Unraid mit NGINX Konfiguration klappt nicht

[DerBengel]

Hallo zusammen

Ich würde gerne meine Nextcloud, Mediaserver und Fotosammlung via Immich ausserhalb meines Netzwerkes verfügbar machen. Als OS benutze ich Unraid. Dafür habe ich eine Domain mit den jeweiligen Subdomains gekauft. Der Provider (Infomaniak) bietet ebenfalls DynDNS an. Diese (Sub)Domains habe ich auf meine IPv4 Adresse meiner Fritzbox ausgerichtet. Auf meiner Fritzbox habe ich mich mit meinen DynDNS Logindaten angemeldet. Und die Ports 80 und 443 für meinen Homeserver freigegeben. Diese Ports werden von Unraid belegt. Zudem habe ich beim DNS-Rebind-Schutz in den Fritzbox-Einstellungen meine gewünschten Domains angegeben.
Nun habe ich Nginx installiert und ein eigenes custom network dafür erstellt. Sowohl im Netzwerk "Bridge", als auch im custom network funktioniert das Ganze nicht. Jedes mal erhalte ich beim Erstellen eines SSL Zertifikats eine Fehlermeldung: Failed to check the reachability due to a communication error with site24x7.com. Ab und zu zeigt es mir dann an, dass der Server erreichbar ist und dann wieder nicht. Selbst die Vergabe des Zertifikats bei meinem Provider funktioniert nicht. Da erhalte ich auch jedes Mal eine Da erhalte ich auch jedes Mal eine unspezifizierte Fehlermeldung.

Ich habe auch versucht, die Ports von Unraid zu ändern, damit Nginx auf den Ports 80 und 443 lauschen kann. Auch kein Erfolg. Was zur Hölle mache ich nur falsch?

Besten Dank für eure Hilfe.

 

[redjack1000]

Wie lautet die derzeit gültige Online IPV4 Adresse.

Cu
redjack

 

[DerBengel]

Meine derzeitige IPv4 gemäss Fritzbox ist 144.2.70.12

 

[redjack1000]

OK die ist erreichbar, Nginx soll als ReverseProxy dienen?

CU
redjack

 

[DerBengel]

Genau. Da erhalte ich dann einen internen Fehler beim erstellen eines Proxys und der gleichzeitigen Anfrage eines SSL Zertifikats

 

[redjack1000]

Wie lautet die Fehlermeldung?

Cu
redjack

 

[Skudrinka]

ausserhalb meines Netzwerkes verfügbar machen.

Und das ganze ohne VPN/Wireguard?
Jedes anzugreifende Ziel wird früher oder später auch angegriffen.
Deinem Netzwerk traue ich erstmal nicht zu, solchen standzuhalten.
Hast du dich weiter um die Absicherung gekümmert? - Wie?

Richte doch einfach über die GUI der Fritte Wireguard inkl. dynDNS via AVM ein und du kannst sicher und problemlos von überall auf dein Netzwerk.

 

[DerBengel]

Bei der Abfrage der Servererreichbarkeit erhalte ich folgende Fehlermeldung:
Failed to check the reachability due to a communication error with site24x7.com.
Bei der Vergabe mit gleichzeitiger Erstellung eines Proxys erhalte ich einen Internal Error.

 

[dermatu]

Dafür würd ich an deiner Stelle einfach tailscale nutzen dann ist kein Port offen und dein unraid server ist nur über VPN von außen erreichbar.

Hier ein sehr ausführliches video das alles erklärt.

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

In Kurzform:
Du lädst dir den Tailscale Docker Container runter und erstellt für den ein eigenes docker netzwerk (bei mir heißt das nextcloud-aio weil das durch einen anderen Container schon vorhanden war).

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Dann verbindest du den Tailscale Docker mit deinem Tailscale Account bzw. Tailnet. Dazu musst du die Logs den Containers gehen, da ist dann üblicherweise ein Link den du anklicken musst.

Den NGINX Container installierst du dann so, dass er die Netzwerkverbindung des Tailscale Docker Containers nutzt.

Text der Zeile: --net=container:Tailscale-Docker --memory=1G --no-healthcheck

Alle anderen Container die über NGINX erreichbar sein sollen packst du in das gleiche Docker Netzwerk wie den Tailscale Docker Container. Hier ein Beispiel von meinem Vaultwarden:

Dann richtest du die Container in NGINX ein. Hier kannst du sogar die Containernamen verwenden. So sieht das bei mir aus:

Ich hab meine domain xxxxxxx.com auf die tailscale adresse meines tailscale docker containers weitergeleitet und mir für jeden container eine subdomain erstellt.

Nur geräte die mit dem tailscale netzwerk verbunden sind können auf diese zugreifen von daher ist das ziemlich safe. Und tailscale gibt es für alle möglichen Geräte und du kannst darüber sogar einzelne Container mit anderen Menschen teilen wenn die auch ein Tailscale account haben und du das über die "share" funktion für die freigegeben hast. (und das alles ist kostenlos)

PS Generell kann ich dir die 2 youtube channels zu unraid und tailscale empfehlen:
https://www.youtube.com/@IBRACORP
https://www.youtube.com/@SpaceinvaderOne

und natürlich das unraid discord:
https://discord.unraid.net/

 

[Avenger84]

Ich verwende auch Unraid, allerdings nutze ich in Unraid diverse VM und Docker.
Eine VM ist mein Webserver, hier läuft Nginx drauf (und Certbot, FlashMQ, Fail2Ban).

Nginx enthält zunächst mal www.meinedomain.de als Webseite.

Desweiteren enthält Nginx diverse Reverseproxy Domains z.B.
grafana.meinedomain.de
Diese sind mit einer Authentifizierung versehen, hier mal das Beispiel Grafana:

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name grafana.xxx.de;

    ssl_certificate /etc/letsencrypt/live/xxx/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/xxx/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
    include /etc/nginx/conf.d/proxy.conf;

    location / {
        proxy_pass http://192.168.168.5:3000;
        auth_basic "Restricted Access";
        auth_basic_user_file /etc/nginx/passw2;
    }
}

Als Zertifikat nutze ich das kostenlose von Let´s Encrypt als Wildcard.

3x falscher Benutzer oder Kennwort = Bann.

Ich würde Unraid da raus halten und mit einer VM arbeiten.