Nextcloud extern erreichbar machen

[Tom111222333]

Hallo,

ich betreibe einen Homeserver hinter einem DS-Lite Anschluss. Auf diesem Homeserver (mit Proxmox Hypervisor) läuft unter anderem eine Nextcloud Instanz, auf die ich meine gesamten Bilder und sonstigen Daten, die vorher auf OneDrive lagen verfrachtet habe. Der Server ist mittels 2FA abgesichert. Nun wollte ich auch außerhalb meines Heimnetzwerkes auf diese Daten zugreifen und habe somit aufgrund des DS-Lite Anschlusses und somit fehlender statischer IPv4 Anschluss IP einen Ionos V-Server gemietet, auf dem eine Wireguard VPN Verbindung zwischen Homeserver und Ionos V-Server aufrechterhalten wird. Hierfür musste ich eine Route in der Fritzbox hinterlegen, die Daten auf die Server IP routet, auch mussten für eine funktionierende Verbindung Ports geöffnet werden. Mein Smartphone kann nun mittels VPN auf den V-Server und damit auch auf die Daten auf dem Homeserver zugreifen. Die "Brücke" funktioniert also soweit gut.

Die Lösung gefällt mir allerdings deshalb nicht, weil bestimmte Dienste immer erreichbar sein sollen. Ich möchte also ohne jedes mal VPN aktivieren zu müssen auf meine Nextcloud kommen können. Ich habe nun versucht mittels Nginx Proxy Manager einen "Proxy Host" einzurichten, der auf die Nextcloud IP zeigt und einen Zugriff auf diese ermöglicht. Das Problem ist nun, dass wenn ich auf die erstellte Weiterleitungsdomain zugreifen möchte ich keine Verbindung aufbauen kann. Auch schlägt die Zertifikaterstellung mit einem "internal Error" fehl.

Dies ist mein erstes Projekt in die Richtung, und ich würde mich über Tipps und Ratschläge, vielleicht auch was die Absicherung nach außen betrifft sehr freuen.

 

[madmax2010]

warum laesst du nicht wirequard auf der nextcloud VM / in einer routing vm auf nextcloud laufen? In der fritzbox musst u dann nichts mehr machen. Den reverse proxy kannst du dann einfach auf der vm bei 1&1 laufen lassen.
Das duerfte der faulste weg beim jetzigen Setup sein.

 

[Tom111222333]

Ich lasse Wireguard bereits auf einem Proxmox Container über den Server laufen. Den Reverse Proxy habe ich bereits auf dem Ionos Server laufen. Ich komme jedoch dennoch nicht auf die URL.

 

[madmax2010]

zeig mal bitte dein nextcloud config.php und nginx config und die ensprechenden Logs

 

[Tom111222333]

An der Config wird es nicht liegen. Die Nginx Config ist die Standard Config aus dem Docker Container.

 

[madmax2010]

gut, dann horcht sie auf der richtigen IP im richtigen netz, geht auf die richtigen Wireguard IPs? gut. Daran liegt so etwas in der regel und die domain steht auch drin?

 

[dudex13]

was ist mit IPv6, muss doch von außen erreichbar sein,

 

[Tom111222333]

@madmax2010 In wie Fern "horcht auf die Wireguard IP"? Die Domain steht in dem Nginx Proxy Manager drin.

@dudex13 IPv6 ist was die Erreichbarkeit von außen angeht problematisch. Deshalb haben ja die meisten Firmen und co IPv4 Adressen. Sobald man aus einem IPv4 Netz darauf zugreifen möchte wird es meines Wissens nach problematisch.

 

[0x7c9aa894]

Mir ist immer noch nicht klar was du eigentlich willst.

• Soll das ganze ohne den ionos Server laufen?
• Dann sagst du, du willst keinen VPN, aber Wireguard ist ein VPN, dachte ich.
• Ich persönlich hätte Bedenken, daß jemand die Box hackt, wenn die so direkt im Netz hängt.

 

[redjack1000]

IPv6 ist was die Erreichbarkeit von außen angeht problematisch.

Was genau soll den daran Problematisch sein?

CU
redjack

 

[Tom111222333]

@0x7c9aa894 Es geht darum, dass ich nicht jedes mal eine VPN Verbindung vom Smartphone zum Ionos Server aufgebaut werden soll. Die Daten sollen immer synchronisiert werden können, was so derzeit nicht möglich ist. Das VPN von dem Homeserver zum Ionos Server soll allerdings aufgrund der festen IPv4 Adresse aufrecht erhalten werden, quasi als Brücke.

Ich habe zumindest oft gelesen, dass es einfacher wäre eine feste IPv4 Adresse zu haben. Hier kann man das auch nachlesen: https://bitreporter.de/fritzbox/zugriff-zum-heimnetz-trotz-ds-lite-ohne-ipv4-adresse/

Ergänzung (6. Juni 2023)

Und bezüglich Hacking des Servers: Eben damit das nicht passiert wäre ich ja auch für Ratschläge zur Absicherung hierfür dankbar. Was ich schon getan habe ist ein sicheres Passwort zu verwenden und zusätzlich 2FA zu aktivieren. Auch wird durch ein Patchmanagement alles immer aktuell gehalten.

 

[0x7c9aa894]

Danke für die Erklärung. Welche App verwendest du für die Synchronisierung?

 

[Tom111222333]

Nextcloud bietet hierfür eine eigene App an, die aber natürlich auch momentan nur im Heimnetz oder mit VPN funktioniert.

 

[Crumar]

https://docs.nextcloud.com/server/l...ation_server/reverse_proxy_configuration.html
Das hast du bereits verfolgt?

Bzgl. Security wäre es sinnvoller ipv6 und Port Freigabe einzurichten, damit du nicht noch den Server absichern musst.
Domain und https wird dann aber (etwas) schwieriger.

 

[Tom111222333]

Es geht ja nicht nur um Nextcloud. Es geht auch um andere Dienste, bei denen ich ja das gleiche Problem hätte, daher wäre es schön eine allgemein gültige Lösung zu finden.

 

[Crumar]

Kannst auch einen reverse proxy hinter deinem Router betreiben. Ist günstiger und weniger angriffsfläche
Anyway, du musst in den meisten Fällen den Service konfigurieren, dass dem reverse proxy vertraut wird. Dieser Muss die vom Service geforderten Header mitsenden

 

[Tom111222333]

Das ist ja das was ich versuche. Der Proxy wird ja auf dem V-Server von Ionos betrieben.

 

[madmax2010]

dann zeig doch mal die configs und logs..

Kannst auch einen reverse proxy hinter deinem Router betreiben. Ist günstiger und weniger angriffsfläche

das ist doch das ziel gerade. Einzelner exposted host außerhalb des heimnetzes. Viel weniger Angrifsflaeche geht kaum

 

[Crumar]

@madmax2010
Ich sehe einen Public Server mit dauerhafter vpn verbindung ins heimnetz ohne Firewall.
Da soll auch der RP laufen

 

[0x7c9aa894]

Das klingt, als wolltest noch mehr VM von deinem Proxmox Server freigeben.

Ich habe nach der App gefragt, weil schon mal das gleiche Problem hatte. Die Nextcloud App auf dem Handy hat sich geweigert auf meinen Server ohne Zertifikat zuzugreifen. Die nächsten Überlegungen waren dann eigener DNS Server, subdomains für alle VM's einrichten, und ACME auf dem Proxmox Server um die Zertikate automatisch zu aktuallisieren. Und dann dachte ich: Es ist echt super Wetter, ich geh noch mal raus ...