nixos-config/docs/pinix-router-migration.md

Mango durch pinix ersetzen

Stand: 13.09.2026, Umzug aktiv. Offen ist nur noch der Test mit einem echten WLAN-Client (siehe unten).

Ziel: Nokia 6300 per USB-Tethering an pinix; pinix stellt das WLAN pinix mit neuem, zufälligem Schlüssel bereit. tnix behält während der Migration Internet über den unabhängigen iPhone-Hotspot.

Reihenfolge

1. Fester Ethernet-Wartungszugang: pinix 192.168.50.1/24, tnix 192.168.50.2/24. Kein zusätzliches Standardgateway. Zunächst am bestehenden Mango-LAN testen, dann Ethernet direkt verbinden.
2. Nokia direkt an pinix: USB-Erkennung, IPv6, DNS64 und Wiederverbindung.
3. Öffentliche Dienste und DNS vom Mango unabhängig machen.
4. WLAN und Internetweitergabe auf pinix aktivieren und mit Client testen.

Aufbau

• hosts/pinix/router-uplink.nix: Nokia per .link-Datei stabil als wan0 (Treiber rndis_host, Modell Nokia_6300_4G), IPv6 per RA (accept_ra = 2), IPv4-Standardroute des Telefons verworfen. Eigener Unbound pinix-router-dns auf 127.0.0.2 und den LAN-Adressen, der an die DNS64-Resolver der Telekom weiterleitet. BIND lauscht öffentlich auf der wechselnden globalen Adresse, nicht auf LAN-/Tailnet-ULAs. Firewall: öffentlich nur 53/80/443, SSH nur über end0 und tailscale0.
• hosts/pinix/router-lan.nix: end0 (192.168.50.1, fd42:50:0::1) und wlan0 (192.168.51.1, fd42:50:1::1), NAT66 über wan0, radvd mit RDNSS auf pinix, dnsmasq nur für DHCPv4 auf wlan0 (lokales IPv4 ohne Router – Internet läuft über IPv6 plus NAT64/DNS64 der Telekom), hostapd pinix auf 2,4 GHz Kanal 6, WPA2-SHA256.
• WLAN-Schlüssel: secrets/pinix-wifi.age (Empfänger: Nutzer + pinix), anzeigen mit agenix -d secrets/pinix-wifi.age. Nach jeder Rotation zusätzlich sudo systemctl restart hostapd auf pinix nötig — hostapd liest die Passphrase nur beim eigenen Start ein; nixos-rebuild switch löst dafür keinen Neustart aus, weil sich nur der Secret-Inhalt hinter dem unveränderten /run/agenix-Pfad ändert, nicht die Unit selbst. Gefunden am 13.09.2026: Passwort rotiert und deployt, hostapd lief aber unbemerkt mit der alten Passphrase weiter, bis der Neustart das behoben hat.
• Öffentliche Adresse: mango-dns.timer führt ipv6-test.0ff.space (AAAA) jede Minute nach; dex. und head. (domain2) sind CNAMEs darauf. Der Dienstname stammt noch aus der Mango-Zeit, die Funktion ist unabhängig vom Router.

Konfigurationsbasis

Das Repository /home/drone/nixos-config auf pinix war hinter dem laufenden System zurückgeblieben. Ein erster Dry-Run hätte unter anderem Dex und Headscale entfernt; dieser Build wurde nicht aktiviert.

Die archivierte Quelle /nix/store/cca8s4fkcymj5nmv4df69bgdjbxixlhb-source wurde ausgewertet und ergab exakt den laufenden Systempfad /nix/store/ra5qca5ffp4412wdqw4f125yxvcpw6p5-nixos-system-pinix-26.11.20260910.8ce4ef6. Aus dieser Quelle wurden die pinix-Module und die beiden Dex-Hilfsskripte in das Repository auf pinix übernommen. Vorheriger Stand gesichert unter /tmp/pinix-before-router-source-reconcile-20260913.tar.gz auf pinix. Neue Quelldateien sind dort mit git add -N für Flake-Auswertungen sichtbar. Die Router-Stufen wurden aus diesem pinix-Checkout gebaut und aktiviert.

Der lokale Arbeitsstand auf tnix enthält zusätzlich die noch nicht aktivierte tailnet-dns.nix. Deren doppelte Definition von net.ipv6.conf.wan0.accept_ra wurde entfernt, weil router-uplink.nix das jetzt besitzt; sonst bricht die Auswertung des tnix-Stands ab.

Geprüft

• tnix aktiviert mit 192.168.50.2/24; IPv6-Standardroute über iPhone weiterhin bevorzugt (Metrik 3003 gegenüber Ethernet 4000).
• iw list auf pinix bestätigt AP-Unterstützung, 2,4 GHz und 5 GHz.
• Wartungsweg: SSH von tnix über 192.168.50.1 zuerst über Mangos LAN-Switch, dann per Direktkabel (Ping 0,326 ms). Der erste Switch musste network-addresses-end0.service explizit starten, da das Gerät bereits vorhanden war.
• Nokia: nach USB-Neuanschluss als wan0 mit öffentlicher IPv6-Adresse; beide Telekom-Resolver liefern DNS64 (64:ff9b::/96); GitHub über NAT64 mit HTTP 200.
• Letzte Stufe aktiviert: /nix/store/236wq0yx33qwmfjnwwhn2zrn52knww88-nixos-system-pinix-26.11.20260910.8ce4ef6. systemctl is-system-running = running, keine fehlgeschlagenen Units; hostapd (AP-ENABLED), radvd, dnsmasq, pinix-router-dns, BIND, Traefik, Dex, Headscale, tailscaled aktiv; IPv4/IPv6-Forwarding an.
• Von außen (tnix über iPhone-Hotspot, fremdes Netz): Ping auf die Nokia-Adresse ok; HTTP 301, https://dex.lukasrosier.com/dex/.well-known/openid-configuration und https://head.lukasrosier.com/health jeweils 200 über 2a01:598:…:3bdc; Port 22 von außen geschlossen. Cloudflare löst ipv6-test.0ff.space und dex.lukasrosier.com auf dieselbe Adresse auf.
• Nach dem Umzug hielt pinix noch eine per RA gelernte Default-Route des Mango über end0 (Metrik 1024, gegenüber wan0 1007). Da end0 jetzt accept_ra = 0 hat, wird sie nicht erneuert und läuft von selbst aus.

Test mit echtem Client und gefundene Bugs

Test mit einem echten Geraet (iPad) im WLAN pinix am 13.09.2026 bestanden, aber erst nach drei weiteren, unabhaengigen Bugs, die dabei zutage kamen (alle behoben und deployt):

• authentication.mode = "wpa2-sha256" (seltene AKM-Variante) statt wpa2-sha1 (der von praktisch jedem Geraet unterstuetzte WPA2-Standard) in router-lan.nix -- der Beitritt kam serverseitig nie an.
• end0/wlan0 ohne automatisch erzeugte Link-Local-Adresse (addr_gen_mode=none, erzeugende Ursache nicht abschliessend geklaert): radvd verweigerte deshalb stillschweigend jede Advertisement ("interface is not ready" bei Debug-Verbositaet). Ein oneshot-Dienst (pinix-lan-linklocal in router-lan.nix) setzt addrgenmode eui64 bei jedem Boot zurueck, nach allem was die Interfaces sonst anfasst.
• Die DNS64-Zugriffskontrolle in router-uplink.nix nutzte fd42:50::/48 (fixiert das 3. Hextet auf 0, deckt nur end0 ab) statt /32 (deckt end0 UND wlan0 ab) -- jede DNS-Anfrage vom WLAN kam als "Refused" zurueck, kein Client konnte etwas laden.

Aufräumen (erledigt am 13.09.2026)

mango-dns -> wan-dns-update umbenannt (Modul, Systemd-Einheiten, Skript), die Mango-Kommentare in hosts/pinix/configuration.nix und localServices/tailscale.nix korrigiert, der Übergangsname enp1s0u1u2 in router-uplink.nix entfernt (wan0 ist seit mehreren Boots/Reconnects stabil benannt). Nicht angefasst: scripts/pinix-reachability-probe.sh, scripts/configure-mango-dns.sh und die reinen Reboot-/Bind-Testprotokolle (docs/pinix-reboot-probe.md, docs/pinix-bind.md) -- die sind komplett auf die alte Mango-DNAT-Architektur zugeschnitten (eigene uci/nft-Schritte auf dem Mango selbst) und brauchen eine eigene Überarbeitung für den Nokia-Uplink, kein bloßes Umbenennen.