Docker, Traefik, SIM

[Morghul92]

Hallo,

ich habe bei einem Anbieter eine Domain registriert und in meiner FritzBOX auch DynDNS eingestellt, sodass nun mein Server erreichbar ist. Hier läuft in Docker Traefik, LetsEncrypt und noch sonstiger, grade unwichtiger kram. Nun möchte ich eine beliebige Anzahl an Raspberries über Traefik erreichbar machen. Bis jetzt nur in der Theorie, bevor ich damit loslege müsste ich wissen wie ich das tue, denn das ganze wird dadurch erschwert, dass die PI's nicht im selben Netzwerk sein werden, sondern mit einer SIM karte bestückt sein werden. Ich nehme mal stark an, dass es hier dann dynamische IP's wären?

Wie kann ich es erreichen, dass die PI's über Traefik, welcher auf meinem Homeserver läuft, unter einer eigenen Subdomain erreichbar werden? Am liebsten wäre mir natürlich, dass dies automatisch erfolgt, sodass ich nicht händisch Konfigfiles anlegen muss für jedes neue Gerät.

Auf den PI's würde paar Python Skripte und API Endpunkte laufen, die ich eben erreichen will. Alles wird in docker-compose files gehandhabt.

Besten Dank für die Hilfe

 

[Barungar]

Verstehe ich Dich richtig, dass die PIs gar nicht in Deinem LAN wären, sondern alle SIM-Karten haben und somit eine eigene Internet-Verbindung? Dann könntest Du sie doch auch direkt per DynDNS über Deine Domäne ansprechen und müsstest den Datenverkehr nicht über Dein Heimnetz bzw. den Traefik leiten.

 

[blurrrr]

Mahlzeit!

Ich hab zwar keine Ahnung von Trafik, aber vielleicht hilft das Templating ja weiter: https://doc.traefik.io/traefik/providers/file/#go-templating. Zumindestens wurde das hier mal erwähnt.

Wenn man dazu dann einem strikten Muster folgt, dürfte das dann auch kein Problem sein, z.B. in Form von:

pi1.domain.tld -> pi1domain.dyndns-domain.tld
pi2.domain.tld -> pi2domain.dyndns-domain.tld

Halt z.B. so in dieser Art, dann kann man da schon entsprechend vorarbeiten (für die ersten 10 Hosts oder so). Ansonsten wird es eher nicht funktionieren, denn woher soll der RP wissen, was für einen FQDN irgendein Raspi bei irgendeinem DynDNS-Anbieter hat... Eventuell gibt es auch die Möglichkeit den Hostteil auszulesen und weiterzuverarbeiten, dass man nur noch irgendwas in Richtung $host+".domain1.tld" -> $host+".domain2.tld" oder so hat... keine Ahnung, wie gesagt, habe mich nie mit Traefik beschäftigt.

 

[Confluencer]

Müssen die Dienste, die auf den Pis laufen, über das Internet erreichbar sein?

Wenn nicht, wäre es nicht sinnvoller die Pis sich per VPN in die Fritzbox einwählen zu lassen, und ihnen da zusätzliche feste IP-Adressen aus dem LAN zu verpassen? Oder etwas Richtung ZeroConf-Netzwerk zu verwenden? Notfalls mit sowas wie SSH Remote Portforwarding, wo sich die Pis per SSH verbinden, und einen Port dieses Hosts in deinem Netzwerk an einen lokalen Port des PIs weiterleiten - dann müsste Traefik für die Subdomain den Traffic nur an den gebunden Host-Port weiterleiten.

Traefik ist ja erstmal nur ein Reverse Proxy. Mit dem File-Provider kann man dem auch zusätzlich statische Konfigurationen für die Reverse Proxy Regeln mitgeben. Es ist Traefik herzlich egal, wo die (Ziel-)Services liegen - das kann lokal sein, oder auch remote via Domainname oder ip.

Bei Remote über Domainname wärst Du dann wieder bei dem Punkt von @Barungar. Um die Pis abzusichern, könntest Du deine Anwendung um x509-Auth erweitern, oder dort auch eine Traefik betreiben und soetwas wie das Public Dynamic IP Whitelist Plugin verwenden, um einzuschränken wer den Service nutzen darf.

 

[Confluencer]

@Morghul92 gibt es hier ein Update für uns? Oder hat sich die Sache erledigt?

 

[Morghul92]

Hallo

danke für eure Antworten, auch, wenn das hier jetzt spät kommt:

Ich habe die PI's (Zugriff über Keycloak) mit meinem VPN Server verbunden (Server B, Anbieter), dadurch erhalten sie ja erstmal eine feste Netzwerk IP. Zusäzlich habe ich Neben Traefik noch einen VPN Container gepackt (Server A, home), und Traefik im network_mode des VPN Containers gesteckt. Über die dynamic config habe ich dann Traefik angewiesen, die VPN IP des PI's über eine Subdomain zu routen. So hab ich das gelöst, und ich kann meine Geräte normal über das Internet erreichen.

Diese Konfiguration ist alles nur Prototyping und mehr "probieren über studieren"