7690 und IPV6 - Externer/Globaler Zugriff auf interne Server

[Jobbie]

• ja, das schon recht alte fon kann das. hab ich gecheckt.
• let's debug checkt ob die Vorraussetzungen für ein Let's Encrypt Zertifikat erfüllt sind. (Glaub DNS Auflösung, ob Port 443 und 80 richtig gehandled werden)
• ja. letztlich 443
• nee, portscanner im dem sinne hab ich noch nicht bemüht. aber das ist eine gute idee.
• über ipv6 kommt/kam schlicht "... kann nicht geladen werden"
• nein

Aber während ich hier tippte und dies das probiert habe... funktioniert es auf ein mal.

Das einzige, was ich verändert habe ist, ich habe die Porfreigabe wiederholt und alles gelassen wie bisher. Allerdings habe ich die Option "Enable PING6" für ipv6 erlaubt. Also entweder war das das missing link, oder es waren noch irgendwo alte DNS caches am werk.

Aber eine dringende Frage bleibt:
Muss ich sicherheitstechnisch weitere Vorkehrungen treffen, jetzt wo das setup dual stack ist?
Ich fühle mich da etwas unsicher. Evtl kann ich meine Podman-netze auch mit ipv6 ausstatten und dann die ip von caddy anstatt die des servers angeben?

 

[Fusion]

Ah, ja. Solange der Server / proxy praktisch identisch sind bist ja so gut wie fertig. Also wenn dort auf 80/443 nur der Caddy lauscht.
Ipv4 vom Router + Portweiterleitung (80/443)
Ipv6 vom Server + Portfreigabe (80/443)

Das erste ist halt NAT wie bisher, das andere dann nur noch eine Firewallfreigabe.

Wieso haben server und caddy verschiedene IP? Also was ist das genaue setup auf dem Server?

Je nachdem wie die lets encrypt Zertifikate von Caddy geholt werden (http-01 oder dns-01) brauchst auch port 80 nicht.

Die Podman container müssen ja nur lokal auf dem Server vom proxy erreichbar sein. Die brauchen auch keine "neuen" IPs.
Nur der proxy muss halt auf die Docker Netze Zugriff haben wo auch die Container laufen.

 

[Barungar]

Allerdings habe ich die Option "Enable PING6" für ipv6 erlaubt. Also entweder war das das missing link, oder es waren noch irgendwo alte DNS caches am werk.

Es "gehört" sich eigentlich, dass man Ping6 bei einem "Server zulässt", aber ich denke der ausschlaggebende Grund wird vermutlich sein, dass noch nicht alle DNS-Caches das "Umbiegen" des CNAMEs auf den neuen A/AAAA Record verarbeitet hatten.

 

[Jobbie]

Hey, vielen Dank.

Wieso haben server und caddy verschiedene IP? Also was ist das genaue setup auf dem Server?

Das weiss ich nicht. Bisher hat caddy keine ipv6. Aber ich weiss, dass man die podman nets damit ausstatten kann. Aber sind das dann nicht einfach lokale subnets? Da bin ich wie gesagt noch nicht vorgedrungen. Mir rauch noch etwas der Kopf...

Je nachdem wie die lets encrypt Zertifikate von Caddy geholt werden (http-01 oder dns-01) brauchst auch port 80 nicht.

Das stimmt.

Die Podman container müssen ja nur lokal auf dem Server vom proxy erreichbar sein. Die brauchen auch keine "neuen" IPs.
Nur der proxy muss halt auf die Docker Netze Zugriff haben wo auch die Container laufen.

Ja, das würde ich auch so iwi machen wollen. Derzeit existiert ein poxy net, da sind caddy, nextcloud und collabora drin. Allerdings hat nur Caddy die beiden ports offen. Meine Datenbanken sind in einem anderen net und somit separat und für caddy gar nicht sichtbar (so mein plan :-D).