und -Systeme samt Daten gelöscht (auch bei ipv64 und im Cluster) und nicht übernommen – bitte in Monitor64 neu einrichten.
• Healthchecks: Ein dauerhaft gestörter Online-Check verbraucht das Tageskontingent nicht mehr im 20-Sekunden-Takt – bei bestätigter Störung gilt wieder das normale Intervall.
• DNS64: Blocklisten über 64 MB werden sichtbar gekürzt (Hinweis an der Liste) statt still abgeschnitten.
• DNS64: Geräteprofile für Apple (.mobileconfig) lassen sich auf macOS und iOS installieren (#60).
• Zertifikate: Eigene Zertifikate als PKCS#12 (.p12/.pfx) lassen sich zuverlässig hochladen – bisher scheiterte etwa jede fünfzigste Datei mit „data truncated“.
• Zertifikate: Bei Domains von ipv64 (und anderen Anbietern) prüft die Node den TXT-Eintrag wieder bei den richtigen Nameservern, auch wenn der Container eine Suchdomain mit Wildcard-CNAME hat (z. B. eigene Domain bei Cloudflare) – bisher scheiterte die Ausstellung mit „not visible on … ns.cloudflare.com“. Gleiche Korrektur für DynDNS und den DNS-Healthcheck.
• PROXY64: Sicherheits-Header aus „Erweitert“ und HSTS gelten für jede Antwort des Hosts, auch Sperr-, Fehler- und Anmeldeseiten; headers-Middlewares aus Traefik-Labels werden übernommen.
• DNS64: DHCP-Server als eigener Menüpunkt (opt-in, Standard aus, ohne Einschalten kein Port) – Netze je Schnittstelle/VLAN, feste Adressen, Probelauf, Erkennung fremder DHCP-Server, ARP-Prüfung, PXE/Netboot; nur mit Host-Netz oder macvlan (#59).
• DNS64 DHCP: Kennzahlen in Prometheus (Belegung je Netz, Anfragen, Ergebnisse, fremde DHCP-Server).
• DNS64: IPv6-DNS per Router Advertisement (opt-in, auf der DHCP-Seite) – die Node kündigt sich als DNS-Server an, auch für Android; Adressen kommen weiter vom Router. Dazu eine Anzeige der Router im Netz mit Hinweis, wenn der Router einen anderen DNS-Server nennt (#59).
• DNS64 DHCP: Geräte bekommen Namen wie laptop.home.lan, feste Adressen gleich in eine Gerätegruppe, Netze hinter einem DHCP-Relay, Abgleich im Cluster (Netze, feste Adressen, Vergaben) und Reserve-Node, die nur einspringt, wenn die Haupt-Node wirklich weg ist (#59).
• PROXY64: Weiterleitung bei verweigertem Zugriff je Location – wer von der Zugriffsliste abgewiesen wird, landet mit 302 auf einer einstellbaren Adresse statt auf der Fehlerseite (z. B. Vaultwarden /admin nur aus dem LAN); Anmeldungen bleiben unverändert (#55).
• DNS64: Block- und Freigabe-Listen verstehen AdGuard-Regeln mit einem Strich – @@|name^ nimmt genau diesen Namen aus, |name^ sperrt genau ihn (bisher still ignoriert).
• Zertifikate: Wildcards wie *.lab.domain.tld bei Cloudflare und anderen DNS-Anbietern klappen auch, wenn ein Wildcard-CNAME alle Subdomains nach Hause zeigt (z. B. auf eine DynDNS-Domain).
• PROXY64: HTTP/2 zum Ziel – automatisch bei https-Zielen, h2c für gRPC (z. B. NetBird), Nur HTTP/1.1 als Ausweg (#53). Achtung: https-Ziele, die HTTP/2 anbieten, bekommen jetzt HTTP/2; bei Problemen mit NTLM/Exchange den Host unter Erweitert auf „Nur HTTP/1.1“ stellen.
• PROXY64: PROXY-Protokoll zum Ziel (v1/v2) für „TLS durchreichen“ und TCP-Streams, auch über CDN64 – das Ziel sieht die echte Besucher-Adresse, z. B. mailcow (Postfix/Dovecot) oder ein weiterer Reverse Proxy (#52).
• PROXY64: Weiterleitungen beim Pfad beim Ziel und die Rücksprung-Adresse der Zugriffslisten-Anmeldung führen nicht mehr auf fremde Seiten (gefunden von CodeQL/gosec, #27).

Changes (English)

• Monitor64 (new module, off by default): monitor systems with thresholds and history – Linux, Windows and FreeBSD via the Monitor64 agent (also behind NAT in push mode, with an icon in the Windows taskbar and automatic updates), Linux without an agent via SSH, Proxmox VE, Proxmox Backup Server, Docker, TrueNAS, Unraid, server BMCs (Redfish), UPS (NUT), Prometheus exporters and SNMP devices including traps. Services are discovered and never adopted automatically; thresholds in three levels, problems with a timeline and acknowledgement, maintenance windows, notifications via the node's channels, entries on the status pages, Prometheus export. In a cluster one node monitors each host and a backup node takes over on failure. Switch it on under Settings → Modules.
• Healthchecks: Attention: Proxmox VE and Docker have moved to the module Monitor64. The update deletes the previous Proxmox/Docker checks and systems with their data (also at ipv64 and in the cluster) and does not migrate them – please set them up again in Monitor64.
• Healthchecks: a permanently failing online check no longer uses up the daily quota every 20 seconds – once the outage is confirmed, the normal interval applies again.
• DNS64: blocklists over 64 MB are shortened visibly (hint on the list) instead of being cut off silently.
• DNS64: Apple device profiles (.mobileconfig) install on macOS and iOS (#60).
• Certificates: own certificates as PKCS#12 (.p12/.pfx) upload reliably – previously about one file in fifty failed with “data truncated”.
• Certificates: for ipv64 domains (and other providers) the node checks the TXT record at the right nameservers again, even if the container has a search domain with a wildcard CNAME (e.g. your own domain at Cloudflare) – so far issuing failed with “not visible on … ns.cloudflare.com”. Same fix for DynDNS and the DNS healthcheck.
• PROXY64: security headers from “Advanced” and HSTS apply to every response of the host, including block, error and sign-in pages; headers middlewares from Traefik labels are taken over.
• DNS64: DHCP server as its own menu item (opt-in, off by default, no port until turned on) – networks per interface/VLAN, fixed addresses, dry run, detection of other DHCP servers, ARP check, PXE/netboot; host network or macvlan only (#59).
• DNS64 DHCP: metrics in Prometheus (usage per network, requests, results, other DHCP servers).
• DNS64: IPv6 DNS via router advertisement (opt-in, on the DHCP page) – the node announces itself as DNS server, also for Android; addresses still come from the router. Plus a view of the routers in the network with a hint if the router names a different DNS server (#59).
• DNS64 DHCP: devices get names like laptop.home.lan, fixed addresses straight into a device group, networks behind a DHCP relay, cluster sync (networks, fixed addresses, leases) and a standby node that only steps in when the primary node is really gone (#59).
• PROXY64: redirect on denied access per location – visitors turned away by the access list are sent to a configurable address with 302 instead of the error page (e.g. Vaultwarden /admin only from the LAN); logins stay unchanged (#55).
• DNS64: block and allow lists understand AdGuard rules with a single bar – @@|name^ exempts exactly this name, |name^ blocks exactly it (previously ignored silently).
• Certificates: wildcards like *.lab.domain.tld at Cloudflare and other DNS providers now also work when a wildcard CNAME points all subdomains home (e.g. to a DynDNS domain).
• PROXY64: HTTP/2 to the target – automatic for https targets, h2c for gRPC (e.g. NetBird), HTTP/1.1 only as a way out (#53). Note: https targets that offer HTTP/2 now get HTTP/2; if NTLM/Exchange has problems, set the host to "HTTP/1.1 only" under Advanced.
• PROXY64: PROXY protocol to the target (v1/v2) for "TLS passthrough" and TCP streams, also via CDN64 – the target sees the real visitor address, e.g. mailcow (Postfix/Dovecot) or another reverse proxy (#52).
• PROXY64: redirects with a path at the target and the return address of the access list sign-in no longer lead to foreign sites (found by CodeQL/gosec, #27).

---

Images: x64gmbh/node64:1.5.0 (Docker Hub) und ghcr.io/ipv64net/node64:1.5.0 – linux/amd64, arm64, arm/v7. Selbst-Update über ipv64.net/node64 (signiert). Vollständiger Changelog: CHANGELOG.md · CHANGELOG.en.md

Die Dateien sonar64-linux-* sind Sonar64 ohne Oberfläche (ghcr.io/ipv64net/sonar64:1.5.0, docs/SONAR64.md; install.sh prüft SHA256SUMS).

Node64 1.4.0

Änderungen (Deutsch)

• DNS64: Mehrere Blocklisten auf einmal und die eigene Sperrliste als Textfeld (#19); Freigabe-Listen aus dem Netz, die jede Blockliste schlagen.
• DNS64: Dienste per Klick sperren – rund 40 Dienste wie TikTok, YouTube, Discord oder ChatGPT, je Gruppe und im Zeitplan (#19).
• DNS64: Bezeichnung und Tags je Gerät in Gruppen, mit Filter und Suche (#24).
• DNS64: Eigene Einträge aus Docker-Labels (node64.dns.name), folgen Adressänderungen und verschwinden mit dem Container (#18).
• DNS64: Eigene Sperrliste und Freigabe-Import verstehen hosts-Zeilen; höchstens 64 eingeschaltete Blocklisten, darüber gibt es eine Meldung.
• DNS64: Abfrage-Log zeigt bei eigenen Einträgen die Antwort bzw. NODATA (#50); Client-Namen kommen aus Gruppe, dann eigenen PTR-/A-Einträgen, dann vom Router (#49).
• PROXY64: Pfad beim Ziel (#43), Locations können sperren oder fest antworten, „nur Locations erlauben“ (#11), „Erweitert“ je Location.
• PROXY64: Eigene Fehlerseite je Host, optional auch für 5xx des Ziels (#38); Zugriffslisten mit allow self und DNS-Namen (#32); Wartungs- und Fehlerseite kommen in CDN64 Modus 2 an; Tabellen im Dark Mode lesbar.
• Healthchecks: Gerät aus DNS64 als Check übernehmen (#20); Statusseiten mit 24 h, 7, 30, 60 oder 90 Tagen.
• Zertifikate: 8 weitere DNS-Anbieter, u. a. LuaDNS, hosting.de, Netlify – jetzt 35 (#39).
• Honeypot64: Web-Profil FortiGate (SSL-VPN), Standard auf Port 10443 (#36).
• Sicherheit: aktualisierte Abhängigkeiten und Go 1.27.3 (Schwachstellen in klauspost/compress, crypto/x509 und go-pkcs12 behoben); Sicherheitsprüfungen im Build mit govulncheck, gosec, CodeQL und Trivy (#27).

Changes (English)

• DNS64: add several blocklists at once and edit your own blocklist as a text field (#19); allow lists from the web that win over every blocklist.
• DNS64: block services with a click – about 40 services such as TikTok, YouTube, Discord or ChatGPT, per group and in schedules (#19).
• DNS64: label and tags per device in groups, with filter and search (#24).
• DNS64: own records from Docker labels (node64.dns.name), following address changes and disappearing with the container (#18).
• DNS64: your own blocklist and the import of allowed domains understand hosts lines; at most 64 enabled blocklists, beyond that you get a message.
• DNS64: the query log shows the answer of custom records or NODATA (#50); client names come from the group, then your own PTR/A records, then the router (#49).
• PROXY64: path at the target (#43), locations can block or answer with fixed content, "allow only the locations" (#11), "Advanced" per location.
• PROXY64: custom error page per host, optionally also for 5xx of the target (#38); access lists with allow self and DNS names (#32); maintenance and error pages reach visitors in CDN64 mode 2; tables readable in dark mode.
• Health checks: take over a device from DNS64 as a check (#20); status pages with 24 h, 7, 30, 60 or 90 days.
• Certificates: 8 more DNS providers, e.g. LuaDNS, hosting.de, Netlify – now 35 (#39).
• Honeypot64: web profile FortiGate (SSL VPN), default on port 10443 (#36).
• Security: updated dependencies and Go 1.27.3 (vulnerabilities in klauspost/compress, crypto/x509 and go-pkcs12 fixed); security checks in the build with govulncheck, gosec, CodeQL and Trivy (#27).

---

Images: x64gmbh/node64:1.4.0 (Docker Hub) und ghcr.io/ipv64net/node64:1.4.0 – linux/amd64, arm64, arm/v7. Selbst-Update über ipv64.net/node64 (signiert). Vollständiger Changelog: CHANGELOG.md · CHANGELOG.en.md