Beschreibt was ihr haben wollt , und wir schauen was man einbauen kann
genaue beschreibung wäre cool !
Vorschlag: mTLS (Client-Zertifikate) für Proxy-Hosts
Beispiel Immich: Der Dienst ist über Node64 öffentlich erreichbar, aber nur Geräte mit gültigem Client-Zertifikat kommen durch. Alle anderen werden schon beim TLS-Handshake abgewiesen und sehen nicht einmal die Login-Seite. So bleibt der Dienst ohne VPN „public“ und ist trotzdem nur für eigene Geräte erreichbar.
Die eigene CA gibt es in Node64 schon. Fehlen würden:
- Client-Zertifikate aus der eigenen CA (ExtendedKeyUsage clientAuth), Download als .p12, z. B. zum Import in die Immich-App. Den p12-Export gibt es ja schon.
- Pro Proxy-Host ein Schalter „Client-Zertifikat erforderlich“, mit Auswahl der CA, die die Zertifikate ausgestellt haben muss.
- Widerruf: Laut Doku hat die eigene CA keine Sperrliste (CRL). Für Client-Zertifikate bräuchte es eine, sonst bleibt ein verlorenes Handy bis zum Ablauf gültig.
Vorschlag 2: Mehr Einstellungen pro Location
Locations gibt es schon, mit eigenem Ziel, WebSockets und Zugriffsliste. Zwei Dinge würden sie deutlich mächtiger machen:
1. „Erweitert“ auch pro Location: Timeout, Upload-Grenze, Puffern und Kopfzeilen.
Beispiel ActiveSync: /Microsoft-Server-ActiveSync braucht lange Timeouts (Push-Verbindungen, bei mir 3650 s), große Uploads und kein Puffern. Webmail und Autodiscover auf demselben Host brauchen das nicht. Heute müsste man es für den ganzen Host setzen.
2. Zugriff pro Location überschreiben:
- Schutz des Hosts übernehmen (Standard)
- Ohne Anmeldung durchlassen, z. B. Webhooks, Health-Checks oder Immich-Freigabelinks (/share/…). IP-Regeln und Blocklisten gelten weiter.
- Sperren, z. B. WordPress /wp-admin oder Vaultwarden /admin: von außen sofort 403, ohne das Ziel zu fragen. Oder nur aus dem Heimnetz erlauben.