NGINX Proxy Manager und NGINX auf Hostsystem

[Stevu]

Hallo zusammen,

ich betreibe seit knapp zwei Jahren Nextcloud mit NGINX auf Debian. Der NGINX Server läuft nicht als Dockercontainer sondern direkt auf dem Hostsystem. Dort verwalte ich aktuell noch weitere vhosts.
Ich habe mir heute den NGINX Proxy Manager angesehen und würde den nun gerne für die Verwaltung verwenden. Wie komme ich aus der Dockerumgebung an den NGINX Server im "Hintergrund"? Muss ich den NGINX Server mit in das Dockernetz nehmen, geht das überhaupt? Oder komme ich aus dem Dockernetz irgendwie auf localhost?

Dazu bräuchte ich mal ein paar Stichworte, um mir weitere Infos zu suchen. Im Netz finde ich viele Beispiele zum NGINX Proxy Manager und NGINX, wenn der selbst als Container betrieben wird. Die Beispiele helfen mir aber leider nicht weiter.

Vorab vielen Dank!

Stevu

 

[DarkAngel2401]

Du kommst schon aus einem Container wieder ins Host-Netzwerk - aber das willst du ja eigentlich vermeiden.
Eigentlich willst du für deine ganzen nginx-Container und den Proxy Manager ein eigenes Docker-Netzwerk (Stichwort: docker network). Da drüber kommunizieren dann die Container untereinander.

Eventuell sind auch macvlans interessant, falls du VLAN nutzt. Ich hab hier z.B. für Telefonie (Asterisk im Container und SIP-Phones) ein VLAN, ein anderes VLAN ist fürs Streaming (Audio/Video-Geräte + Medienserver) gedacht, ein drittes für Smart Home (fhem, mosquitto, Aktoren/Sensoren als physische Geräte), ...
So sind die Container in ihrem eigenen VLAN erreichbar und dürfen ggfs. über einen OpenWRT auch raustelefonieren, sind aber logisch vom Host getrennt.

 

[Stevu]

Das würde aber bedeuten, dass ich die vorhandene Nextcloud in einen Container umziehen muss.

 

[DarkAngel2401]

Ja, aber wäre das schlimm? Notfalls kannst du den Proxy Manager auch ins hostnetz mit reinnehmen, aber damit ist zumindest der Vorteil der logischen Trennung der Netze dahin.
Wäre der in einem Container und bricht da jemand per RCE oder sonstwie aus dem Nextcloud aus, sitzt der Angreifer erstmal nur im Container.

 

[Stevu]

Ok, ich muss mal schauen, wie aufwändig der Umzug ist.
Dann werde ich das vermutlich so machen, danke.

 

[DarkAngel2401]

War nur ein Vorschlag, gehen tut das auch so. Du kannst übergangsweise auch Host-Netz als auch ein Docker Network erzeugen und beides an den Proxy-Container hängen und dann mit dem Mischbetrieb experimentieren.