From 39f7947da961fa95489cb92c0ab14565d4265437 Mon Sep 17 00:00:00 2001
From: duffyduck <info@hacker-net.de>
Date: Thu, 24 Sep 2026 17:19:59 +0200
Subject: [PATCH] =?UTF-8?q?feat(satellite):=20RVS=5FSNI=20=E2=80=94=20wie?=
 =?UTF-8?q?=20beim=20Host-Agent=20(interne=20IP=20+=20Cert-Hostname)?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Gleiche Faehigkeit wie beim host-agent: ein Satellit im selben Netz wie der RVS
kann direkt auf die interne IP verbinden und trotzdem den Cert-Namen im TLS-SNI
praesentieren (Caddy findet sonst kein Zertifikat -> tlsv1 alert internal error).
Nuetzlich z.B. fuer einen RZ-internen Satelliten, nur um Credentials zu hinterlegen.
RVS_HOST=<ip> + RVS_SNI=<name>; leer = Verhalten wie bisher.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
---
 satellite/.env.example |  6 ++++++
 satellite/satellite.py | 18 +++++++++++++++---
 2 files changed, 21 insertions(+), 3 deletions(-)

diff --git a/satellite/.env.example b/satellite/.env.example
index 3699a2a..9b84a33 100644
--- a/satellite/.env.example
+++ b/satellite/.env.example
@@ -7,6 +7,12 @@ RVS_HOST=rvs.example.de
 RVS_PORT=443
 RVS_TLS=true
 RVS_TOKEN=
+# RVS_SNI: nur noetig, wenn RVS_HOST eine IP ist (Satellit im selben Netz wie der
+# RVS, direkt auf die interne IP). Dann hier den Zertifikats-/Hostnamen angeben,
+# damit der TLS-Handshake (SNI) passt. Sonst leer lassen.
+#   RVS_HOST=10.0.0.2
+#   RVS_SNI=example.com
+RVS_SNI=
 
 # ─── Identitaet / Adresse dieses Satelliten ────────────────────────
 # SATELLITE_ID  = technisch eindeutig (a-z0-9-_), Default = Hostname-Slug.
diff --git a/satellite/satellite.py b/satellite/satellite.py
index 5765527..c9d9190 100644
--- a/satellite/satellite.py
+++ b/satellite/satellite.py
@@ -107,6 +107,10 @@ RVS_HOST = os.environ.get("RVS_HOST", "")
 RVS_PORT = int(os.environ.get("RVS_PORT", "443") or "443")
 RVS_TLS = _env_bool("RVS_TLS", True)
 RVS_TOKEN = os.environ.get("RVS_TOKEN", "")
+# TLS-Hostname (SNI + Zertifikatspruefung), falls RVS_HOST eine IP ist — z.B. ein
+# Satellit im selben Netz wie der RVS, der direkt auf die interne IP verbindet
+# (das Caddy-Zertifikat gilt aber fuer den Namen). Leer = SNI = RVS_HOST.
+RVS_SNI = os.environ.get("RVS_SNI", "").strip()
 
 SATELLITE_ID = (os.environ.get("SATELLITE_ID") or _default_id()).strip()
 SATELLITE_LOCATION = (os.environ.get("SATELLITE_LOCATION") or SATELLITE_ID).strip()
@@ -1316,13 +1320,21 @@ class Satellite:
         _creds_load()
         asyncio.create_task(self._periodic_scan())
         backoff = 1
+        # SNI-/Cert-Override: auf eine IP verbinden, aber den Namen im TLS-
+        # Handshake praesentieren (Caddy-Cert gilt fuer den Namen).
+        connect_kwargs = {"max_size": 8 * 1024 * 1024,
+                          "ping_interval": 20, "ping_timeout": 20}
+        if RVS_TLS and RVS_SNI:
+            import ssl
+            connect_kwargs["ssl"] = ssl.create_default_context()
+            connect_kwargs["server_hostname"] = RVS_SNI
         while True:
             proto = "wss" if RVS_TLS else "ws"
             url = f"{proto}://{RVS_HOST}:{RVS_PORT}?token={RVS_TOKEN}"
             try:
-                logger.info("Verbinde mit RVS %s://%s:%s …", proto, RVS_HOST, RVS_PORT)
-                async with websockets.connect(url, max_size=8 * 1024 * 1024,
-                                              ping_interval=20, ping_timeout=20) as ws:
+                logger.info("Verbinde mit RVS %s://%s:%s%s …", proto, RVS_HOST, RVS_PORT,
+                            f" (SNI {RVS_SNI})" if RVS_SNI else "")
+                async with websockets.connect(url, **connect_kwargs) as ws:
                     self.ws = ws
                     backoff = 1
                     await self._hello(log=True)