# Prioritätenliste — K3s/DMZ Professionalisierung

Quelle: read-only Inventur, Kubernetes API, Nginx Proxy Manager, ArgoCD CRDs. Keine Änderungen durchgeführt.

## P0 — Daten-/Betriebsrisiken zuerst

### 1. Longhorn Volumes `degraded`

**Finding:** Mehrere Longhorn Volumes sind `attached degraded`, ein Volume ist `detached unknown`.

**Risiko:** Redundanz/Replica-Schutz ist reduziert. Bei Node-/Disk-Ausfall kann Datenverlust oder längere Downtime wahrscheinlicher werden.

**Empfohlene nächste Prüfung:**
- Longhorn Volume-Details je PVC erfassen
- Replica-Zustand und Scheduling prüfen
- Disk-/Node-Kapazitäten prüfen
- Backup-/Snapshot-Konfiguration prüfen

**Needs OK:** Nur read-only für Details. Reparaturen/Replica-Änderungen später nur mit explizitem OK.

### 2. Datenbank-Pods mit Crash/Restart-Problemen

**Finding:**
- `hf-espocrm/hf-espocrm-mariadb-0` läuft aktuell `CrashLoopBackOff`
- `hf-suitecrm/suitecrm-mariadb-0` läuft, aber mit sehr vielen Restarts

**Risiko:** CRM-Dienste können instabil sein; Datenintegrität und Verfügbarkeit prüfen.

**Empfohlene nächste Prüfung:**
- Gefilterte MariaDB-Logs ohne Secrets
- Events/Probe-Konfiguration
- PVC/Longhorn-Zuordnung

## P1 — Akute Anwendungsfehler

### 3. SuiteCRM ImagePullBackOff

**Finding:** `hf-suitecrm/suitecrm-suitecrm-...` ist `ImagePullBackOff`; ArgoCD `suitecrm` ist `Unknown/Progressing`.

**Risiko:** SuiteCRM ist vermutlich nicht vollständig verfügbar oder läuft nur teilweise.

**Empfohlene nächste Prüfung:**
- `describe pod` Image Pull Fehler
- Image-Repository/Tag prüfen
- ArgoCD Source/Helm Werte read-only prüfen

### 4. Mautic CronJobs schlagen wiederholt fehl

**Finding:** `hf-mautic` CronJobs erzeugen wiederholt `CrashLoopBackOff` / `BackoffLimitExceeded`.

**Risiko:** Kampagnen-/Segment-/Queue-Jobs laufen nicht korrekt; fachliche Automationen können ausfallen.

**Empfohlene nächste Prüfung:**
- Logs der fehlenden `mautic-cli` Jobs gefiltert
- CronJob-Konfiguration
- Datenbank-/Redis-Erreichbarkeit

## P2 — Plattform-/Versionshygiene

### 5. K3s Version-Mismatch

**Finding:**
- Control-plane: `v1.28.4+k3s2`
- Worker: `v1.29.3+k3s1`

**Risiko:** Uneinheitlicher Clusterzustand; künftige Updates/Debugging schwieriger.

**Empfehlung:** Updatepfad planen, nicht spontan durchführen.

### 6. Zwei Default StorageClasses

**Finding:** `local-path` und `longhorn` sind beide als Default markiert.

**Risiko:** Neue PVCs können unerwartet auf falschem Storage landen.

**Empfehlung:** Ziel-Default festlegen, wahrscheinlich `longhorn`, danach Änderung geplant und kontrolliert.

## P3 — GitOps/ArgoCD Professionalisierung

### 7. ArgoCD Apps mit `Unknown`

**Finding:**
- `apps`: `Unknown/Healthy`
- `suitecrm`: `Unknown/Progressing`
- `hf-mautic`: `Unknown/Healthy`
- `hf-espocrm`: `Unknown/Progressing`
- `n8n`: `Synced/Healthy`

**Risiko:** ArgoCD ist eingeführt, aber nicht überall zuverlässig als Single Source of Truth.

**Empfehlung:**
- ArgoCD App-of-Apps Struktur prüfen
- Repo-Struktur standardisieren
- Mandantenstruktur Cattaro/Pidoka abbilden
- Manuelle Ressourcen identifizieren und schrittweise nach GitOps überführen

### 8. Matomo sichtbar im Cluster, aber nicht als ArgoCD-App sichtbar

**Finding:** `matomo.heckenfels.com` läuft im Cluster, aber keine ArgoCD-App-Zuordnung sichtbar.

**Risiko:** Drift und unklare Wiederherstellbarkeit.

## P4 — Netzwerk/Proxy/Security Hygiene

### 9. Proxy-only Dienste dokumentieren

**Finding:** Mehrere Domains zeigen auf Systeme außerhalb von K3s:
- `nextcloud.cattaro.eu` → `192.168.20.30`
- `office.cattaro.eu` → `192.168.188.40`
- `meshcentral.cattaro.eu` → `192.168.188.42`
- `bitwarden.cattaro.eu` → `192.168.20.20:8080`

**Empfehlung:** Als externe Abhängigkeiten separat inventarisieren.

### 10. Nginx Proxy Manager Governance

**Finding:** Proxy ist WebUI-verwaltet, DB-basiert, Container `jc21/nginx-proxy-manager:latest`.

**Empfehlung:**
- Vor Änderungen Backup/Snapshot der NPM-Datenbank
- Änderungen bevorzugt über WebUI/API/DB-nah, nicht an generierten nginx-Dateien
- Domain→Ingress Matrix versionieren

## Vorgeschlagene Reihenfolge

1. Longhorn/Storage Health genauer prüfen
2. MariaDB-Probleme bei EspoCRM/SuiteCRM prüfen
3. SuiteCRM ImagePullBackOff analysieren
4. Mautic CronJobs analysieren
5. ArgoCD Unknown-Ursachen prüfen
6. K3s Update- und StorageClass-Zielzustand planen
7. GitOps Zielstruktur ausarbeiten
8. Proxy-only Dienste ergänzend inventarisieren