NPMplus und GeoIP Block

[floklo4]

Servus Leute,

ich brauch externen Input, da ich nicht weiter komme.

Vorwort:
Zoraxy hat keine SSL-Zertifikate mehr erstellen können. Bin deshalb zu NPMplus gewechselt. Der Reverse Proxy und Crowdsec funktionieren ohne Probleme. Alles läuft und ist erreichbar. Nur möchte ich jetzt, wie auch unter Zoraxy (dort direkt eingebaut) nur bestimmte Länder erlauben. Die verschiedenen Anleitungen hab ich durch. Zum Beispiel:

https://checkpoint-it.net/npmplus-geoip-blocking-einrichten/

Ohne http_top.conf bekomme ich direkt eine Crowdsec Fehlermeldung im Browser, also scheint das alles zu laufen. Mit der Datei komme ich wieder auf die NPMplus Oberfläche (privaten IPs werden dadurch freigeschaltet).

Problem:
Sobald ich den custom Header bei einem Proxy Host hinterlege (Schritt 4 aus dem Link), funktioniert die Zertifikatabfrage nicht. In Chrome oder Edge bekomme ich den Fehler: net::ERR_CERT_AUTHORITY_INVALID. Der Host in NPMplus selber wechselt auch direkt auf offline. Lösche ich den Snippet wieder (also den Header), dann klappts auch wieder. Es liegt wohl an: $lan-ip bzw. wird ein Wildcard Cert ausgliefert (gültig bis 2035, kein Aussteller) wenn der custom Header gesetzt ist...

Ich finde zu dem Problem nichts im Netz. Kann ja nicht der einzige sein, der das Problem hat. Mein compose ist fast 1:1 vom Link oben mittlerweile, bringt aber auch nichts.

 

[TomTDooley]

Da ich Zoraxy und NPMplus nicht kenne .... eine Verständnisfrage.

Möchtest Du den eingehenden oder ausgehenden Traffic auf einem Webserver blockieren?

 

[floklo4]

Möchtest Du den eingehenden oder ausgehenden Traffic auf einem Webserver blockieren?

Eingehender Traffic soll gefiltert werden. Zum Beispiel Länder wie USA, Russland und noch ein paar andere. Von denen kamen Anfragen, die ich wirklich nicht brauche. Mir ist selbstverständlich bewusst, dass die Datenbanken nicht immer aktuell sind, aber ich konnte alles ungewollte wegfiltern.

Unter Zoraxy hatte ich die Blacklist mit einigen Ländern aktiv, die direkt geblockt wurden. Danach wurde über die Whitelist 3 Länder freigegeben.

Jetzt läuft das unter NPMpöus etwas anders. Dort definiert man die Länder, die Zugriff erhalten. Der Rest wird weggeblockt.

Ich versteh halt nicht wo das Problem bei mir ist. Scheinbar checkt er nicht die lokale IP bzw. Remote IP und dadurch lande ich im NGINX im default vHost und bekomme somit das Wildcard Zertifikat… aber wo das hängt keinen Plan. Selbst ChatGPT holt nicht..

 

[TomTDooley]

@floklo4

Danke für die ausführliche Rückinfo.

Ok... ich habe das Geoblocking hier über "Iptables" auf meinen Linux-Servern gelöst. So bleibt alles was nicht zu DE, AT oder CH gehört Draußen. Ausnahmen sind dann für die amerikanischen Mailprovider hinterlegt.

 

[CoMo]

Warum denn zu NPMplus und nicht gleich zu was professionellerem? Ich bin damals von Zoraxy direkt zu Pangolin gewechselt https://github.com/fosrl/pangolin

Das mit den SSL Zertifikaten bei Zoraxy ging mir auch auf die Nerven. Pangolin funktioniert weitaus besser und auch das Geo-Blocking ist da kein Problem.

 

[floklo4]

Weil ich mit dem NPM angefangen habe und dann zu Zoraxy gewechselt bin. Der normale NPM hatte damals noch Probleme mit Streams (von Ports), was man für RuskDesk benötigt. Zoraxy lief direkt. Und jetzt zum NPMplus, da der "besser" sein soll im Verglech zum normalen NPM. Für daheim vollkommen ausreichend.

EDIT:
Claude ist besser als ChatGPT (beides Free). Problem gefunden (Pfad falsch zur http_top.conf). Jetzt klappts...