umbau 1.3.1

ansible/roles/guacd/defaults/main.yml

@@ -39,3 +39,25 @@ guacd_git_ref: "main"
 # zuruecksetzen: "debug"/"trace" sind gespraechig und koennen Details der
 # Zielumgebung ins Journal schreiben.
 guacd_log_level: "info"
+
+# --- TLS-Kompatibilitaet guacd -> Windows-Ziel (Live-Test 3.9.) -------------
+#
+# Standardmaessig AUS: guacd erbt dann die strengen systemweiten
+# OpenSSL-Vorgaben von Debian 12 (MinProtocol=TLSv1.2, DEFAULT@SECLEVEL=2).
+#
+# Auf true setzen, wenn scripts/diagnose_rdp_tls.py den Befund
+# "scheitert NUR an den OpenSSL-Vorgaben dieses Jumphosts" liefert -- also
+# der TLS-Handshake zum Windows-Ziel mit den System-Vorgaben scheitert, mit
+# gelockerten aber gelingt. Symptom in der Oberflaeche:
+# "Ziel nicht erreichbar (Code 519): SSL/TLS connection failed
+#  (untrusted/self-signed certificate?)", OHNE dass im guacd-Journal eine
+# "Certificate validation ..."-Zeile steht.
+#
+# Wirkt NUR auf den guacd-Prozess (Environment=OPENSSL_CONF in dessen Unit),
+# nicht systemweit. Immer nur so weit lockern wie noetig: das Diagnoseskript
+# nennt die tatsaechlich vom Ziel gesprochene TLS-Version, danach
+# guacd_tls_min_protocol genau darauf setzen statt pauschal auf TLSv1.
+guacd_tls_legacy_compat: false
+guacd_tls_min_protocol: "TLSv1"
+guacd_tls_security_level: 0
+guacd_tls_unsafe_legacy_renegotiation: true