Node64 1.5.0

Änderungen (Deutsch)

• Monitor64 (neues Modul, standardmäßig aus): Systeme überwachen mit Schwellen und Verlauf – Linux, Windows und FreeBSD über den Monitor64-Agent (auch hinter NAT im Push-Betrieb, mit Symbol in der Windows-Taskleiste und automatischen Updates), Linux ohne Agent per SSH, Proxmox VE, Proxmox Backup Server, Docker, TrueNAS, Unraid, Server-BMC (Redfish), USV (NUT), Prometheus-Exporter und SNMP-Geräte samt Traps. Dienste werden erkannt und nie automatisch übernommen; Schwellen in drei Stufen, Probleme mit Ablauf und Quittieren, Wartungsfenster, Benachrichtigung über die Kanäle der Node, Einträge auf den Statusseiten, Prometheus-Export. Im Cluster überwacht je Host eine Node, eine Ersatz-Node übernimmt bei Ausfall. Einschalten unter Einstellungen → Module.
• Healthchecks: Achtung: Proxmox VE und Docker sind ins Modul Monitor64 umgezogen. Beim Update werden die bisherigen Proxmox-/Docker-Checks und -Systeme samt Daten gelöscht (auch bei ipv64 und im Cluster) und nicht übernommen – bitte in Monitor64 neu einrichten.
• Healthchecks: Ein dauerhaft gestörter Online-Check verbraucht das Tageskontingent nicht mehr im 20-Sekunden-Takt – bei bestätigter Störung gilt wieder das normale Intervall.
• DNS64: Blocklisten über 64 MB werden sichtbar gekürzt (Hinweis an der Liste) statt still abgeschnitten.
• DNS64: Geräteprofile für Apple (.mobileconfig) lassen sich auf macOS und iOS installieren (#60).
• Zertifikate: Eigene Zertifikate als PKCS#12 (.p12/.pfx) lassen sich zuverlässig hochladen – bisher scheiterte etwa jede fünfzigste Datei mit „data truncated“.
• Zertifikate: Bei Domains von ipv64 (und anderen Anbietern) prüft die Node den TXT-Eintrag wieder bei den richtigen Nameservern, auch wenn der Container eine Suchdomain mit Wildcard-CNAME hat (z. B. eigene Domain bei Cloudflare) – bisher scheiterte die Ausstellung mit „not visible on … ns.cloudflare.com“. Gleiche Korrektur für DynDNS und den DNS-Healthcheck.
• PROXY64: Sicherheits-Header aus „Erweitert“ und HSTS gelten für jede Antwort des Hosts, auch Sperr-, Fehler- und Anmeldeseiten; headers-Middlewares aus Traefik-Labels werden übernommen.
• DNS64: DHCP-Server als eigener Menüpunkt (opt-in, Standard aus, ohne Einschalten kein Port) – Netze je Schnittstelle/VLAN, feste Adressen, Probelauf, Erkennung fremder DHCP-Server, ARP-Prüfung, PXE/Netboot; nur mit Host-Netz oder macvlan (#59).
• DNS64 DHCP: Kennzahlen in Prometheus (Belegung je Netz, Anfragen, Ergebnisse, fremde DHCP-Server).
• DNS64: IPv6-DNS per Router Advertisement (opt-in, auf der DHCP-Seite) – die Node kündigt sich als DNS-Server an, auch für Android; Adressen kommen weiter vom Router. Dazu eine Anzeige der Router im Netz mit Hinweis, wenn der Router einen anderen DNS-Server nennt (#59).
• DNS64 DHCP: Geräte bekommen Namen wie laptop.home.lan, feste Adressen gleich in eine Gerätegruppe, Netze hinter einem DHCP-Relay, Abgleich im Cluster (Netze, feste Adressen, Vergaben) und Reserve-Node, die nur einspringt, wenn die Haupt-Node wirklich weg ist (#59).
• PROXY64: Weiterleitung bei verweigertem Zugriff je Location – wer von der Zugriffsliste abgewiesen wird, landet mit 302 auf einer einstellbaren Adresse statt auf der Fehlerseite (z. B. Vaultwarden /admin nur aus dem LAN); Anmeldungen bleiben unverändert (#55).
• DNS64: Block- und Freigabe-Listen verstehen AdGuard-Regeln mit einem Strich – @@|name^ nimmt genau diesen Namen aus, |name^ sperrt genau ihn (bisher still ignoriert).
• Zertifikate: Wildcards wie *.lab.domain.tld bei Cloudflare und anderen DNS-Anbietern klappen auch, wenn ein Wildcard-CNAME alle Subdomains nach Hause zeigt (z. B. auf eine DynDNS-Domain).
• PROXY64: HTTP/2 zum Ziel – automatisch bei https-Zielen, h2c für gRPC (z. B. NetBird), Nur HTTP/1.1 als Ausweg (#53). Achtung: https-Ziele, die HTTP/2 anbieten, bekommen jetzt HTTP/2; bei Problemen mit NTLM/Exchange den Host unter Erweitert auf „Nur HTTP/1.1“ stellen.
• PROXY64: PROXY-Protokoll zum Ziel (v1/v2) für „TLS durchreichen“ und TCP-Streams, auch über CDN64 – das Ziel sieht die echte Besucher-Adresse, z. B. mailcow (Postfix/Dovecot) oder ein weiterer Reverse Proxy (#52).
• PROXY64: Weiterleitungen beim Pfad beim Ziel und die Rücksprung-Adresse der Zugriffslisten-Anmeldung führen nicht mehr auf fremde Seiten (gefunden von CodeQL/gosec, #27).

Changes (English)

• Monitor64 (new module, off by default): monitor systems with thresholds and history – Linux, Windows and FreeBSD via the Monitor64 agent (also behind NAT in push mode, with an icon in the Windows taskbar and automatic updates), Linux without an agent via SSH, Proxmox VE, Proxmox Backup Server, Docker, TrueNAS, Unraid, server BMCs (Redfish), UPS (NUT), Prometheus exporters and SNMP devices including traps. Services are discovered and never adopted automatically; thresholds in three levels, problems with a timeline and acknowledgement, maintenance windows, notifications via the node's channels, entries on the status pages, Prometheus export. In a cluster one node monitors each host and a backup node takes over on failure. Switch it on under Settings → Modules.
• Healthchecks: Attention: Proxmox VE and Docker have moved to the module Monitor64. The update deletes the previous Proxmox/Docker checks and systems with their data (also at ipv64 and in the cluster) and does not migrate them – please set them up again in Monitor64.
• Healthchecks: a permanently failing online check no longer uses up the daily quota every 20 seconds – once the outage is confirmed, the normal interval applies again.
• DNS64: blocklists over 64 MB are shortened visibly (hint on the list) instead of being cut off silently.
• DNS64: Apple device profiles (.mobileconfig) install on macOS and iOS (#60).
• Certificates: own certificates as PKCS#12 (.p12/.pfx) upload reliably – previously about one file in fifty failed with “data truncated”.
• Certificates: for ipv64 domains (and other providers) the node checks the TXT record at the right nameservers again, even if the container has a search domain with a wildcard CNAME (e.g. your own domain at Cloudflare) – so far issuing failed with “not visible on … ns.cloudflare.com”. Same fix for DynDNS and the DNS healthcheck.
• PROXY64: security headers from “Advanced” and HSTS apply to every response of the host, including block, error and sign-in pages; headers middlewares from Traefik labels are taken over.
• DNS64: DHCP server as its own menu item (opt-in, off by default, no port until turned on) – networks per interface/VLAN, fixed addresses, dry run, detection of other DHCP servers, ARP check, PXE/netboot; host network or macvlan only (#59).
• DNS64 DHCP: metrics in Prometheus (usage per network, requests, results, other DHCP servers).
• DNS64: IPv6 DNS via router advertisement (opt-in, on the DHCP page) – the node announces itself as DNS server, also for Android; addresses still come from the router. Plus a view of the routers in the network with a hint if the router names a different DNS server (#59).
• DNS64 DHCP: devices get names like laptop.home.lan, fixed addresses straight into a device group, networks behind a DHCP relay, cluster sync (networks, fixed addresses, leases) and a standby node that only steps in when the primary node is really gone (#59).
• PROXY64: redirect on denied access per location – visitors turned away by the access list are sent to a configurable address with 302 instead of the error page (e.g. Vaultwarden /admin only from the LAN); logins stay unchanged (#55).
• DNS64: block and allow lists understand AdGuard rules with a single bar – @@|name^ exempts exactly this name, |name^ blocks exactly it (previously ignored silently).
• Certificates: wildcards like *.lab.domain.tld at Cloudflare and other DNS providers now also work when a wildcard CNAME points all subdomains home (e.g. to a DynDNS domain).
• PROXY64: HTTP/2 to the target – automatic for https targets, h2c for gRPC (e.g. NetBird), HTTP/1.1 only as a way out (#53). Note: https targets that offer HTTP/2 now get HTTP/2; if NTLM/Exchange has problems, set the host to "HTTP/1.1 only" under Advanced.
• PROXY64: PROXY protocol to the target (v1/v2) for "TLS passthrough" and TCP streams, also via CDN64 – the target sees the real visitor address, e.g. mailcow (Postfix/Dovecot) or another reverse proxy (#52).
• PROXY64: redirects with a path at the target and the return address of the access list sign-in no longer lead to foreign sites (found by CodeQL/gosec, #27).

---

Images: x64gmbh/node64:1.5.0 (Docker Hub) und ghcr.io/ipv64net/node64:1.5.0 – linux/amd64, arm64, arm/v7. Selbst-Update über ipv64.net/node64 (signiert). Vollständiger Changelog: CHANGELOG.md · CHANGELOG.en.md

Die Dateien sonar64-linux-* sind Sonar64 ohne Oberfläche (ghcr.io/ipv64net/sonar64:1.5.0, docs/SONAR64.md; install.sh prüft SHA256SUMS).