ADR-0003: VPN-Hülle nach Cutover
- Status: accepted
- Datum: 2026-08-26
- Phase: P-SEC
- Lastenheft: INF-04 (VPN nicht Pflicht)
Kontext
WireGuard und Traefik TCP :3401 auf 10.13.13.1 existieren. Hartes Abschalten am Cutover-Tag riskiert QGIS-Ausfall, solange mTLS nicht abgenommen ist.
Entscheidung
Übergang: WireGuard behalten; QGIS testweise mTLS zusätzlich. Nach Abnahme: Port 3401 auch auf wg0 zu; Postgres unpublished. WireGuard darf für andere NAS-Dienste bleiben, ist keine Voraussetzung für QGIS oder die Apps.
Begründung
Lastenheft verlangt kein VPN. Offenes :3401 auf WG ist trotzdem das alte Modell (geteiltes Passwort). Sanfter Cutover passt zum bestehenden Host-Setup.
Verworfene Alternativen
| Alternative | Warum verworfen |
|---|---|
| WG als Dauer-Voraussetzung für Apps | Widerspricht Lastenheft; Editor/Dashboard gehen über HTTPS |
| WG am Cutover-Tag hart killen | Unnötiges Risiko, solange andere Dienste oder QGIS-Übergang WG nutzen |
:3401 dauerhaft auf wg0 offen lassen |
Altes Modell; mTLS wäre dann optional und würde nicht durchgesetzt |
Folgen
Nach Abnahme ist docker-compose.override.yml nicht mehr der QGIS-Pfad: nur noch HTTPS (frontend-prod / backend) am Traefik-Netz; Postgres hat keine TCP-Labels und bleibt unpublished. QGIS geht über PgBouncer (docker-compose.pgbouncer.yml, Profil mtls). Dokumentation unterscheidet Ist (abgeschaltet): WG+plain :3401 und Soll (live): mTLS, :3401 zu. WireGuard bleibt für andere NAS-Dienste.