Wenn man am Standort eine feste IP-Adresse hat, kann man auch mit nginx-proxy-manager arbeiten.
Als Docker kann man es hiermit machen: https://nginxproxymanager.com/
Dann kann man belieblig viele Https-Dienste mit verschiedenen Domains unter 443 erreichbar machen.
Wir machen das auch oft mit CNAMEs, das macht eventuelle Umzüge, falls sich die einzelne feste IP-Adresse doch mal ändert, einfacher. (beispiel: A-Record: server.schule.de → CNAME: rocketchat.schule.de zeigt auf server.schule.de)
(P.S. für große Setups gibts auch http://www.haproxy.org/, der ist aber etwas aufwendiger in der Handhabung wie der nginx-proxy-manager)
mal angenommen, die Fritzbox wird vom Provider mit einem IP-Adressblock ausgestattet., z. B. zu Beginn eines Ferienabschnittes. Folgende Arbeitsschritte würde ich dann durchführen:
OPNsense, Server und alle z. B. in rot betriebenen sonstigen Server werden mit dem neuen Gateway, der IP und der Netzmaske konfiguriert.
Eine Überlegung wäre, schon vorher die Domain umzuziehen. Dann hast Du selbst Kontrolle über die DNS-Einträge und musst nicht auf Belwü warten. Eventuell kannst Du dann sogar solche Sachen machen wie: Einen Tag vorher die TTL auf eine Stunde setzen, eine Stunde vorher auf eine Minute - dann werden Änderungen an DNS-Einträgen quasi sofort wirksam.
leider fehlt es mir im Bereich „Domänenverwaltung“ an praktischer Erfahrungen und ich habe noch den Satz aus einem Beitrag von Jesko im Hinterkopf: „Den mx-Eintrag lässt du unverändert auf den belwü-server zeigen bis du vom neuen mail-provider order bekommst.“ Ist wahrscheinlich alles keine große Sache, wenn man’s einmal gemacht hat
ich habe gestern unsere Domain von Belwue zu Hetzner Robot umgezogen. Das war letztlich eine Sache von 5 Minuten.
Man schreibt einfach an hostmaster(at)belwue.de, dass man seine Domain umziehen möchte und einen Auth Code braucht. Gleichzeitig bittet man sie um das DNS Zone File seiner Domain.
Das ist v.a. deswegen wichtig, weil es für die Mails nicht nur mx Einträge, sondern auch noch erstaunlich viele andere gibt, die für die Sicherheit und den Komfort wichtig sind. Aus dem Zone-File entfernt man die NS - Einträge von Belwue und ersetzt sie durch die NS von Hetzner Robot. Danach passt man noch den SOA Eintrag (DNS von Belwue durch DNS von Hetzner Robot ersetzen und statt hostmaster… trägt man die gewünschte Kontaktemail ein) auf seine Bedürfnisse an. Als nächstes legt man im Hetzner Robot eine neue Zone für seine Domain an und wählt die Option ein existierendes Zonefile zu importieren, was man im nächsten Schritt dann auch macht.
Dann registriert man im Robot seine Domain. Dafür muss man noch zwei Handles anlegen: Eines für seine Organisation und eines für die Adresse (Kontaktemail). Zudem braucht man an dieser Stelle den Authcode von Belwue für den Domainumzug.
Das hört sich in der Beschreibung jetzt wesentlich holpriger an, als es ist. Ich bekam ca. 20 min später die Bestätigung von Hetzner, das die DENIC den Umzug durchgewunken hat. Da heute alles ohne Probleme funktioniert hat würde ich sagen, dass alles geklappt hat.
danke für den Hint. Ist aktuell noch rein theoretisch, da noch nicht mit der SL besprochen.
Aber nicht immer erst warten zu müssen, bis Belwü eine Subdomain und das Zertifikat erstellt oder eine Änderung am DNS vorgenommen hat, hat schon Vorteile.
in den Osterferien soll die Bereitstellung der öffentlichen IPs von Vodafone kommen. Als Router dient eine FritzBox cable 6591. Ich habe mich mal etwas ins Handbuch vertieft:
Da ist mir jetzt nicht unbedingt auf Anhieb klar, wo mein Kabel vom roten Netzwerk angeschlossen werden muss und was sonst noch nötig ist, damit neben der OPNsense auch Cloud usw. funktionieren. Aber vielleicht hat jemand von euch eine solche Konstellation schon in Betrieb und kann ein paar sachdienliche Hinweise geben bzw. vor Fallstricken warnen.
so wie ich das lese kannst du in Bawü nur eine statische externe IPv4 beantragen. Wenn ich das richtig in Erinnerung habe, dann verwendest du momentan aber mehr als eine statische Adresse, z.B. für deine Cloud, usw…
Im Detail kann ich dir nicht helfen, sondern nur einen möglichen Weg beschreiben. Da du nur noch eine statische Adresse haben wirst, könntest du alle Server zunächst mal hinter die OpnSense in die DMZ stellen. Dann brauchst du einen ReverseProxy, der die Anfragen von außen an die richtigen Instanzen weiterleitet. Dafür kannst du z.B. den HA-Proxy der OpnSense nehmen. Die Konfiguration ist mit Sicherheit kein Spaß. Die OpnSense kann mit dem AcmeClient auch das ganze Zertifikatgedöns für deine Seiten automatisiert übernehmen. Zu guter Letzt wirst du auch cname Einträge in deiner DNS-Zone vornehmen müssen. Das kannst du weiterhin von Belwue machen lassen oder du übernimmst das Management selber indem du z.B. den DNS-Robot von Hetzner nimmst.
Insgesamt würde ich sagen, dass ist von der Komplexität schon ein Brett. Ich hätte mir den ReverseProxy von einer Firma aufsetzen lassen, weil ich keine Lust gehabt hätte mich da einzuarbeiten.
Mein Weg war einfacher, weil ich durch unseren Glasfaseranbieter 12 statische Ipv4 Adressen bekommen habe. Ich habe alle Server dann hinter die OpnSense in die DMZ gestellt. Der OpnSense kann man auf dem WAN-Interface beliebig viele externe Adressen verpassen und die dann einfach zu den richtigen Servern in der DMZ routen. Das war nicht sehr komplex und dabei könnte ich dir gerne helfen, falls du doch mehrere statische Adressen bekommen kannst.
nein, außer wenn sich das in den letzten Monaten geändert haben sollte, kannst Du (zumindest zusätzlich)auch mehr als 1 feste IPv4 bekommen. In den Verträgen, die wir für die Seminare geschlossen hatten, waren z.B. immer 5 dabei.
wie Jochen auch schreibt, hat man mir bei Vodafone glaubhaft versichert, dass ich zu unserem Business-Vertrag 5 IPs zubuchen könne und es gibt da auch schon einen festen Termin, an dem der Vodafone-Mitarbeiter mich anrufen will, um das Ganze vertraglich umzusetzen. Gleichwohl bleibt es
und deshalb werde ich evtl. gerne auf dein Hilfsangebot zurückkommen.
Insgesamt habe ich nicht viele Möglichkeiten. Das Glasfaserprojekt unserer Gemeinde im Verbund mit dem Landkreis geht eher schleppend voran und außerdem zeichnet sich ab, dass der Vermarkter (abhängig von der Bandbreite) richtig viel Geld sehen will.
Bei AVM habe ich folgende Anleitung gefunden, die mir nachvollziehbar erscheint:
ich habe bei der Einrichtung der OPNsense keine DMZ angelegt, da aber noch eine Netzwerkkarte frei ist, sollte dies machbar sein. Allerdings finde ich bei der WAN-Schnittstelle auf Anhieb keine Möglichkeit zusätzliche externe Adressen einzurichten. Das wäre mal der erste Schritt. Außerdem weiß ich nicht, wo die angesprochenen Routen eingerichtet werden können.
Abschließende Frage: Reicht es dann, die Netzwerkkarte der DMZ mit einem LAN-Port des Routers (Fritzbox-Cable) zu verbinden, damit die Anwendungen in der DMZ erreichbar werden?
wir können gerne Mal ein Treffen bei mir in der Schule ausmachen, dann zeige ich dir das in Ruhe…schreib einfach eine PM/Mail…hier schon mal ein paar kurze Antworten…insgesamt ist das schon etwas Umfangreich:
das ist sowieso kein Problem, weil du ja virtualisiert hast. Du brauchst ja nur einen virtuellen Switch (bei Proxmox vmbrX; wie das bei VMWare heißt weiß ich nicht), an den du alle Server hängst.
du gibst eine Adresse direkt dem WAN-Interface, das gibt dann dein Standardgateway für das WAN…das ist bisher die Adresse von Belwue, die du auf der OpnSense bei WAN eingetragen hast.
Die weiteren WAN-Adressen legst zu als virtuelle IP’s an: das geht über Schnittstellen → Virtuelle IP’s und dort legst du IP-Aliase deiner gewünschten externen IP’s auf dem WAN Interface an (https://docs.opnsense.org/manual/firewall_vip.html)
Deine Server bekommen ja eine IP in der DMZ (z.B. 192.178.16.1) und sollen von extern über ihre WAN IP (z.B.: 37.112.23.77) erreicht werden können. Du legst also ein NAT Portforwarding für die gewünschten Ports an…z.B. Weiterleitung von 37.112.23.77:443 auf 192.178.16.1:443. Daneben sind noch weitere Anpassungen nötig. Erstens sollte der ausgehende Verkehr von den entsprechenden Servern über die zugehörige WAN-Adresse laufen (sonst geht alles über das Standardgateway raus), dafür braucht man eine Regel bei NAT-Ausgehend und zweitens muss man dafür sorgen, dass Anfragen aus dem internen Netz direkt zur DMZ gehen und nicht über WAN. Das macht man unter Dienste im Unbound-DNS bei Überbrückung… Zu guter Letzt ist natürlich sehr wichtig, dass Prinzipiell die verschiedenen Bereiche der Firewall (DMZ, LAN, WLAN, etc.) durch Regeln voneinander so weit wie möglich getrennt werden und nur unbedingt nötige Zugriffe erlaubt werden.
Das weiß ich nicht…wie wird das denn technisch überhaupt bei Vodafone gemacht? Bei mir steht da einfach ein Router als Gateway mit soundsoviel IP’s. Die kommen per VLAN bis zu dem Router…ist also eigentlich genau wie bei Belwue.
