freesailarr: MediathekArr als zehnten Container aufnehmen #20
No Assignees
Notifications
Due Date
No due date set.
Dependencies
No dependencies set.
Reference: jlab-cluster/helm-charts#20
Reference in new issue
Block a user
MediathekArr (https://github.com/PCJones/MediathekArr) soll als zehnter Container in den freesailarr-Pod. Es täuscht gegenüber Prowlarr einen Usenet-Indexer und gegenüber Sonarr/Radarr einen SABnzbd-Downloader vor und lädt Inhalte per HTTP direkt aus den Mediatheken von ARD und ZDF.
Beide Abnehmer sitzen bereits im Pod und teilen sich gluetuns Netzwerk-Namensraum — sie erreichen MediathekArr über
127.0.0.1, ohne Service, ohne DNS, ohne Ingress-Umweg. Der Zuschnitt passt also, und die Aufnahme ist rein additiv.Alles Folgende ist gemessen, in zwei Runden in Wegwerf-k3d-Clustern, jeweils mit Kontrolllauf über direkten Egress. Wo etwas nicht gemessen ist, steht es ausdrücklich dabei.
Der Geo-Vorbehalt, und warum er den Chart nicht aufhält
Der Tunnel geht per Chart-Vorgabe über Zürich; ARD und ZDF sperren Teile ihres Katalogs außerhalb Deutschlands. Alle Container hängen an gluetuns Namensraum, einen Bypass für einen einzelnen Container gibt es nicht.
Streuprobe, 480 URLs über 12 Kanäle: 104 von 473 direkt ladbaren URLs sind über Zürich gesperrt = 22,0 % (KI etwa 18–26 %). Auf der deutschen Seite kein einziger Fehlschlag. Die Verteilung ist stark ungleich: ONE 97,5 %, ZDFneo 47,5 %, ZDFinfo 37,5 %, Das Erste 20,5 %, ZDF 10,3 %, BR 0 %.
Vollerhebung über sechs konkret nachgefragte Formate, 584 URLs, keine Stichprobe: vier Serien zu 100 % ladbar, eine praktisch (nur ein Trailer gesperrt), eine zu 95 % gesperrt.
Die Ausgangswahl ist ein Deployment-Wert, keine Chart-Eigenschaft. Der Chart entsteht unabhängig davon; er schuldet nur eine ehrliche Dokumentation.
Was dokumentiert wird: das Verfahren, nicht die Momentaufnahme
Der Geo-Marker im CDN-Pfad war über beide Runden hinweg ein perfekter Prädiktor — in der Vollerhebung 584 von 584 Fällen korrekt, keine einzige Fehlklassifikation:
/de/,/geo/de/,/deutschlandweit/,geoavailability_D/weltweit//none/(ZDF)/dach/,deChAt(WDR-Variante)Eine Serientabelle in
values.yamlwäre in einem halben Jahr veraltet. Das Verfahren nicht: wer wissen will, ob seine Sendung über einen fremden Ausgang funktioniert, sieht im Pfad der Medien-URL nach. Das gehört in die Dokumentation, zusammen mit dem Fluchtweg (deutscher Ausgang für den gesamten Stack) und dessen Preis.Die naheliegende Faustregel „Eigenproduktion = weltweit frei" ist belegt falsch und darf so nicht in der Dokumentation landen: eine ARD-Eigenproduktion war gesperrt, eine Lizenzserie offen. Nur der Marker zählt.
Die Falle, die in NOTES.txt gehört
MediathekArr prüft den HTTP-Statuscode nie. A/B gemessen mit identischem NZB:
statusCompletedFailedbytesfail_messagenullnullBei gesperrtem Abruf schreibt es die rund 476 Byte große HTML-Fehlerseite als
.mp4weg und protokolliert „Download completed". Erst mkvmerge verweigert die Datei (Exit-Code 2) und kippt den Status aufFailed.Zwei Konsequenzen, beide dokumentationspflichtig:
fail_messageistnull. Eine Geosperre sieht im Betrieb exakt aus wie ein defekter Server, eine abgelaufene URL oder ein voller Datenträger. Auch der Containerlog nennt die 403 nicht.Completedgemeldet — und dann wandern kaputte Dateien in die Bibliothek. In beiden Messrunden ist das nicht eingetreten (Akamai liefert durchgehend HTML), aber darauf ist kein Verlass.Umsetzung — was gemessen ist
Zwei Ports, nicht einer.
MediathekArrDownloader(SABnzbd-Rolle) auf 5007,MediathekArrServer(Newznab-Rolle für Prowlarr) auf 5008. Die Upstream-Dokumentation nennt nur 5007. Im Pod sind belegt: 9999, 8080, 9696, 8191, 7878, 8989, 5055, 6767 — beide neuen Ports sind frei.Die SABnzbd-API liegt unter
/download/api, nicht unter/api./apiauf 5007 antwortet mit einem Newznab-Validierungsfehler und führt in die Irre.Startgate auf gluetun — der schärfste Punkt. Startet MediathekArr, bevor der Tunnel steht, scheitert der Ruleset-Abruf, und die Instanz lieferte danach über elf Minuten hinweg 0 Treffer auf jede Newznab-Suche, ohne dass ein Retry das reparierte. Mit 75 s Verzögerung: Ruleset ok, Suche identisch zur direkten Instanz. Ohne Startgate ist der Indexer stumm und nichts meldet es — kein Fehler, keine unready Probe, nur leere Suchergebnisse. Die Suche selbst ist nicht geogesperrt (56 Treffer über beide Ausgänge).
Härtung, drei Varianten gemessen. Der auskommentierte Nicht-Root-Block im Dockerfile ist für den
beta-Stand überholt (docker_start.shenthält einen gosu-Pfad). Ergebnis:runAsNonRoot: true+runAsUser: 1000+readOnlyRootFilesystem: true+fsGroup: 1000läuft vollständig durch, inklusive echtem Download und mkvmerge-Remux.Beschreibbar sein müssen:
/app/config— Konfigurations-JSON, gehört auf einen eigenenvolumeClaimTemplatewie bei den anderen Apps./data/mediathek—incomplete/undcomplete/./tmpwar nicht erforderlich (die RO-Variante ohne/tmplief durch). Als billige Absicherung trotzdem sinnvoll — das ist eine Empfehlung, keine Messung./app/downloadswird von der Anwendung gar nicht benutzt, obwohl die docker-compose.yml es als Volume führt. Ihre Vorgaben sind/data/mediathek/incompleteund/data/mediathek/complete.Wohin die Downloads gehören — zu entscheiden, nicht zu raten.
complete/muss auf dem geteilten downloads-Claim liegen, sonst kann Sonarr im selben Pod nichts importieren, undDOWNLOAD_FOLDER_PATH_MAPPINGmuss auf genau diesen Pfad zeigen — eine Abweichung importiert schweigend nichts.incomplete/gehört nicht in einen emptyDir: ein emptyDir zählt gegen das ephemeral-storage-Limit des Containers, und ein großer Download lässt den kubelet den ganzen Pod räumen, mit allen neun anderen Containern. Das ist dieselbe Falle, die in ytdlp-web-player dokumentiert ist.Image per Digest pinnen. Die Tags sind unbrauchbar:
lateststammt vom 12.11.2024 (= v0.2.5), die README empfiehltbeta(zuletzt 15.06.2026). Aufgelöst:Single-Arch, nur
linux/amd64, kein arm64 — gehört als Kommentar an die Stelle, auch wenn der Zielcluster durchgehend amd64 ist. Dazu eine Renovate-Regel für Digest-Updates, im Trockenlauf belegt: eine gültige Regel ist keine treffende Regel (#158, searxng-Runde).Es gibt keinen Health-Endpunkt. Gemessen 404 auf
/health,/healthz,/api/health,/download/health,/status,/ping. Belegte 200er-Kandidaten für die Probes:GET /api?t=capsGET /download/api?mode=version&output=json&apikey=xoderGET /download/Offen, ausdrücklich ungemessen
Ein Teil des Mediathek-Bestands liegt als HLS-Playlist (
application/x-mpegURL) statt als progressives MP4 vor. MediathekArrs Downloader lädt eine einzelne HTTP-Datei und remuxt sie mit mkvmerge; ob er mit einer m3u8-Playlist umgehen kann, ist nicht gemessen. Falls nicht, fallen diese Einträge unabhängig von jeder Geosperre aus. Das gehört als offene Frage invalues.yaml, nicht als Annahme in die eine oder andere Richtung.Zu belegen
mediathekarr.enabled: trueundfalse, ohne dass bestehende Installationen sich ändern.readOnlyRootFilesystem: true.Versionsstufe
Minor — rein additiv, standardmäßig aus, und der
volumeClaimTemplateentsteht nur bei aktiviertem Flag, sodass sich für bestehende Installationen nichts ändert. Aktuell3.0.5+up1.0.0, also3.1.0+up1.0.0. DieappVersiondes Charts bleibt unberührt: sie ist frei gewählt und an kein Upstream gebunden, alle Images sind invalues.yamlgepinnt.Dazu wie üblich:
values.schema.json, CI-Fixtures unterci/freesailarr/, Renovate-Eintrag, README-Aktualisierung, wo sie repo-weites Verhalten berührt.Korrektur am Auftragstext:
DOWNLOAD_FOLDER_PATH_MAPPINGgibt es im gepinnten Image nichtDer Rumpf dieses Issues verlangt,
DOWNLOAD_FOLDER_PATH_MAPPINGauf den Pfad zeigen zu lassen, unter dem Sonarr das fertige Verzeichnis sieht. Diese Variable existiert im gepinntenbeta-Image nicht.Sie stammt aus der
docker-compose.ymldes Upstreams, und die beschreibt denlatest-Stand von November 2024 (v0.2.5) — nicht denbeta, auf den wir per Digest pinnen. Der Fehler ist meiner: ich habe die Betriebsdaten aus der Compose-Datei übernommen, ohne sie gegen das Image zu prüfen, das wir tatsächlich einsetzen.Was stattdessen gilt: der
betaliestDOWNLOAD_COMPLETE_PATHundDOWNLOAD_INCOMPLETE_PATH.Die Absicht der Anforderung bleibt unverändert und ist bindend — der Pfad, den MediathekArr als fertig meldet, muss derselbe sein, den Sonarr im Pod sieht, sonst importiert Sonarr schweigend nichts. Umgesetzt wird sie mit den Variablen, die das Image liest, und der gemeldete
complete_dirist gegen die SABnzbd-API zu verifizieren statt anzunehmen.Das ist zugleich eine Warnung für die nächste Runde an diesem Chart: Die Upstream-Dokumentation beschreibt einen zwei Jahre alten Stand. Was dort steht, gilt für unser Image erst, wenn es am Image belegt ist.