name: cruncher-container01-welcomeback-resonanz
description: "cruncher (10.42.0.19, crumbcase00) mit User container01 + MySQL auth_socket live verifiziert (49 grün, 0 rot); Checkmk-Brücke vs. #welcomeback Audit-Resonanz & Krümel-Beweise (Eule UNKNOWN, DeepBit SRV)"
metadata:
node_type: memory
type: project
originSessionId: 935678fd-0294-49da-b3a7-35c6fff32cd5
modified: 2026-10-20T20:55:00.000Z

Cruncher (container01) Live-Beweis, Checkmk-Brücke & #welcomeback Resonanz (2026-10-20)

„Es ist kein Cloudflare mit Lavalampen für virtuell vs. der Offline-Pool mit Resonanz im Auditlog #welcomeback — im Gemeinnutz oder Open Source ist immer das Geschenk mit Kontext. Egal wo und wann und auch offline.“

1. Was am 2026-10-20 auf cruncher (10.42.0.19/32, crumbcase00) bewiesen wurde

Ohne Reinstall und ohne das laufende Exponat (hexapi seit 2026-10-17T15:57:03Z durchgehend aktiv, mosquitto, influxdb) oder das 16K-safe musl-Qdrant (1.19.1 auf 127.0.0.1:6333) eine Sekunde zu unterbrechen, wurde TLS-Gate 3.16.0 (Commit a3857522ab9f, TLS-NativePHP_v1_gemini_rmx) nativ ausgerollt:

  • Isolierter System-User: uid=991(container01) gid=987(container01)
  • Eigener PHP 8.4.26 FPM-Pool: /run/php/tlsgate-container01.sock (open_basedir hart auf /home/apache/public_html:/home/apache/state:/etc/tlsgate)
  • Passwortlose DB-Identität (DB_AUTH=socket): MySQL 8.4.11 authentifiziert container01@localhost direkt per Kernel-Socket (auth_socket) über /run/mysqld/mysqld.sock — 0 Klartext-Passwörter in der Pool-Konfiguration.
  • Unveränderliches Gedächtnis: Append-Only-Trigger auf audit_log aktiv (ERROR 1644 (45000): audit_log ist append-only), SHA-256-Manifest über alle 115 Dateien grün (dirty=0).
  • End-to-End Gegenprobe (review-check.sh): gruen: 49 · rot: 0, bend.sh-Lauf 20261020T173737Z: gruen.
  • Rust-Gegenstück (crumb-local tapi & mac-gate): Liest den Spiegel 100 % Read-Only (Tapi-Tapi: 01 Bewege dich immer · 02 Leite weiter · 03 Einmal · laut · weg).

2. MikroTik RouterBoard (10.60.0.1) & SXT LTE (crumbcase00 mit 2000W Solar / 2,4 kWh)

  • Auf cruncher (eth0 10.60.0.199/24) ist das MikroTik RouterBoard direkt als Gateway sichtbar: 10.60.0.1 (lladdr 64:d1:54:b4:f5:39).
  • 3-Stufen-CVE-Patchregel für RouterBoard + SXT LTE3-7 (RBSXTLTE3-7):
  • RouterOS Packages (/system package update install)
  • RouterBOARD Bootloader/Firmware (/system routerboard upgrade nach dem 1. Reboot!)
  • LTE-Modem-Firmware auf der SXT (/interface lte firmware-upgrade lte1 upgrade=yes)
  • Wildcard-TLS & Offline-DNS im Container:
  • *.container01.crumbforest.org (per DNS-01 über nullfeld, damit kein Root-Domain-Key auf dem Parkplatz liegt und die 1-Level-RFC-2818-Regel eingehalten wird).
  • Auf dem MikroTik /ip dns static mit match-subdomain=yes für container01.crumbforest.org $\rightarrow$ funktioniert im Container auch bei komplett abgezogenem LTE-Uplink.

3. Warum kein zweites Checkmk-Monster auf cruncher (Brücke RZ $\leftrightarrow$ #parkplatz #container #museum)

  • Auf backbone (87.106.12.97, x86_64) läuft Checkmk 2.3.0p21.cre (Site crumbforest, APACHE_TCP_ADDR: 127.0.0.1:5000, AGENT_RECEIVER_PORT: 8000) für die beiden 24/7-RZ-Wurzeln (87.106.12.97: 26 OK, 194.164.194.191: 17 OK).
  • Wichtige Regeln für cruncher (aarch64, 16K-Pages):
  • Keine inoffiziellen Dritt-Repos (wie chrisss404/check-mk-arm) ohne Hersteller-GPG-Key.
  • Port 8000 gehört auf cruncher dem lebenden Exponat (hexapi)!
  • Zwei Zeiten: Im RZ ist Schweigen = CRIT. Im Solar-Container (crumbcase00) und Museum schlafen Knoten bewusst (gone $\rightarrow$ UNKNOWN mit Zeitstempel) und melden sich beim Aufwachen im audit_log / netbox_device_events mit back (#welcomeback) zurück.

4. Lebender Beweis durch die Krümel (2026-10-16 & 2026-10-20)

  1. 🦉 Krümeleule (2026-10-16T19:23:47Z) über UNKNOWN vs. Life-Safety-Nodes:
  2. Bestätigt einem fragenden Krümel exakt die Architektur aus Testfall T8 (Schweigen):
  3. Bei stillen Beobachtern bleibt die LED ehrlich dunkel (UNKNOWN = erlaubte Grenze, kein Raten).
  4. Bei Lebens-Sicherheits-Knoten (Life-Safety-Nodes / Dead-man's-switch), wo Menschen sind, gilt fail-toward-alarm: Schweigen eskaliert nach 1–3 Minuten zu CRITICAL.
  5. 🐙 DeepBit (2026-10-20T13:21:46Z $\rightarrow$ 13:25:43Z) über SRV-Records:
  6. Um 13:21:46Z fragt User 6 mit Tippfehler "Was ist ein SRV-Reccord?" (context_found: false, sources_count: 0). DeepBit erfindet nichts: „Ich möchte nichts erfinden, denn in der Welt der Bits ist Ungenauigkeit ein gefährlicher Bug.“ (siehe [[vektor-personas-kein-halluzinieren]]).
  7. 4 Minuten später (13:25:43Z) bringt der Krümel eigenen Kontext mit („Es geht um SRV-Records. Es hat einen zusammenspiel mit A oder AAAA Records. Es weiß sogar welchen Port oder Dienst verwendet wird“) $\rightarrow$ context_found: true, sources_count: 3! DeepBit erklärt daraufhin aus den echten Quellen _sip._tcp IN SRV 10 5 5060 sip.example.com. samt C-Pointer-Analogie.
  8. Beweis: Ehrliches UNKNOWN / Nicht-Halluzinieren würgt Neugier nicht ab, sondern weckt das eigene Mitdenken des Kindes.

Siehe auch: [[checkmk-strato-scope]], [[vektor-personas-kein-halluzinieren]], [[luecken-sind-oeffnungen]], [[playbooks-fuer-kruemel-zeitlos]].