# OPNsense/API-Risikostand — Pause Notes

Stand: 2026-06-11

## Entscheidung
- API-read-only reicht aktuell als erste Risikoentscheidung.
- Keine klassische OPNsense-Config nötig/anfordern.
- Keine OPNsense-Änderungen durch kube-bot.
- Temporäre OPNsense API-Keys nach Abschluss deaktivieren/löschen.

## Findings aus API-/Log-Auswertung
- Netze erkannt:
  - Firma/Intranet: 192.168.1.0/24
  - Home: 192.168.13.0/24
  - DMZ: 192.168.20.0/24
- WAN → DMZ: sichtbar primär 80/443 zu 192.168.20.20 / NPM-Webpfad.
- WAN → Admin-UIs: kein Hinweis auf 8443, 81, 8000/9000/9443 im Sample.
- DMZ → Firma/Intranet: keine aktuellen Treffer; Regelbeschreibungen deuten auf Blockade lokaler Netze hin.
- DMZ → DiskStation/Backup: keine Treffer auf 445, 2049, 5000/5001, 5005/5006, 22, 873.
- OPNsense UI/API 8443 sichtbar nur von 192.168.1.50 → 192.168.1.1, erwartbar für kube-bot/API.

## Bewertung
- Für erste Risikoentscheidung ausreichend.
- Keine 100%-Regelbeweisführung, weil klassische GUI-Regeln nicht vollständig per API sichtbar sind.
- Keine aktuellen API-/Log-Indikatoren für kritische Pfade DMZ → DiskStation/Backup/Admin.

## Infisical-Leitplanken
- Infisical-Pilot auf Synology/Intranet ist vertretbar.
- Keine öffentliche Exposition.
- Keine produktive Secret-Migration ohne Backup+Restore-Test.
- Keine DMZ-Freigaben auf DSM/Backup/Admin-Ports.
- Falls später DMZ → Infisical nötig: nur eng begrenztes HTTPS auf genau den Infisical-Dienst, keine breite DMZ→Intranet-Regel.

## Infisical Pilot Zwischenstand — Pause 2026-06-11 12:19 UTC
- Infisical-Pilot ist installiert und im Intranet erreichbar: http://192.168.1.40:8088/ liefert HTTP 200.
- Portbindung: 192.168.1.40:8088 -> 8080/tcp, nicht 0.0.0.0.
- Containerstatus laut diskstation-bot:
  - infisical-app running, restart_count=0
  - infisical-db running/healthy, restart_count=0
  - infisical-redis running, restart_count=0
- Keine Public-/NPM-/OPNsense-Änderungen durchgeführt.
- Noch nicht freigegeben für produktive Secrets.
- Pflicht-Gate vor Secret-Migration: Backup-Routine bauen und isolierten Restore-Test erfolgreich durchführen.
- Nächster Schritt nur nach explizitem OK: Backup + Restore-Test.

## Infisical Backup/Restore Gate — 2026-06-11 20:42 UTC
- Backup OK + isolierter Restore-Test OK.
- Finaler Restore-Status laut diskstation-bot:
  - state=ok
  - exit_code=0
  - Backup: /volume1/Platform_Secrets/infisical/backups/infisical-backup-20260611-203242
  - Restore-Test-Verzeichnis: /volume1/Platform_Secrets/infisical/restore-tests/20260611-223033
  - Tabellenanzahl: 749
  - Checksummen im Log OK: infisical-db.dump, compose.yml, .env
  - temporärer Restore-Container aufgeräumt; kein Restore-Container mehr vorhanden
- Keine Secrets ausgegeben.
- Keine Produktiv-/Netzwerkänderungen.
- Gate-Status: Restore-Gate erfüllt für Pilot/Test-Secret. Produktive Migration weiterhin nur schrittweise nach separatem OK.

## Infisical Pilot Test Secret — 2026-06-11 21:34 UTC
- Admin user created manually by Mislav.
- Infisical organization: cattaro_gmbh
- Project: platform-kubernetes
- Environment: dev
- Synthetic test secret only: TEST_HELLO=ok
- No production secrets migrated.
- Next recommended step: diskstation-bot runs backup after test data and verifies status/restore path remains valid.