Mini-Tutorial / How to: Reverse Proxy unter Unraid

Taobyebye

Zitat von Eraxar

Was genau funktioniert denn bei dir nicht? Guacamole läuft und Firefox haste da auch eingebunden ?

Beides funktioniert von Remote nicht. Wenn ich von außen über den Proxy auf unRAID komme und Guacamole starte, ist das Fenster leer und Firefox lässt sich nicht öffnen, da der Browser versucht die interne IP-Adresse zu öffnen.

tOkra

Ich habe meines Erachtens alles nach Anleitung erledigt und mit GUI.[NamedesServers].duckdns.org komme ich auch von extern auf meine unRAID Oberfläche.
Wohlgemerkt aber nur mit http und nicht https.
Ist aber keine Tragik oder?

Mit https://[namedesservers].http://duckdns.org/emby oder auch https://[namedesservers].http://duckdns.org/emby
komme ich aber nicht in Emby. Es werden auch die Nutzerdaten von unRAID abgefragt und im Anschluss lande ich wieder in der unRAID-Oberfläche.

Habt Ihr gerade ohne Screens ne Idee? Ansonsten reiche ich natürlich heute Nachmittag welche nach (gerade nicht zu Hause).

Vielen Dank

PS: In der App kann ich eine Verbindung mit http://[namedesservers].duckdns.org aufbauen.
Lediglich im Browser geht es nicht.

Eraxar

Zitat von Taobyebye

Beides funktioniert von Remote nicht. Wenn ich von außen über den Proxy auf unRAID komme und Guacamole starte, ist das Fenster leer und Firefox lässt sich nicht öffnen, da der Browser versucht die interne IP-Adresse zu öffnen.

Guacamole per Reverseproxy anbinden haste aber schon gemacht? Ich les das grade irgendwie anders bei dir.

Also Guacamole per Reverse Prxoy ins internet packen und darüber dann firefox per remote aufrufen und da dann die lan ip von unraid eingeben.

Taobyebye

Zitat von Eraxar

Guacamole per Reverseproxy anbinden haste aber schon gemacht? Ich les das grade irgendwie anders bei dir.
Also Guacamole per Reverse Prxoy ins internet packen und darüber dann firefox per remote aufrufen und da dann die lan ip von unraid eingeben.

Ja habe ich gemacht, nach einem Update geht es aufeinmal..
Gibt es eigentlich noch andere Möglichkeiten auf einen Browser zu kommen der im internen Netzwerk ist?

tOkra

Also wenn ich meineDNS.duckdns.org:8096 im Browser (extern) eingebe, dann bekomme ich Zugriff auf Emby
Wenn ich meine http://DNS.duckdns.org/emby eingebe, dann komme ich ins GUI von unRAID. Da steht oben nur das unRAID-Menü und darunter nix. Quasi ein verweister Link zum Tower.
Irgendwie versteht er die Weiterleitung zu der Endung .../emby nicht. Da reicht er wohl den Port nicht richtig durch oder kA.

Bezüglich Nextcloud häng ich jetzt auch schon Stunden rum und finde den Fehler nicht.
Habe alles nach Deiner Anleitung gemacht und komme ins GUI (aber wie erwähnt nicht in Emby).
Freigaben im Router:

Letsencrypt Docker:

Code

upstream backend {
	server 192.168.178.40:19999;
	keepalive 64;
}
server {
	listen 443 ssl default_server;
	listen 80 default_server;
	root /config/www;
	index index.html index.htm index.php;
	server_name tokra.duckdns.org;
	ssl_certificate /config/keys/letsencrypt/fullchain.pem;
	ssl_certificate_key /config/keys/letsencrypt/privkey.pem;
	ssl_dhparam /config/nginx/dhparams.pem;
	ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
	ssl_prefer_server_ciphers on;
	client_max_body_size 0;
    ### Ab hier Einbindung von Emby
	location /emby {
	include /config/nginx/proxy.conf;
	proxy_pass http://192.168.178.40:8096/emby;
	}
    ### Ab hier Einbindung von Airsonic
	location /airsonic {
	include /config/nginx/proxy.conf;
	proxy_pass http://[IP.des.Servers]:4040/airsonic;
	}
	location ~ /netdata/(?<ndpath>.*) {
		proxy_set_header X-Forwarded-Host $host;
		proxy_set_header X-Forwarded-Server $host;
		proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
		proxy_pass http://backend/$ndpath$is_args$args;
		proxy_http_version 1.1;
		proxy_pass_request_headers on;
		proxy_set_header Connection "keep-alive";
		proxy_store off;
	}
}
    ### Ab hier wird die GUI, das Web-Interface angesprochen
    ### Der erste Teil in eckigen Klammern entspricht einer Subdomain, 
    ### die bei Installation unter "Subdomains" eingetragen wurde
server {  
    listen 443 ssl;
    server_name GUI.tokra.duckdns.org;
    root /config/www;
    index index.html index.htm index.php;
    ###SSL Certificates
    ssl_certificate /config/keys/letsencrypt/fullchain.pem;
    ssl_certificate_key /config/keys/letsencrypt/privkey.pem;
    ###Diffie–Hellman key exchange ###
    ssl_dhparam /config/nginx/dhparams.pem;
    ###SSL Ciphers
    ssl_ciphers 'MIIDMjCCAhoCCQDj1/RgLVgxzDANBgkqhkiG9w0BAQsFADBbMQswCQYDVQQIDAJD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';
    ###Extra Settings###
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
        ### Add HTTP Strict Transport Security ###
    add_header Strict-Transport-Security "max-age=63072000; includeSubdomains";
    add_header Front-End-Https on;
    client_max_body_size 0;
    ### Ab hier Einbindung der GUI
	location / {
	include /config/nginx/proxy.conf;
	proxy_pass http://192.168.178.40/;
	}
}
    ### Beispiel für Einbindung von sicherheitskonformer nextcloud
    ### Der erste Teil in eckigen Klammern entspricht einer weiteren Subdomain, 
    ### falls diese bei Installation unter "Subdomains" eingetragen wurde
server {  
    listen 443 ssl;
    server_name nextcloud.tokra.duckdns.org;
    root /config/www;
    index index.html index.htm index.php;
    ###SSL Certificates
    ssl_certificate /config/keys/letsencrypt/fullchain.pem;
    ssl_certificate_key /config/keys/letsencrypt/privkey.pem;
    ###Diffie–Hellman key exchange ###
    ssl_dhparam /config/nginx/dhparams.pem;
    ###SSL Ciphers
    ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
    ###Extra Settings###
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
        ### Add HTTP Strict Transport Security ###
    add_header Strict-Transport-Security "max-age=63072000; includeSubdomains";
    add_header Front-End-Https on;
    client_max_body_size 0;
    ### Ab hier Einbindung von nextcloud
 	location / {
        proxy_pass https://192.168.178.40:444/;
        proxy_max_temp_file_size 2048m;
        include /config/nginx/proxy.conf;
    }
}

Alles anzeigen

Im Anschluss habe ich dann Nextcloud nach dieser Anleitung installiert.
Konnte direkt nach der NExtcloud-Installation Nextcloud lokal starten.
Danach wieder Fixing Nextcloud von hier inkl. Einstellung des Reverse Proxy.
Nun habe ich sogar lokal ein 404 - NOT FOUND - nginx/1.14.1

Nextcloud\nginx\site-confs geändert

PHP: config.php in Nextcloud

<?php
$CONFIG = array (
  'memcache.local' => '\\OC\\Memcache\\APCu',
  'datadirectory' => '/data',
  'instanceid' => 'oc096vbjewmh',
  'passwordsalt' => 'gelöscht',
  'secret' => 'gelöscht',
  'trusted_domains' => 
  array (
    0 => '192.168.178.40:444',
    1 => '192.168.178.40',
    2 => 'www.tokra.duckdns.org',
    3 => 'tokra.duckdns.org',
    4 => 'nextcloud.tokra.duckdns.org',
    5 => 'www.nextcloud.tokra.duckdns.org',
  ),
  'trusted_proxies' => '192.168.178.40',
  'overwritewebroot' => '/',
  'dbtype' => 'mysql',
  'version' => '14.0.3.0',
  'overwrite.cli.url' => '/',
  'dbname' => 'nextcloud',
  'dbhost' => '192.168.178.40:3305',
  'dbport' => '',
  'dbtableprefix' => 'oc_',
  'mysql.utf8mb4' => true,
  'dbuser' => 'gelöscht',
  'dbpassword' => 'gelöscht',
  'installed' => true,
);

Alles anzeigen

Bin am Ende und komm einfach nicht drauf
Hilfe wäre echt super

tOkra · 2018-11-20 13_16_38-Clipboard.png

Kann es sein, dass ich beim Port-Forwarding etwas falsch mache?
Bei der Fritzbox ist die Freigabe wie in angehängten Screenshot aufgebaut.
Ich verstehe nicht ganz, was ich bei Port an Gerät und Port extern gewünscht eingeben muss.
Wenn ich zum Beispiel wie im Beispiel des TEs den Letsencrypt auf 446 und 81 laufen habe.
Muss ich dann:
Port an Gerät: 443 bis 443
Port extern gewünscht: 446
eingeben?!

und dann
Port an Gerät: 80 bis 80
Port extern gewünscht: 81

Sorry für die noob-frage aber ich hab mir Tutorials schon angesehen und unterschiedliche Sachen probiert aber es läuft einfach nicht.
Dann könnte ich wenigstens schon mal einen Fehler im Port-Forwarding bei mir ausschließen

Danke

reey

Du müsstest es genau andersrum machen.
Wenn der Letsencrypt Docker Container über port 446 und 81 erreichbar ist, dann trägst du das bei "Port an Gerät" ein.
Port 443 bzw. 80 gibst du dann für "Port extern gewünscht" ein.
Bei "bis Port" gibst du einfach den selben Port ein wie bei "Port an Gerät"

tOkra

Vielen Dank ich habs endlich zum laufen bekommen.
Ich hab als Host Path 2 bzw. /data angegeben: /mnt/user/

Dachte das bestimmt den Pfad, den dann Nextcloud verwaltet.

In Nextcloud hab ich aber quasi nur Zugriff auf \\TOWER\www\nextcloud\core\skeleton

Keine Ahnung wie das zu Stande kommt.
Meine ganzen Bilder usw liegen natürlich nicht dort und die Freigabe bringt so nichts - ein Verschieben der DAten ist für mich keine Option.

justray2k

Hi!
Ich bin jetzt nicht 100% nach diesem Tutorial gegangen sondern eher nach dem vom Spaceinvader:

Externer Inhalt www.youtube.com

Inhalte von externen Seiten werden ohne Ihre Zustimmung nicht automatisch geladen und angezeigt.

Ganz einfach deshalb weil ich lieber mit einer subdomain als mit einem subfolder arbeiten möchte.

Dort habe ich jetzt aber das Problem, das ich die Meldung "502 Bad Gateway erhalte" wenn ich auf meine Seite möchte. Abgesehen davon das mein Zertifikat ungültig ist.

Jemand spontan eine Idee?

justray2k

Ich war blöd... Hab in der proxy-conf etwas falsch eingetragen...

Jetzt hab ich Subdomains für Emby und für die Unraid Gui Klappt wunderbar!

Taobyebye

Ist folgende Situation normal?
Let's encrypt Netzwerkeinstellungen gehen über Bridge 192.168.2.5, füge ich z.B. Dokuwiki in der config hinzu mit der selben Bridge IP 192.168.2.5 dann funktioniert es (Beide über Bridge). Gebe ich Dokuwiki aber eine eigene Adresse wie z.B. 192.168.2.6 dann funktioniert es nicht. Wieso kann Let's encrypt die Anfragen nicht einfach auf eine andere IP weiterleiten ?

kayfun

Hi,
ich möchte gerne Nextcloud öffentlich zugänglich machen habe aber leider nur eine IPV6 Adresse von Kabel Deutschland bzw. Kabel Vodafone. Da gibt es ja leider keine IPV4 Adresse mehr.

Ist das mit einer IPV6 auch so machbar?

LG Kayfun

Chrysen

wenn die deine ipv6 public ist kannst bei deiner domain n AAAAA record auf deine ipv6 adresse erstellen (vom Server natürlich) musst natürlich beim server ipv6 aktivieren und ggf. Am router auch.

Natürlich kommst du so nur von einem IPv6 netz auf dein Server. Also von den meisten mobilfunk netzten schonmal nicht.

Dann kannst ggf. einen portmapper o.ä. nutzen. Wenn du vom Handynetz zugreifen möchtest.

MfG
Chrysen

justray2k

Ich bin Unitymedia Kunde und habe nachträglich eine ipv4 Adresse kriegen können. Ist ja das gleiche wie Kabel Deutschland. In meinem Fall habe ich den Powerupload für 2,99€ dazugebucht und damit kannst du dann über den Support Dual Stack für eine ipv4 Adresse schalten lassen. Soll angeblich auch mit der Telefon Comfort Option(Fritzbox) möglich sein. Das freischalten alles in allem hat keine halbe Stunde gedauert.

Toobie

Wenn ich mich jetzt selbst aus dem System geworfen habe, da ich Unraid GUI: Settings > Identification > SSL Certificate Settings > Use SSL/TLS: No > apply vergessen habe - was mache ich dann am Besten?

Taobyebye

Eine Frage zum HSTS:

Code

### Add HTTP Strict Transport Security ###
add_header Strict-Transport-Security "max-age=63072000; includeSubdomains";
add_header Front-End-Https on;

Das soll laut der Anleitung unter jeder Subdomain stehen.
Über SSLABS habe ich einen Test gemacht und hier beschrieben.
Kann es sein, dass der oben zitierte Quellcode nur unter einer Subdomain in der Config oder sogar über allen Subdomains geschrieben werden sollte ?
Wenn ich die Zeilen für meine Nextcloud-Instanz rausnehme, ist HSTS grün im Test, sonst doppelt vorhanden.

Taobyebye

Noch eine weitere Frage
Nutzt jede von euch die default-Datei um die ganze config in einer Datei zu haben oder nutzt jemand die sample-Files unter den Proxy-Einstellungen und für jeden Container eine eigene Datei ?

justray2k

Zitat von Taobyebye

Nutzt jede von euch die default-Datei um die ganze config in einer Datei zu haben oder nutzt jemand die sample-Files unter den Proxy-Einstellungen und für jeden Container eine eigene Datei

Ich nutze die sample files dafür.

Taobyebye

Zitat von justray2k

Ich nutze die sample files dafür.

hast du dann die Default einfach gelöscht oder wie gehst du sicher, dass die einzelnen Dateien bei den Samples genommen werden ?

no.spam

zum HSTS-Problem - das habe ich gestern auch erst gelöst. M.M.n. ist die anleitung vielleicht veraltet, aber ich habe "Strict-Transport-Security" in der ssl.conf in nginx aktiviert...

Mini-Tutorial / How to: Reverse Proxy unter Unraid

Jetzt mitmachen!

Tags