Mittwoch, Juli 22, 2026

Bug - Flatpress rendert Codeblöcke scheinbar nicht richtig

Mir ist aufgefallen, dass Flatpress Probleme hat bestimmte Zeichen korrekt darzustellen. Das ist fatal, weil alle Codeblöcke, die man per Copy&Paste übernimmt, mit hoher Wahrscheinlichkeit nicht funktionieren werden. Sehr ärgerlich!!! Statt ruhig zu bleiben und erst mal zu überlegen, habe ich natürlich mit diversen Frickel-Workarounds versucht die Sonderzeichen zu escapen. Das Problem ließ sich mit der Korrektur einer PHP-Datei bei Flatpress lösen. Evtl. ein Bug…?

Konkret ging es um gerade Anführungszeichen (”), doppelte Bindestriche (–), drei Bindestriche (—) und Auslassungspunkte (…) innerhalb von Codeblöcken. Die wurden beim Anzeigen des Artikels munter in typografische Zeichen umgewandelt: aus “central” wurde “central” mit krummen Anführungszeichen, aus — wurde ein einzelner Gedankenstrich –. Copy&Paste in ein Terminal funktioniert so natürlich nicht mehr.

Ich habe die Zeichen in den Codeblöcken durch HTML-Entities ersetzt (" statt “, -- statt –), in der Hoffnung, dass die beim Rendern wieder in normale Zeichen zurückverwandelt werden. Hat nicht geklappt - Flatpress escaped den Inhalt von Codeblöcken beim Anzeigen nochmal selbst, wodurch aus meinen Entities literaler Text wie " wurde, sichtbar im Artikel. Danach habe ich es mit einem unsichtbaren Zero-Width-Space zwischen den beiden Bindestrichen probiert, um die Zeichenerkennung auszutricksen, ohne dass man optisch einen Unterschied sieht. Hat für die Bindestriche sogar funktioniert, für Anführungszeichen aber nicht zuverlässig, und war obendrein viel zu fragil (Copy&Paste durch verschiedene Programme killt Zero-Width-Zeichen gerne mal).

Irgendwann habe ich dann doch aufgehört zu frickeln und mit Claude systematisch nach der eigentlichen Ursache gesucht. Claude meint zu dem Problem:

Flatpress nutzt (wie sich herausstellte) eine portierte Funktion aus WordPress namens wptexturize(), die genau für diese typografische Umwandlung zuständig ist. Diese Funktion soll eigentlich Inhalte innerhalb der “pre”- und “code”-Tags unangetastet lassen - das ist Standardverhalten und auch so dokumentiert. Bei Flatpress hat das aber nicht funktioniert, und der Grund dafür ist ein Logikfehler im Code:

} elseif (strstr($curl, '</') || strstr($curl, '>')) {
    if ($skip > 0) {
        $skip--;
    }
} elseif (strstr($curl, '<code') || strstr($curl, '<pre') || strstr($curl, '<kbd') || strstr($curl, '<style') || strstr($curl, '<script')) {
    // strstr is fast
    $skip++;
} else {

Der Text wird an den HTML-Tags aufgesplittet, und jedes Tag-Fragment enthält immer eine schließende spitze Klammer - auch ein öffnendes “pre”-Tag. Die erste Bedingung hier prüft aber zuerst auf diese schließende Klammer, und trifft deshalb schon bei einem öffnenden “pre”-Tag zu. Der eigentlich richtige Zweig, der $skip hochzählen sollte, sobald ein “pre”/”code”-Block beginnt, wird dadurch nie erreicht - toter Code. Die Variable $skip, die eigentlich signalisieren soll “wir sind gerade innerhalb eines Codeblocks, hier bitte nichts texturizen”, bleibt also bei 0, und der komplette Inhalt eines Codeblocks wird ganz normal mitbehandelt, obwohl er es nicht sollte.

Wäre ich alleine jedenfalls nie im Leben drauf gekommen. Der Fix war dann erstaunlich simpel: einfach die Reihenfolge der beiden elseif-Zweige vertauschen, sodass die Prüfung auf ein öffnendes “pre”/”code”/”kbd”/”style”/”script”-Tag zuerst kommt:

} elseif (strstr($curl, '<code') || strstr($curl, '<pre') || strstr($curl, '<kbd') || strstr($curl, '<style') || strstr($curl, '<script')) {
    // strstr is fast
    $skip++;
} elseif (strstr($curl, '</') || strstr($curl, '>')) {
    if ($skip > 0) {
        $skip--;
    }
} else {

Die Datei dazu ist core.wp-formatting.php, betroffen ist die Funktion wptexturize().

Ein wichtiger Nebeneffekt dieser Änderung: wptexturize() ist ein reiner Anzeige-Filter, kein Speicher-Filter. Der ursprüngliche, roh eingegebene Artikeltext lag also die ganze Zeit über unangetastet und korrekt in Flatpress - der Fehler trat erst beim Rendern der Seite auf. Das bedeutet, dass sich dieser Fix rückwirkend auf alle bisherigen Artikel auswirkt, ganz ohne dass ich sie erneut anfassen musste: Sobald die Datei korrigiert war, haben auch alte Codeblöcke wieder korrekt gerendert. Einzige Ausnahme waren die Artikel, bei denen ich vorher schon mit meinen (untauglichen) Workarounds händisch nachgebessert und den kaputten Text dadurch fest abgespeichert hatte - die musste ich anschließend nochmal auf ihren sauberen Originaltext zurücksetzen.

Ich hoffe, dass das in Zukunft dafür sorgt, dass Code korrekt dargestellt wird und Copy&Paste funktioniert. Sollten noch weitere Zeichen betroffen sein, bitte einen Kommentar hinterlassen. Ich habe mir noch einen Prompt für die Problematik erstellen lassen und werde alle zukünftigen Artikel da zusätzlich drüber laufen lassen.

Netbox - Einbinden weiterer Geräte in Alloy/Loki/Grafana - Technitium

Das Einrichten geht viel einfacher, die Beschreibung ist im Housekeepingartikel

Das ist streng genommen kein NetBox Thema, ich lasse es aber in der Kategorie NetBox, weil es zum vorherigen Beitrag gehört. Das Senden von Logfiles sollte bei Anwendungen, die nicht in Python geschrieben sind bzw. nicht den Python SysLogHandler verwenden, wesentlich einfacher einzurichten sein.

Nochmal der Hinweis vorab, ich präsentiere hier keine ausführlich getesteten fertigen Lösungen. Das Blog ist eher ein “live Mitschnitt” meiner Aktivitäten, damit ich weiß, was ich wann und warum getan habe (um es ggf. später wieder Schritt für Schritt rückgängig machen zu können). Ich werde im Verlauf sicherlich noch diverse Dinge umbauen, daher sollte man das, was ich hier so tue, keinesfalls auf einem Produktivsystem 1:1 übernehmen! Ich lasse mir zur Zeitersparnis exzessiv von KIs helfen, sei es bei Zusammenfassungen von Anleitungen oder beim Debuggen von Code. Ich versuche so gut es geht nachzuvollziehen, was die KI vorschlägt, und übernehme nur Code, den ich auch selbst, zumindest meine, verstanden zu haben. Jeder muss/sollte das Gleiche tun und sich keinesfalls blind auf meine Lösungen verlassen.

Zuerst werde ich Technitium einbinden. Da ich die Einbindung der einzelnen Dienste, wie oben erwähnt, im Verlauf sicher noch anpassen werde, bekommt jeder Dienst einen eigenen Beitrag. Aktualisierungen werde ich zukünftig immer in der ersten Zeile des jeweiligen Artikels mit Datum kennzeichnen. Ich hoffe, dass die Übersicht so erhalten bleibt.

Zunächst rsyslog in Technitium installieren. Ich brauche rsyslog auch bei Technitium, um die Logs für Loki zu “normalisieren”:

apt update
apt install -y rsyslog

In der Shell von Technitium legen wir ein neues Template für die Normalisierung der Logs an:

cat > /etc/rsyslog.d/00-templates.conf << 'EOF'
template(name="RFC5424_UTC" type="string"
string="<%PRI%>1 %TIMESTAMP:::date-rfc3339,date-utc% %HOSTNAME% %APP-NAME% %PROCID% %MSGID% %STRUCTURED-DATA% %msg%n"
)
EOF

Das Template ignoriert bewusst den in der Logzeile enthaltenen Text-Timestamp und setzt stattdessen die tatsächliche UTC-Empfangszeit von rsyslog ein, unabhängig davon, ob die Quelle selbst schon in UTC loggt oder nicht. Das Template muss auf jedem Host, der an Loki sendet, separat existieren (Templates werden pro rsyslog-Instanz definiert, nicht global geteilt).

Nun noch die eigentliche Config-Datei für das Logging:

cat > /etc/rsyslog.d/97-technitium-corelog.conf << 'EOF'
module(load="imfile" mode="inotify")
input(type="imfile"
File="/etc/dns/logs/*.log"
Tag="technitium-core:"
Severity="info"
Facility="local0"
ruleset="forwardCoreLog"
freshStartTail="on"
startmsg.regex="^[0-9]{4}-[0-9]{2}-[0-9]{2} [0-9]{2}:[0-9]{2}:[0-9]{2}")
ruleset(name="forwardCoreLog") {
if tolower(msg) contains "xception" or tolower( msg) contains "rror" or tolower(msg) contains "ailed" or tolower( msg) contains "imeout" then {
action(type="omfwd" target="<LOKI-LXC-IP>" port="1514" protocol="tcp"
template="RFC5424_UTC")
}
}
EOF

Hier muss man die passende IP-Adresse von Alloy/Loki entsprechend eintragen/anpassen. Anschließend die Syntax der Config-Datei prüfen und, wenn es ohne Fehler durchläuft, gleich starten:

rsyslogd -N1 -f /etc/rsyslog.conf
systemctl enable --now rsyslog

Zum Testen erzeugen wir auf dem Technitium-Server einen Log-Eintrag mit:

echo "[$(date -u '+%Y-%m-%d %H:%M:%S') UTC] TEST error verification line" >> /etc/dns/logs/$(date +%Y-%m-%d).log

und schauen, ob es im Loki-LXC ankommt, mit:

curl -s "http://localhost:3100/loki/api/v1/query_range" 
--data-urlencode 'query={job="syslog"} |= "verification line"' 
--data-urlencode 'start='$(date -d '5 minutes ago' +%s)'000000000' 
--data-urlencode 'end='$(date +%s)'000000000' | jq -r '.data.result[].values[][1]'
Bildschirmfoto_20260722_151155.png

Hier sieht man die erzeugten Error-Logs in Grafana.

Dienstag, Juli 21, 2026

Netbox - Welche Zeitzone einstellen und zentrales Logging mit Alloy/Loki/Grafana

Das Einrichten geht viel einfacher, die Beschreibung ist im Housekeepingartikel

Das Aktualisieren der IPAM-Einträge funktioniert weiterhin gut, und ich war eigentlich gerade dabei, das erste Ansible-Playbook auszuarbeiten, als ich gedanklich auf ein weiteres Problem gestoßen bin.
Beim Zusammenspiel von NetBox, Ansible und Technitium ist es notwendig, dass alle drei Beteiligten mit der gleichen Uhrzeit arbeiten. Soweit ich aktuell weiß, ist bei allen dreien intern UTC die gültige Zeit. Mir ist schon vor ein paar Tagen aufgefallen, dass die NetBox-Logs ebenfalls mit UTC-Zeit angezeigt werden. In Technitium habe ich bereits bei der Installation vor mehr als zwei Jahren die Logs auf Lokalzeit, also UTC+2h (wegen der besseren Lesbarkeit), umgestellt. Ich persönlich glaube jedoch inzwischen, dass es besser wäre, wenn alle Dienste die Ereignisse mit UTC-Timestamps loggen würden. Die Services/Programme, mit denen man später die Logs darstellt (z. B. Grafana), können dann die Umrechnung in die jeweilige Lokalzeit übernehmen. Das ist auch von großem Vorteil, wenn man Geräte in einer anderen Zeitzone hat (in dem Fall oft auch ohne Sommerzeit). Das Logging habe ich daher in Technitium wieder auf UTC zurückgestellt.

Bildschirmfoto_20260721_180344.png

Als zentrale Datenbank für die Logs wird oft Loki/Alloy empfohlen oder der sogenannte ELK-Stack. Der ELK-Stack ist scheinbar deutlich komplexer einzurichten, wohl auch eher so ein Docker-Ding (Nachtrag: hier lag ich falsch, kann man genauso leicht installieren wie NetBox) (ich mag Docker einfach nicht), und da ich eigentlich viel lieber bei NetBox/Ansible weitermachen will, wähle ich den einfacheren Weg über Loki. Loki und Grafana gibt es bei den Community-Scripts als LXC, also muss ich mir hier wegen zukünftiger Updates keine allzu großen Sorgen machen. Ein sauberes zentrales Logging ist von größtem Vorteil zur geräteübergreifenden Fehlersuche und spätestens dann extrem zeitsparend, sobald ich anfange, andere Geräte via Ansible zu steuern. Von daher werde ich das Thema zentrales Logging hiermit vorziehen.
Ich installiere zunächst Loki und Grafana auf PVE und gebe ihnen, wie inzwischen auch dem NetBox-LXC, feste IPs. Die IPs dieser Dienste sollten sich nicht ändern können, sonst funktioniert das Zusammenspiel der einzelnen Dienste nicht mehr.
In Grafana verbinde ich zunächst das Loki-LXC als neue Datenquelle.

Bildschirmfoto_20260720_170916.png

Es reicht bereits, die IP-Adresse und den Port des LXC mit Loki anzugeben, um eine Verbindung herstellen zu können.

Bildschirmfoto_20260720_171407.png

Das muss ich natürlich später noch weiter absichern, aber zum Testen reicht es zunächst. Damit die Logs aber erst mal irgendwie in Loki “reinkommen”, brauche ich noch das Tool Alloy. Alloy empfängt Logs und/oder sammelt diese aktiv bei den hinterlegten Geräten ein und leitet sie anschließend an Loki weiter. Loki indexiert und komprimiert die Logs und regelt wohl auch das Aussortieren alter Logs. Alle drei Teile kommen vom gleichen Entwicklerteam, das sollte also gut zusammenarbeiten. Alloy ist weder Teil des Grafana-LXCs noch bei Loki dabei. Scheinbar hatten andere Leute bereits ähnliche Gedankengänge wie ich. MickLesk ist einer der Maintainer der Community-Scripts, und deswegen werde ich mich an seine Empfehlung halten. Ich hatte bereits überlegt, ob Alloy ein eigenes LXC benötigt. Erfreulicherweise ist das Nachrüsten von Alloy gar “nicht so deep”, wie man heute sagen würde. Es lässt sich mit einem simplen

apt install alloy

in dem LXC mit Loki nachinstallieren.
Bei der Installation des Loki-LXCs sind mir noch zwei weitere Punkte ins Auge gefallen. Man kann das Auswahlmenü mit

update

in der Shell des Loki-LXCs jederzeit erneut aufrufen.

Bildschirmfoto_20260720_200601.png

Ich wähle beim zweiten Durchlauf auch noch Option 2, damit alle ankommenden Adressen ihre Logs bei Alloy/Loki loswerden können. Das werde ich in Zukunft vermutlich noch einschränken - als kleiner Reminder für mich selbst.
Bis hierher war die Einrichtung noch trivial, und ich wollte das Thema eigentlich in ein bis zwei Stunden abhaken. Ich musste dann aber doch fast zwei Tage meiner Freizeit aufwenden, um die Logs von NetBox in Loki zu bekommen. Ich stelle hier meine Konfiguration vor; sie lässt sich aber bestimmt besser einrichten als in meinem Beispiel. Für mich passt es aktuell, und ich kann das Logging im Verlauf sukzessive noch weiter verbessern.
In der /etc/alloy/config.alloy des Alloy/Loki-LXCs habe ich am Ende folgenden Codeblock angehängt:

// --- Logs: Syslog-Listener ---
loki.source.syslog "central" {
  listener {
    address  = "0.0.0.0:1514"
    protocol = "tcp"
    labels   = {job = "syslog"}
  }
  forward_to = [loki.write.default.receiver]
}
loki.write "default" {
  endpoint {
    url = "http://localhost:3100/loki/api/v1/push"
  }
}

Danach den systemd-Dienst enablen mit

systemctl enable alloy

und starten mit

systemctl start alloy

.
Wie oben schon erwähnt, habe ich es zunächst nicht geschafft, die Logs von NetBox selbst über Alloy an Loki zu senden. Nach zwei Tagen des Herumprobierens meine ich, das Problem lokalisiert zu haben. NetBox ist eine Python/Django-Anwendung, und scheinbar sendet der SysLogHandler von Python keine RFC5424-konformen Logmeldungen. Alloy erwartet aber genau dieses Format und verwirft alle nicht RFC5424-konformen Nachrichten einfach. Das Problem sollte bei meinen anderen LXCs nicht auftreten, denn kein anderer meiner laufenden Services ist meines Wissens in Python geschrieben. Werde ich im Verlauf noch merken…
Jedenfalls musste ich in dem NetBox-LXC noch rsyslog nachinstallieren. rsyslog fungiert hier als Übersetzer: Es nimmt die minimale Nachricht von NetBox lokal entgegen (über /dev/log), reichert sie mit allen fehlenden Feldern an (Timestamp, Hostname, App-Name, Version) und schickt erst dann ein vollständiges, korrektes Paket weiter.

apt-get update
apt-get install -y rsyslog
systemctl enable rsyslog
systemctl start rsyslog

Damit rsyslog die NetBox-Nachrichten (Facility local0) auch tatsächlich an Alloy weiterleitet, musste ich noch eine Forward-Regel anlegen:

echo "local0.* @@<loki-lxc-ip>:1514;RSYSLOG_SyslogProtocol23Format" >> /etc/rsyslog.d/99-loki-forward.conf
systemctl restart rsyslog

Das Anhängsel ;RSYSLOG_SyslogProtocol23Format war dabei der Kern meines zweitägigen Problems: Ohne dieses Template sendet rsyslog standardmäßig im älteren RFC3164-Format, das Alloy nicht akzeptiert.
Nun muss man in dem NetBox-LXC noch die Config bezüglich des Loggings etwas anpassen. Bei mir war der Logging-Teil in der Config initial leer.

nano /opt/netbox/netbox/netbox/configuration.py

Hier folgendes beim Abschnitt Logging eintragen:

#   https://docs.djangoproject.com/en/stable/topics/logging/
LOGGING = {
    'version': 1,
    'disable_existing_loggers': False,
    'handlers': {
        'console': {
            'level': 'INFO',
            'class': 'logging.StreamHandler',
        },
        'syslog': {
            'level': 'INFO',
            'class': 'logging.handlers.SysLogHandler',
            'address': '/dev/log',
            'facility': 'local0',
        },
    },
    'loggers': {
        'netbox': {
            'handlers': ['console', 'syslog'],
            'level': 'INFO',
        },
        'django': {
            'handlers': ['console', 'syslog'],
            'level': 'WARNING',
        },
    },
}

Um sicherzugehen, dass NetBox nicht das interne Logging zugunsten der neuen externen Lösung ganz deaktiviert, habe ich sicherheitshalber beide Handler

['console', 'syslog']

in meiner Config eingetragen. Danach NetBox neu starten mit

systemctl restart netbox netbox-rq

Ich hoffe, das passt so… es scheint jedenfalls zu funktionieren. Hier noch der Screenshot einer Abfrage von Loki via Grafana.

Bildschirmfoto_20260721_211452.png

Man sieht schön die Aktivität des Dynamic IP Script aus dem vorherigen Beitrag, das momentan noch alle 30 Minuten ausgeführt wird. Grafana hat dabei auch die UTC Timestamps automatisch in die Lokalzeit umgerechnet.

Bildschirmfoto_20260721_215417-1.png

Wie man auf dem letzten Bild sieht läuft das Logging in NetBox intern weiterhin auf UTC.

Samstag, Juli 18, 2026

Netbox - DHCP Plugin + Custom Script zum Abgleich dynamischer IPs in IPAM

Das DHCP-Plugin ist zwar noch als Beta markiert, ich probiere es aber natürlich trotzdem aus 😎 Da es aktuell (noch) keine Dokumentation für das Plugin gibt, habe ich Claude den Sourcecode des Plugins auf GitHub analysieren lassen. Man kann über KIs denken, wie man will, aber als Werkzeuge zur Code- und/oder Fehleranalyse sind sie ausgezeichnet geeignet.
Da das Plugin noch in aktiver Entwicklung ist, könnten sich einige Einstellungspunkte in Zukunft ändern, daher erwähne ich die einzelnen Schritte der Einrichtung hier nicht. Claude und die meisten anderen KIs leiten einen hier aktuell gut durch, wenn man irgendwo nicht weiterkommt. Ich werde daher nur ein paar Screenshots von der Einrichtung zeigen und den Textteil irgendwann später ergänzen, wenn das Plugin nicht mehr in der Betaphase ist.

Bildschirmfoto_20260718_130902.png
Bildschirmfoto_20260718_131058.png
Bildschirmfoto_20260719_193258.png

Das Anlegen der IP-Reservierungen muss man von Hand erledigen.
Es bleibt in Bezug auf DHCP aber noch eine Sache abzudecken, und zwar den Fall, dass sich Geräte (Handys etc.) im LAN anmelden, eine dynamische IP von Technitium bekommen und später wieder (manchmal für immer) verschwinden. Das wäre z. B. in einem WLAN-Gastnetz der Fall oder wenn Endgeräte ihre MAC-Adressen rotieren (iPhones z. B.). Die entsprechenden Geräte bekommen von Technitium dynamisch per DHCP eine Adresse zugewiesen, und diese Adressen sollten irgendwie auch in NetBox auftauchen. Wenn das Lease solcher Geräte abgelaufen ist und sie wieder aus dem WLAN-Netz verschwunden sind, sollen auch die IPAM-Einträge wieder entfernt werden. Solche Geräte kann ich in NetBox nicht als Devices abbilden, denn dann müsste ich u. U. dynamisch neue Hersteller, Geräteklassen, Geräte und Schnittstellen in NetBox erzeugen lassen. Es reicht mir vollkommen, in NetBox den Hostnamen und die korrespondierende IP-Adresse des Geräts sehen zu können. Die Technitium-API bietet zum Glück die Möglichkeit, eine Liste mit allen aktuellen Leases abzufragen. Ich lege hierfür in Technitium einen neuen User mit eingeschränkten Rechten an. Für den neuen User kann man in der GUI von Technitium auch gleich noch ein API-Token erzeugen. Der API-Token wird nur einmalig angezeigt; ich lege ihn daher in meinem Passwortmanager (KeePassXC/KeePassium) ab.
Man kann die API-Abfrage nun im Browser testen mit

http://<technitium-ip>:5380/api/dhcp/leases/list?token=<api-token>

und bekommt alle aktuellen Leases angezeigt. Dabei sind vor allem die Leases mit dem Zusatz Dynamic von Interesse. Dies sind die Adressen, für die keine Reservierung vorhanden ist.
Als nächsten Schritt habe ich mit dem guten Claude ein kleines Script erstellt, das man genauso in NetBox einbinden kann wie die Scripte von Peter Eckel. Man findet es in einem GitHub-Repository, das ich in meinem Account neu angelegt habe. Evtl. werde ich dort (bei Bedarf) in Zukunft noch weitere Scripte ergänzen. Claude hat auch noch ein README erstellt, das die Einrichtung bereits sehr gut beschreibt. Damit das Script funktioniert, muss man zusätzlich ein neues Custom Field einrichten

Bildschirmfoto_20260719_121211.png

Das Script ruft bei jedem Durchlauf über die Technitium-API die Liste mit den Leases ab, filtert nur die mit “Dynamic” heraus, prüft, ob es bereits einen IPAM-Eintrag gibt, ergänzt einen fehlenden IPAM-Eintrag (inklusive Tag) und entfernt IPAM-Einträge, für die es kein korrespondierendes Lease mehr gibt. Ich habe als Intervall aktuell 30 Minuten eingestellt, werde aber vermutlich auf 15 Minuten umstellen. Das Script befindet sich noch in der Testphase, scheint aber bisher gut zu funktionieren.

Bildschirmfoto_20260719_205931.png

Technitium

Bildschirmfoto_20260719_210219.png

IPAM in NetBox
Ich lasse es mal ein paar Tage laufen und nehme noch ein paar der IP-Reservierungen bei Technitium raus, um eine schöne Rotation zu simulieren. Wenn das Script die nächsten Tage ohne Probleme sauber durchläuft und meine IPAM nicht vollmüllt, werde ich als nächsten Schritt die Steuerung von Technitium via NetBox/Semaphore (Ansible) in Angriff nehmen. Proxmox lässt sich wohl auch sehr gut über NetBox steuern, das wird dann vermutlich als nächstes Thema drankommen.

Mittwoch, Juli 15, 2026

Netbox - Einrichtung eines Tailscale Tunnels in ein entferntes Subnetz (z.B. für Zonentransfer)

Der Zonentransfer im LAN hat gut geklappt, allerdings kann ich die Zone von dem DNS-Server aus dem entfernten Subnetz (noch) nicht abrufen, da das NetBox-LXC ja keine Verbindung zum anderen Standort hat. Tailscale will ich in dem LXC mit NetBox nicht installieren, also musste ich etwas tricksen.
Ich hatte in beiden Subnetzen bereits ein eigenes LXC mit Debian 13 und Tailscale installiert. Beide LXCs fungieren am jeweiligen Standort als Tailscale Subnet Router und Exit Nodes. Gestartet wurden die beiden mit

# auf ts-subnet-standort1
tailscale up --accept-routes --advertise-exit-node --advertise-routes=192.168.2.0/24
# auf ts-subnet-standort2
tailscale up --accept-routes --advertise-exit-node --advertise-routes=192.168.3.0/24

NetBox läuft im Subnetz 192.168.2.0/24 und soll den DNS-Server mit der IP 192.168.3.2 über einen Tunnel zwischen den beiden LXCs erreichen können. Damit die IP-Pakete bei der Rückantwort von Standort 2 an Standort 1 wieder zur richtigen IP-Adresse (von NetBox) zurückgeleitet werden, braucht es noch eine Masquerading-Regel in iptables. In der Shell des TS-Subnet-Router-LXCs an Standort 2 setze ich die notwendige Regel zunächst temporär

iptables -t nat -A POSTROUTING -o eth0 -s 192.168.2.0/24 -j MASQUERADE

persistent machen mit

apt install iptables-persistent -y
netfilter-persistent save

Nun muss man die ACLs in Tailscale ein bisschen ergänzen. Die beiden Geräte müssen mit der jeweiligen LAN-IP eingetragen werden, in meinem Fall muss der Teil mit hosts folgendermaßen ergänzt werden

"hosts": {
    "netbox": "192.168.2.102",
    "dns-giesing": "192.168.3.2"
}

Man muss auch noch eine neue “action” bei den Tailscale-ACLs anlegen

{
    "action": "accept",
    "src": ["netbox"],
    "dst": ["dns-giesing:*"]
}

Das Prinzip ist ziemlich cool, weil ich einfach bei hosts und der neu angelegten action weitere Geräte aus dem Subnetz von Standort 2 eintragen und so NetBox darauf Zugriff geben kann. Zu guter Letzt muss ich noch in dem NetBox-LXC die Route ins Subnetz 192.168.3.0/24 eintragen. Temporär zu Testzwecken reicht bis zum nächsten Reboot ein

ip route add 192.168.3.0/24 via 192.168.2.128

Ich habe die Route gleich fest in die /etc/network/interfaces eingetragen, diese sieht nun so bei mir aus

auto lo
iface lo inet loopback
auto eth0
iface eth0 inet dhcp
    post-up ip route add 192.168.3.0/24 via 192.168.2.128

Die IP-Adresse 192.168.2.128 ist in dem Beispiel die IP-Adresse des LXC mit Tailscale, das bei mir zuhause als Subnet Router fungiert. Wenn alles geklappt hat, sollte man aus dem NetBox-LXC den DNS-Server am entfernten Standort anpingen können. Wie man auf dem Screenshot sieht, läuft kein Tailscale in dem NetBox-LXC.

Bildschirmfoto_20260715_163134-1.png

Den Zonentransfer muss man bei dem zweiten Technitium-Server auch erlauben, in dem Fall ebenfalls für das eigene Subnetz (192.168.3.0/24), da es für Technitium an Standort 2 so aussieht, als ob die Anfrage von dem Tailscale-LXC von Standort 2 kommt. Der Import der zweiten Zone hat somit ebenfalls ausgezeichnet geklappt.

Bildschirmfoto_20260715_171919.png