Vaultwarden nur im internen Heimnetz + VPN nutzbar machen

[fmeyer84]

Hallo zusammen,

folgende Ausgangssituation habe ich:

1. Proxmox Host mit u. a. einem LXC - Vaultwarden über die Proxmox Helper Scripts installiert (192.168.1.13)
2. Zweiter LXC auf dem PVE Host mit NPM installiert -> meine FB 5690 Pro hat eine Portweiterleitung von 80 & 443 auf diesen LXC (192.168.1.26)
3. FB 5690 Pro hat eine DynDNS Domain von Selfhost mit meiner Adresse: meine-domain.de - diese wird täglich aktualisiert mit der IP von meiner FB
4. Im NPM habe ich eine Subdomain/Host für Vaultwarden angelegt: pm.meine-domain.de verweist auf die 192.168.1.13:8000 mit LetsEncrypt Zertifikat

Im Endeffekt läuft alles wunderbar, ich kann die Apps auf dem Handy nutzen mit der o. g. Domain, die Windows App geht usw.

Nun möchte ich aber im Zuge eines anstehenden Netzwerkumbaus es so haben, dass ich von unterwegs nur VPN und auch im Heimnetz direkt auf den Vaultwarden zugreife, sodass dieser nicht mehr aus dem Internet erreichbar ist.

Ich habe bisher im Netz recherchiert, so richtig komme ich aber nicht zu einer Lösung. Wenn ich im Heimnetz von einem PC per Browser auf den Vaultwarden zugreifen will, geht das über https://192.168.1.13:8000 - zwar mit Zertifikatswarnung - aber es geht. Die Windows App und auch Android App verweigert dies - was ich aber im Netz schon gelesen habe.

Hat jemand deshalb eine Idee?

 

[the other]

Moinsen,
hast du im Netzwerk ggf etwas, das die DNS Auflösung macht (zB Pihole, einen DNS Resolver)?
Darüber sollte es dann auch gehen...
Da du aktuell eine Fritzbox nutzt, werden vermutlich einfach externe DNS Server befragt...die dann eben auch nur den Weg "von außen" kennen. Wäre aber zB diese Abfrage nach etwa meinvaultiserver.example.com intern auf einem eigenen Resolver (den die geplante opnsense bietet) möglich...dann wäre das ein Lösungsansatz. Und da ja viele einen DNS Werbeblocker wie etwa besagtes Pihole eh nutzen...nur mit der FB geht das afaik nicht...

ps: oder eben ein eigenes Zertifikat bauen mit eigener CA als Aussteller, das dann im vaultwarden server hinterlegen, rebind Schutz auf der FB anlegen...aber ob der Aufwand lohnt? Dann lieber aktuell alles so lassen (never touch a running system und so) und einfach warten bis die hardware da ist und dann umstellen, bis dahin schlau machen und gedanklich / auf Papier den Prozessweg entwerfen...
Aber vielleicht denke ich auch wieder zu kompliziert und jemand kommt mit einem Hammer...

 

[fmeyer84]

Moinsen,
hast du im Netzwerk ggf etwas, das die DNS Auflösung macht (zB Pihole, einen DNS Resolver)?
Darüber sollte es dann auch gehen...
Da du aktuell eine Fritzbox nutzt, werden vermutlich einfach externe DNS Server befragt...die dann eben auch nur den Weg "von außen" kennen. Wäre aber zB diese Abfrage nach etwa meinvaultiserver.example.com intern auf einem eigenen Resolver (den die geplante opnsense bietet) möglich...dann wäre das ein Lösungsansatz. Und da ja viele einen DNS Werbeblocker wie etwa besagtes Pihole eh nutzen...nur mit der FB geht das afaik nicht...

Adguard oder PiHole nutze ich nicht - hatte ich mal im Einsatz. Grundsätzlich ja gut, aber gerade wenn mal Werbeangebote sind, wurde mir alles geblockt. Daher wieder abgeschafft.

 

[Barungar]

Dein Konstrukut klappt aber nur mit IPv4... wenn Du auch sauber mit IPv6 umgehen willst.
Dann muss das DynDNS über den Proxmox laufen oder Du nutzt das MyFritz-DynDNS.

 

[the other]

Moinsen,
jetzt musste ich direkt lachen: das Ding hat so gut funktioniert, das kam wieder weg...
Spass beiseite: ich weiß, was du meinst...ich habe für die wenigen Ausnahmen eben solche als whitelist angelegt. Und auch das ist am Ende eine individuelle Entscheidung, wäre jetzt aber eine elegant simple Lösung für deine Frage gewesen...
Aktuell läuft doch alles, oder?
Dann lass es so. Bau dann wenn der Postbote 3x geklingelt hat alles langsam auf, den Vaultwarden lässt du wo er ist (an der Fritzbox VOR der *sense. Wenn der heute geht, dann geht der dann auch. Und wenn du dann alles in der *sense für das neue LAN und VLANs und VPN und Reverseproxy und was weiß ich noch alles laufen hast (und es auch wirklich läuft)...DANN holst du die wirklich wichtigen Sachen ins neue Heim. Dann weißt du auch, was du wo und wie und warum konfiguriert hast und alles macht plötzlich Sinn...wenn du von Anfang an mitdokumentierst. Das wäre mein unbedingter Tipp (auch wenn ich weiß, das der Spassfaktor dabei nahe Null erscheint).

 

[fmeyer84]

Dein Konstrukut klappt aber nur mit IPv4... wenn Du auch sauber mit IPv6 umgehen willst.
Dann muss das DynDNS über den Proxmox laufen oder Du nutzt das MyFritz-DynDNS.

IPv6 ist bei meinem DSL Router deaktiviert und bisher klappt alles wunderbar.

 

[fmeyer84]

Ich habe eine Lösung, welche mir und für meinem Neffen ausreichend ist:

Vaultwarden einfach im Browser öffnen - kommt zwar Zertifikatswarnung, aber egal.

 

[blurrrr]

Später dann halt einfach so