Reverse Proxy - welcher und wie absichern?

[Legolas]

Ich lese mich gerade in das Thema Caddy ein und bin dann auf diese Seiten gestossen Caddy WAF Middleware und Secure Caddy with Crowdsec Darf ich mal fragen welche Proxys Ihr so nutzt?

 

[LuxSkywalker]

Nginx als Proxy und als Webserver

 

[Legolas]

Sicherst Du den noch extra ab?

 

[Helge01]

Darf ich mal fragen welche Proxys Ihr so nutzt?

HAProxy als Reverse Proxy für alle Dienste die ich anbiete.

Darauf läuft für jeden Dienst ein umfangreiches Regelwerk (ACL).

 

[h00bi]

Nginx Proxy Manager
Der npm selbst ist sicher, da muss man nichts zusätzlich absichern. Zudem ist er schlank und kompakt ohne Ballast, der Lücken enthalten könnte.
Port 81 darf natürlich nicht von extern offen sein.

Extra Absicherung nur bei Diensten, auf die nicht jeder Zugreifen soll per "Authelia" mit 2FA. Grundsätzlich wäre ein VPN bei sowas natürlich ratsamer, aber VPN ist nicht immer möglich oder praktikabel.

Aber: Grundsätzlich sollte man nur Dienste per Reverse Proxy erreichbar machen, die dafür gedacht sind. Ein Vaultwarden ist z.B. dafür gedacht öffentlich erreichbar zu sein und entsprechend abgesichert. Ein PRTG Dashboard ist das nur bedingt.

 

[LuxSkywalker]

Sicherst Du den noch extra ab?

Mein Nginx Proxy übernimmt auch die SSL Absicherung. Alle nachgelagerten Dienste welche Zertifikate erfordern werden vom Proxy mit Zertifikaten versorgt. Ist für mich einfacher umzusetzen

 

[Legolas]

.. VPN ist nicht immer möglich oder praktikabel.

Das ist genau der Grund warum ich mich damit beschäftige

 

[Malaclypse17]

Wenn es als VPN Ersatz dienen soll, wäre mTLS-Auth vielleicht ganz interessant.
Unterm Strich kannst du dich dann bei deinen Webseiten mit einem Zertifikat authentifizieren.

 

[CoMo]

Ich verwende aktuell noch Zoraxy, möchte aber langfristig einen Pangolin an den Start bringen.

 

[KitsuneSama]

Ich habe mich vor ein paar Jahren für traefik entschieden aus folgenden Gründen:

• open source
• läuft als docker container
• gute Doku https://doc.traefik.io/traefik/
• unterstützt lets encrypt per DNS challenge und vielen DNS Anbietern

 

[LieberNetterFlo]

+1 für Traefik

ich hab schon

• haproxy auf einer pfsense
• Nginx Proxy Manager auf einem Webserver
• Treafik auf meinem Docker Stack zu hause genutzt

Am besten automatisieren konnte ich den Traefik Stack, darum würde ich den wieder nutzen falls ich etwas brauche. Aktuell laufe ich mit Cloudflare Tunnel und umgehe somit Reverse Proxies

 

[CoMo]

Aktuell laufe ich mit Cloudflare Tunnel und umgehe somit Reverse Proxies

Pangolin wäre die selbst gehostete Alternative zu Cloudflare Tunnels.

 

[Avenger84]

ich hatte erst NPM als Docker und habe jetzt sowohl meinen Webserver als auch die Reverse Proxys (verschiedene Node-Red Instanzen) über einen Nginx laufen.
Beim NPM im Unraid Docker habe ich es nicht geschafft Fail2Ban zu verknüpfen.

Jetzt läuft es auf einer Ubuntu VM inkl. Fail2Ban und Certbot mit DNS Challenge👍 - Port 80 ist zu.

Gab bislang nicht einen Versuch auf die Reverse Proxys einzudringen per Login, was mich wundert. Selber habe ich Fail2Ban natürlich getestet.

Auf dem Webserver sieht es täglich so aus:


Sind solche Angriffsversuche von Bots:

134.209.159.11 - - [05/Aug/2025:08:08:46 +0200] "GET /.env HTTP/1.1" 404 146 "-" "Mozilla/5.0; Keydrop.io/1.0(onlyscans.com/about);"
134.209.159.11 - - [05/Aug/2025:08:08:46 +0200] "GET /.env HTTP/1.1" 400 248 "-" "Mozilla/5.0; Keydrop.io/1.0(onlyscans.com/about);"
134.209.159.11 - - [05/Aug/2025:08:08:47 +0200] "GET /.git/config HTTP/1.1" 404 146 "-" "Mozilla/5.0; Keydrop.io/1.0(onlyscans.com/about);"
125.17.108.32 - - [05/Aug/2025:02:22:40 +0200] "POST /cgi-bin/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/bin/sh HTTP/1.1" 400 150 "-" "-"
125.17.108.32 - - [05/Aug/2025:02:22:41 +0200] "POST /cgi-bin/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/bin/sh HTTP/1.1" 400 150 "-" "-"
125.17.108.32 - - [05/Aug/2025:02:22:43 +0200] "POST /hello.world?%ADd+allow_url_include%3d1+%ADd+auto_prepend_file%3dphp://input HTTP/1.1" 404 146 "-" "Custom-AsyncHttpClient"