Nodvard Deck 0.11.0

[nicobenks2006-lgtm]

Kurz gesagt: Die Startseite lässt sich jetzt bearbeiten, mit Gruppen zum Zuklappen. Nodvard Dock gibt es als fertiges Image (Beta). Docker kann private Registries und spielt Volume-Sicherungen zurück, dazu der Modus „Nur bedienen“. Synology DSM (Beta) nimmt mehrere Geräte, neue Server bekommen engere Rechte, und Shield kennt eigene Portbereiche.

Neu

Startseite

• Die Widgets stehen in Gruppen (Server und Proxmox, Sicherheit, Docker und Apps, Backups, Dienste), die sich einzeln zuklappen lassen. Das gilt ohne Neuladen auch auf deinen anderen Geräten. Eine zugeklappte Gruppe zeigt einen farbigen Punkt, wenn darin etwas warnt, gestört ist oder nicht lädt.
• Mit „Bearbeiten“ verschiebst du Widgets, änderst Höhe, Breite und Gruppe und benennst Gruppen um. „Fertig“ speichert alles auf einmal. Außerhalb des Bearbeiten-Modus lässt sich nichts mehr aus Versehen verschieben.

Nodvard Dock (Beta)

• Nodvard Dock, die schlanke Ausgabe nur mit der Container-Verwaltung, gibt es jetzt als fertiges Image ghcr.io/nodvard/dock für amd64 und arm64. Die Anleitung steht in deploy/nodvard-dock/README.md.
• Dock bietet für sich selbst keinen Update-Knopf an, sondern erklärt, wie du es auf dem Server aktualisierst.

Docker

• Private Registries wie ghcr.io lassen sich in den Einstellungen eintragen, das Passwort oder Token kommt in den Tresor. Im neuen Reiter „Registries“ siehst du je Server, wo Docker angemeldet ist, und meldest dich über die Freigabe an oder ab. Das Passwort steht dabei in keinem Befehl, den andere auf dem Server sehen könnten.
• Volume-Sicherungen eines Stacks lassen sich unter „Sicherungen“ zurückspielen und löschen, beides über die Freigabe. Deck prüft vorher, ob das Archiv lesbar ist und der Platz reicht, entpackt es neben die alten Daten und tauscht erst dann. Ist etwas nicht in Ordnung, bleiben die Daten, wie sie sind. Besitzer und Rechte der Volumes bleiben erhalten.
• Bricht ein Zurückspielen ab, startet Deck die Dienste nicht blind wieder, sondern sagt dir, wo die Daten liegen.
• Neuer Modus „Nur bedienen“ für Server, deren Zugang nicht in der Gruppe docker sein soll (das wäre praktisch root). Mit der Markierung „docker-bedienen“ darf Deck dort per sudo nur das feste Hilfsskript docker-root: Container anzeigen, ihre Protokolle lesen, sie starten, stoppen und neu starten. Starten, Stoppen und Neustarten laufen über die Freigabe. Stacks, Images, Löschen und Konsole gibt es dort nicht, die Seite sagt, warum.
• „Verbindung prüfen“ zeigt, wenn der Zugang auf so einem Server trotzdem alles darf (Anmeldung als root, Gruppe docker oder volle sudo-Rechte), und nennt, wie du das änderst.

Synology DSM (Beta)

• Du kannst jetzt mehrere Synologys eintragen, jede mit eigenem Namen, Konto, Passwort und Zertifikat. Die Seite hat eine Auswahl der Geräte, auf der Startseite hat jedes Gerät eigene Kacheln, und die Meldungen nennen den Gerätenamen.
• Hast du schon eine Synology eingerichtet, musst du nichts neu eintragen. Sie wird beim ersten Start als „synology“ übernommen, samt Passwort, Kacheln und bereits gemeldeten Problemen.

Nodvard Shield

• Im Einbruchschutz kannst du je Programm eigene Portbereiche eintragen, etwa für einen Spieleserver. Neue Ports darin zählen dann als ein Eintrag, statt einzeln zu melden. Ein Bereich umfasst höchstens 1000 Ports, mehr nur mit dem Häkchen „Breiter Bereich“. Ports unter 1024 zählen nur mit eigenem Häkchen, in einem breiten Bereich nie. Dafür braucht Deck auf dem Server root oder sudo.

Sicherheit

• Engere Rechte beim Einrichten: Richtest du einen Server neu ein, bekommt Deck dort keine vollen Verwaltungsrechte mehr, wenn die Hilfsskripte der Module reichen. Deck darf dann nur genau diese Skripte starten. Volle Rechte gibt es weiter unter „Erweitert“. Schon eingerichtete Server bleiben, wie sie sind.
• Beim Prüfen des Ordners für die Hilfsskripte zählen auch erweiterte Zugriffsrechte und die Gruppen, die ein neuer Benutzer bekommt. Ist der Ordner dadurch unsicher, legt Deck die Hilfsskripte dort nicht ab und sagt, wie du es behebst.
• Die Bibliothek für Bilder ist aktualisiert. Ein präpariertes Bild konnte beim Hochladen in die Dokumente das Dashboard ausbremsen oder abstürzen lassen. Hochladen kann so ein Bild nur, wer Dokumente ändern darf.
• Deck vertraut der Zertifizierungsstelle „emSign ECC Root CA - G3“ nicht mehr, weil Zertifikate unter ihr in falsche Hände geraten sind. Ein Dienst mit so einem Zertifikat meldet in Deck deshalb jetzt einen Zertifikatsfehler.
• Ein sehr langer Text in einer Markdown-Kachel kann die Seite nicht mehr spürbar ausbremsen.
• Docker: Werte aus den Variablen eines Stacks blendet Deck in Fehlermeldungen auch dann aus, wenn Docker sie umwandelt, zerlegt oder in Anführungszeichen zeigt.
• Docker: Im Modus „Nur bedienen“ prüft das Hilfsskript jeden Aufruf selbst und führt nur eine feste Auswahl von Docker-Befehlen aus.
• Kommt in den Einstellungen eines Moduls derselbe Kurzname zweimal vor, landet ein Passwort nicht bei der Adresse eines anderen Eintrags.

Verbessert

• „Verbindung prüfen“ und die Übersicht erkennen Server, die nur die Hilfsskripte erlauben, und sagen deutlich, wenn einem Modul deshalb Rechte fehlen.
• Lehnt ein Server mit Dropbear den Schlüssel ab, nennt „Verbindung prüfen“ den Grund und wie du es behebst.
• Synology DSM: Fällt in einem eingeschränkten Speicherpool ein Volume aus, kommt eine einzige dringende Meldung. Wird bei einem Gerät die Anmeldung abgelehnt, pausiert nur dieses Gerät für 30 Minuten.
• Nodvard Shield: Ein ausgelassener Neustart nach einem gescheiterten Update kommt nur einmal als Warnung und steht danach weiter unter „Braucht Aufmerksamkeit“.
• Docker: Jede neue Volume-Sicherung merkt sich, welche Volumes hineingehören, und nennt die fehlenden, falls das Packen abbrach.

Behoben

• Server mit Dropbear, etwa DietPi: Das Einrichten mit Passwort klappt jetzt, weil Deck den Schlüssel so einträgt, dass Dropbear ihn annimmt. Hast du so einen Server schon eingerichtet und kannst dich nicht anmelden, richte ihn einfach noch einmal ein. Updates, Audit und Viren-Wächter von Nodvard Shield brechen dort nicht mehr mit „Connection lost“ ab.
• Proxmox: Fällt ein Server aus, steht er auf der Startseite nicht mehr weiter als online. Antwortet er 4 Minuten am Stück nicht, gilt er als nicht erreichbar, in einem Cluster als unbekannt. Ein kurzer Neustart löst das nicht aus.
• Der Einbruchschutz meldet bei Pi-hole und anderen DNS-Diensten nicht mehr ständig „Neuer offener Port“.
• Nodvard Shield: Tiefenscan und Härtungs-Audit auf allen Servern starten nur nach einer Rückfrage, Ergebnisse bleiben stehen, Fehler stehen mit Grund da, und ein zweiter Klick startet nichts doppelt.
• Docker: Beim Umzug von Portainer bricht Deck vorher ab, wenn die Images nicht zu den laufenden Containern passen. Nach Abbrüchen bleiben keine leeren Ordner mehr liegen.
• Synology DSM: Antwortet Hyper Backup sehr langsam, zeigt die Seite Speicher, System und Updates trotzdem an.
• Startseite: Lassen sich die Widgets gerade nicht laden, steht der Grund mit „Erneut versuchen“ da.
• Fährt Deck herunter, während geplante Aufgaben laufen, stehen sie als abgebrochen in der Liste, ohne Fehlermeldungen im Protokoll.

Gut zu wissen

• Eine kleine Umstellung der Datenbank für die Gruppen der Startseite. Sie läuft beim ersten Start von selbst.
• Neue Server bekommen engere Rechte. Brauchst du sudo ohne Passwort für eigene Skripte, wähle beim Einrichten unter „Erweitert“ die vollen Rechte.
• Synology DSM und Nodvard Dock sind Beta.
• Aktualisieren: in Deck unter Einstellungen → „Updates“ → „Jetzt aktualisieren“, oder mit docker compose pull && docker compose up -d.

English

New

• Home page: widgets are grouped (servers and Proxmox, security, Docker and apps, backups, services) and groups can be collapsed, also on your other devices without reloading. A collapsed group shows a coloured dot when something inside needs attention. An “Edit” mode moves widgets, changes height, width and group and renames groups; “Done” saves everything at once.
• Nodvard Dock (beta): ready-made image ghcr.io/nodvard/dock for amd64 and arm64, see deploy/nodvard-dock/README.md. Dock explains how to update itself instead of offering an update button.
• Docker: private registries such as ghcr.io with the password or token in the vault, and a “Registries” tab to log in or out per server via approval. Volume backups of a stack can be restored (after checking the archive and free space; data is only swapped once everything is unpacked) and deleted. New mode “Operate only” (tag docker-bedienen): Deck may only run the fixed helper script docker-root via sudo to list, start, stop and restart containers and read their logs, without the login user in the docker group; no stacks, images, deleting or console there. “Check connection” warns if such a server's login can still do everything.
• Synology DSM (beta): several devices, each with its own name, account, password and certificate. An existing setup is taken over as “synology” on first start.
• Nodvard Shield: custom port ranges per program in intrusion detection, at most 1000 ports unless marked as a wide range; ports below 1024 need their own tick and never count in a wide range. Needs root or sudo on the server.

Security

• New servers no longer get full admin rights when the modules' helper scripts are enough; full rights remain under “Advanced”. Existing servers are unchanged. The helper folder check now includes extended ACLs and the groups of a new user.
• Updated image library, certificate store without “emSign ECC Root CA - G3” (a service with such a certificate now shows a certificate error), and Markdown rendering. The “Operate only” helper checks every call itself.
• Docker hides stack variable values in error messages even when transformed. Duplicate short names in module settings can no longer send a password to another entry's address.

Improved

• “Check connection” recognises helper-only servers and explains a key rejected by Dropbear.
• One alert for a degraded Synology pool with a failed volume; a rejected login only pauses that device.
• Docker volume backups record which volumes belong to them.

Fixed

• Servers running Dropbear (e.g. DietPi): password setup writes a key line Dropbear accepts (set up again to repair an old one), and Shield updates, audit and virus watcher no longer fail with “Connection lost”.
• A Proxmox server that stops answering for 4 minutes shows as unreachable instead of staying online.
• Intrusion detection no longer reports random ports of Pi-hole and other DNS services.
• Many fixes in Nodvard Shield, Docker and Synology DSM; no error tracebacks when Deck shuts down during scheduled tasks.

Good to know

• One small database migration (home page groups), applied automatically on first start.
• New servers get narrower permissions; choose full rights under “Advanced” if you need passwordless sudo.
• Synology DSM and Nodvard Dock are beta.

---

This discussion was created from the release Nodvard Deck 0.11.0.