DNS-Records und Wildcard-Zertifikat, ohne Konsole

• Welche DNS-Anbieter werden unterstützt?

  Registrierte Zonen sind Cloudflare-Zonen. Hosts in anderen Zonen funktionieren ebenfalls: Sie legen den Record selbst an, Clusterward wartet auf die Auflösung und rendert Ingress und Zertifikat. Nur das automatische Anlegen von Records setzt eine Cloudflare-Zone voraus.

• Löscht Clusterward jemals einen Record, den ich angelegt habe?

  Nein. Gelöscht werden ausschließlich Records, die Clusterward selbst erzeugt und in seiner Registry vermerkt hat. Existiert für einen Host bereits ein fremder Record, meldet das Cockpit einen Konflikt und lässt ihn stehen. Übernehmen Sie ihn, darf Clusterward ihn ändern, etwa beim Controller-Wechsel – löschen wird es ihn trotzdem nie, beim Entfernen vergisst es ihn nur.

• Kann Clusterward bestehende Records übernehmen?

  Ja. Die Zonenseite listet Records, die jemand anderes angelegt hat, und „Übernehmen“ stellt einen davon unter die Verwaltung von Clusterward, nach einer Bestätigung. Er wird dann wie ein eigener geändert, beim Anbieter aber nie gelöscht. Der stündliche Abgleich mit Cloudflare hält die Registry dabei aktuell.

• Wann brauche ich ein Wildcard-Zertifikat?

  Sobald viele Subdomains einer Basis-Domain entstehen, etwa ein Host pro Kunde. Let’s Encrypt begrenzt neue Zertifikate pro registrierter Domain und Woche; ein Wildcard-Zertifikat deckt alle Subdomains mit einer einzigen Ausstellung ab. Clusterward stellt es per DNS-01 aus und spiegelt das Secret in jede Namespace.

• Was bedeutet TLS-Modus „auto“?

  Bei der Registrierung des Hosts fragt Clusterward einmal DNS. Zeigt der Host auf Cloudflares Proxy, endet TLS an der Edge und Clusterward stellt kein eigenes Zertifikat aus. Andernfalls wird ein Let’s-Encrypt-Zertifikat angefordert. Die Entscheidung wird am Host festgehalten.

• Wie funktionieren Weiterleitungen?

  Liegt der Host in einer registrierten Zone und läuft sein Record über den Cloudflare-Proxy, schreibt Clusterward bei jedem Deploy eine Redirect-Regel in die Zone: ein 301 auf https, die Startseite geht auf den Zielpfad, jede andere Seite behält Pfad und Query. Eine fremde Regel für denselben Host bleibt als Konflikt stehen. Das Zonen-Token braucht dafür zusätzlich das Recht „Dynamic URL Redirects: Edit“. Alle anderen Weiterleitungen beantwortet der Cluster mit einem schlichten 301 auf https, dort ohne den Pfad der aufgerufenen Seite. Die Domains-Karte zeigt, wo eine Weiterleitung beantwortet wird.

• Kann ich einen Host auf bestimmte IP-Bereiche beschränken?

  Ja, pro Domain mit einer Liste erlaubter Quell-Bereiche. Sie wirkt nur, wenn der Cluster echte Client-Adressen sieht, also mit aktivem Proxy-Protokoll und für Hosts ohne Cloudflare-Proxy. Ein Aussperren der eigenen Adresse wird bewusst nicht verhindert.

• Was passiert beim Wechsel des Ingress-Controllers?

  Ein Cutover: Vorher zeigt ein Plan pro Host, wer den Record umzieht. Dann rendert der bisherige Controller mit seiner eigenen Klasse weiter, der neue kommt hinzu, beide Load Balancer bedienen die Hosts mit gültigen Zertifikaten. Clusterward zieht eigene und übernommene Records um, legt für einen Host, den nur ein Wildcard beantwortet, einen eigenen an und schließt den Cutover eine Stunde, nachdem jeder Host auf die neue Adresse zeigt. Ein Controller-Wechsel per einfacher Einstellung wird verweigert.

• Wie erfahre ich von ablaufenden Zertifikaten?

  Ein täglicher Lauf prüft alle Zertifikate und verwalteten Wildcards. Läuft eines in 14 Tagen ab oder ist nicht bereit, entsteht einmal pro Tag eine Benachrichtigung an die abonnierten Kanäle.

Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten in der Regel am selben Werktag.