From d1df0cd2ececb060dd1ac3c2d66bb69924b4225a Mon Sep 17 00:00:00 2001 From: cschlaefke Date: Sat, 18 Jul 2026 22:13:00 +0200 Subject: [PATCH] Doku: Git-Push per HTTPS+Token als Standardweg, SSH-Port-Mapping via Compose-Edit als Variante B Co-Authored-By: Claude Fable 5 --- docs/git-forgejo.md | 44 ++++++++++++++++++++++++++++++++------------ 1 file changed, 32 insertions(+), 12 deletions(-) diff --git a/docs/git-forgejo.md b/docs/git-forgejo.md index 788699d..0516a18 100644 --- a/docs/git-forgejo.md +++ b/docs/git-forgejo.md @@ -40,9 +40,9 @@ PermitRootLogin prohibit-password | 22 | TCP | SSH zum Server (Administration) | | 80 | TCP | HTTP (nur für Let's-Encrypt-Zertifikate und Umleitung auf HTTPS) | | 443 | TCP | HTTPS (Coolify-Proxy: alle Web-Oberflächen) | -| 2222 | TCP | Git-SSH zu Forgejo (`git push/pull`) | +| 2222 | TCP | *Optional:* Git-SSH zu Forgejo — nur nötig, wenn du Variante B in Schritt 5 nutzt | -Alles andere bleibt zu — insbesondere **8000** (Coolify-Dashboard, siehe Schritt 2) und **3000** (Forgejo-Weboberfläche; sie läuft nur intern hinter dem Proxy). Alternativ ohne Cloud Firewall: `ufw` mit genau diesen vier Regeln (`ufw allow 22,80,443,2222/tcp && ufw enable`). +Alles andere bleibt zu — insbesondere **8000** (Coolify-Dashboard, siehe Schritt 2) und **3000** (Forgejo-Weboberfläche; sie läuft nur intern hinter dem Proxy). Alternativ ohne Cloud Firewall: `ufw` mit genau diesen Regeln (`ufw allow 22,80,443/tcp && ufw enable`). **Updates automatisieren:** @@ -71,18 +71,17 @@ Dann absichern: 1. In Coolify: **Projects → dein Projekt → + New → Service** → in der Vorlagen-Liste **Forgejo** wählen (Variante mit SQLite reicht für einen Einzelnutzer völlig; Postgres wäre Overkill). 2. Im Service unter **Domains** für den Web-Container `https://git.deine-domain.de` eintragen → HTTPS-Zertifikat kommt automatisch. -3. **Git-SSH-Port freischalten:** Im Service unter *Ports Mappings* den Container-Port `22` auf Host-Port `2222` mappen (Eintrag `2222:22`). Ohne dieses Mapping funktioniert nur HTTPS-Klonen — auch okay, aber SSH ist bequemer. -4. **Umgebungsvariablen** (Environment Variables) des Forgejo-Containers ergänzen — so ist Forgejo schon beim ersten Start korrekt konfiguriert: +3. **Umgebungsvariablen** (Environment Variables) des Forgejo-Containers ergänzen — so ist Forgejo schon beim ersten Start korrekt konfiguriert: ``` FORGEJO__service__DISABLE_REGISTRATION=true # niemand außer dir kann Accounts anlegen FORGEJO__server__DOMAIN=git.deine-domain.de FORGEJO__server__ROOT_URL=https://git.deine-domain.de/ -FORGEJO__server__SSH_DOMAIN=git.deine-domain.de -FORGEJO__server__SSH_PORT=2222 # damit angezeigte Clone-URLs den richtigen Port enthalten ``` -5. **Deploy** klicken. Danach `https://git.deine-domain.de` öffnen → Ersteinrichtung bestätigen (die Werte sind durch die Variablen schon richtig) → **Admin-Konto anlegen**. +> **Hinweis Git-SSH:** Die Service-Vorlage bietet kein Port-Mapping in der UI an. Das ist okay — wir pushen standardmäßig über HTTPS (Schritt 5, Variante A), dafür braucht es keinen zusätzlichen Port. Wer trotzdem SSH will: Variante B in Schritt 5. + +4. **Deploy** klicken. Danach `https://git.deine-domain.de` öffnen → Ersteinrichtung bestätigen (die Werte sind durch die Variablen schon richtig) → **Admin-Konto anlegen**. ## 4. Forgejo absichern @@ -90,18 +89,38 @@ FORGEJO__server__SSH_PORT=2222 # damit angezeigte Clone-URLs den - **Kontrolle Registrierung:** Site Administration → Configuration — „Registrierung deaktiviert" muss aktiv sein (kommt aus der Umgebungsvariable). - Da Forgejo nur über den Coolify-Proxy (HTTPS) und Port 2222 (Git-SSH mit Schlüssel) erreichbar ist, ist die Angriffsfläche damit klein: kein offenes Web-Registrierungsformular, keine Passwort-Logins über SSH. -## 5. SSH-Schlüssel hinterlegen und Planty pushen +## 5. Repository anlegen und Planty pushen -In Forgejo: **Einstellungen → SSH/GPG-Schlüssel** → Inhalt von `~/.ssh/id_ed25519.pub` (vom Mac) einfügen. +In der Web-UI **Neues Repository** → Name `planty` → **ohne** README/Lizenz initialisieren (das Repo existiert lokal schon). -Dann in der Web-UI **Neues Repository** → Name `planty` → **ohne** README/Lizenz initialisieren (das Repo existiert lokal schon). Auf dem Mac: +### Variante A: HTTPS mit Zugriffs-Token (empfohlen — kein extra Port nötig) + +1. In Forgejo: **Einstellungen → Anwendungen → Zugriffstoken verwalten** → Token erzeugen (Berechtigung *repository: Lesen und Schreiben*). Das Token wird **einmalig** angezeigt — direkt kopieren. +2. Auf dem Mac: ```bash cd ~/Documents/Projekte/Planty -git remote add origin ssh://git@git.deine-domain.de:2222//planty.git +git remote add origin https://git.deine-domain.de//planty.git git push -u origin main ``` +3. Beim ersten Push fragt Git nach Zugangsdaten: Benutzername = dein Forgejo-Nutzer, Passwort = **das Token** (nicht dein Login-Passwort). macOS speichert es im Schlüsselbund — danach wirst du nie wieder gefragt. + +### Variante B: Git-SSH (nur wenn gewünscht) + +Die Forgejo-Vorlage hat kein Port-Mapping in der Coolify-UI, aber jede Service-Vorlage ist eine bearbeitbare Docker-Compose-Datei: Im Service **„Edit Compose File"** öffnen und beim Forgejo-Container ergänzen: + +```yaml + ports: + - "2222:22" +``` + +Zusätzlich als Umgebungsvariablen `FORGEJO__server__SSH_DOMAIN=git.deine-domain.de` und `FORGEJO__server__SSH_PORT=2222` setzen (für korrekte Clone-URLs), Port 2222 in der Hetzner-Firewall öffnen, Service neu deployen. Dann in Forgejo unter **Einstellungen → SSH/GPG-Schlüssel** den Inhalt von `~/.ssh/id_ed25519.pub` hinterlegen und als Remote nutzen: + +```bash +git remote add origin ssh://git@git.deine-domain.de:2222//planty.git +``` + Ab dann genügt nach jedem Arbeitsstand ein `git push`. Test: Die Dateien erscheinen unter `https://git.deine-domain.de//planty`. ## 6. Backups @@ -124,7 +143,8 @@ Zusammen mit dem lokalen Klon auf deinem Mac existieren damit immer mindestens d ## Sicherheits-Checkliste (zum Abhaken) - [ ] SSH: nur Schlüssel-Login, kein Passwort-Login, Root-Login nur mit Schlüssel -- [ ] Firewall aktiv: nur 22, 80, 443, 2222 offen — 8000 und 3000 zu +- [ ] Firewall aktiv: nur 22, 80, 443 offen (2222 nur bei Git-SSH-Variante B) — 8000 und 3000 zu +- [ ] Forgejo-Zugriffstoken sicher verwahrt (macOS-Schlüsselbund), nicht in Dateien/Notizen - [ ] Coolify: eigene HTTPS-Domain, Registrierung aus, 2FA aktiv - [ ] Forgejo: Registrierung aus, 2FA für Admin aktiv, nur hinter HTTPS erreichbar - [ ] Automatische Betriebssystem-Updates aktiv