Docker + Nginx + Let's Encrypt Konfiguration

Zitat von frank_m

Sorry, aber das ist doch grober Unfug. Fährst du Auto, ohne einen Führerschein gemacht zu haben? Bastelst du ohne entsprechende Ausbildung an deiner Elektroinstallation zu Hause rum? Nein. Und kein Mensch würde auf die Idee kommen. Aber einen komplexen Server am Netz betreiben kann jedes Schulkind?

Komm jetzt nicht mit: "Aber Autofahren ist gefährlich, ein Server nicht." Falsch! Ein kompromittierter Server kann massiv Schaden anrichten, nicht nur für einen selber, sondern auch für andere Betroffene. Schadensersatzforderungen im 5- oder 6-stelligen Bereich sind möglich.

Natürlich darf man als Anfänger Fragen stellen. Aber es kommt immer auf den Kontext an. Bei Experimenten am lebenden Objekt muss man sich solche Hinweise gefallen lassen, denn es ist grob fahrlässig. Würde aus dem Kontext heraus klar werden, dass der Fragesteller zu Hause auf einer VM testet, um sich mit der Technik vertraut zu machen, dann würden die Antworten anders ausfallen.

Ich sehe das genauso, nur respektvoll gemeint.

Ich möchte mich hier mal ein wenig auf die Seite des TE schlagen.

Sicher könnte es sein, dass er keine Ahnung von Serveradministration hat, aber ich sehe dafür hier keine zwingenden Indizien,

Er hat halt evtl. einfach noch wenige Erfahrung mit docker.

Als ich das erste Mal intensiver mit docker angefangen habe, hatte ich ähnliche Probleme und ich konnte durchaus einen Server zuverlässig administrieren und absichern.

Und nginx mit cert im container ist duchaus nicht so total trivial. Da kann man schon mal stolpern. ("Huhn-Ei"-Problem: nginx-Konfig braucht cert um zu funktionieren, aber cert kann nicht estellt werden, weil nginx nicht funktioniert, wegen fehlendem cert. )

Ich empfehle hier, wie gesagt bottom-top:
https://forum.netcup.de/administration…ion/#post226365

Anleitungen im Netz sollte man dabei nicht blind übernehmen, sondern sie erstmal analysieren und recherchieren wie sie denn nun eigentlich funktionieren.

Wenn es dann funktioniert, weiß man wenigstens auch warum und hat was dabei gelernt.

Zitat von aRaphael

Sicher könnte es sein, dass er keine Ahnung von Serveradministration hat, aber ich sehe dafür hier keine zwingenden Indizien,

Na ja, ... Conflig Files noch im Auslieferzustand, bei der Frage nach der Erreichbarkeit des Containers auf IP Ebene kommt aus Aussage, was im Browser passiert bzw. dass der Server erreichbar sei (ohne Hinweis, was überhaupt überprüft wurde), ...

Ich sage mal so: Jemand der Erfahrung mit der Administration eines Servers besitzt und schon mal Routing und Firewall eingerichtet hat, der reagiert anders auf solche Fragen. Da würden sysctl settings, IP-Konfigurationen, nslookup Ergebnisse, netstats, Firewall-Regeln und das Ergebnis von Traces in der Antwort stehen, aber nicht "Im Browser steht abgelehnt".

Wie gesagt, das ist kein Vorwurf. Wir können auch gern hier im Forum durch alle Einzel-Schritte gehen. Aber er sollte sich darüber im Klaren sein, dass er da gerade ein hohes Risiko eingeht, und wenn man ihn darauf aufmerksam macht, zumindest nicht pampig werden und uns vorwerfen, dass wir keine Lösung hätten.

Zitat von Parmaster

Naja, wie auch immer, es läuft, damit ist das Thema hier erledigt für mich.

Poste doch hier mal deine funktionierenden Konfigurationsdateien.

Dann können sich andere, die das gleiche Problem haben, daran ein wenig orientieren.

So fein und performant nginx auch ist, so isses auch nicht unbedingt die einstiegsfreundlichste Lösung für einen TLS Setup mit Let's Encrypt oder ZeroSSL.

Falls Du, so wie ich, sehr faul bist, dann kannst Du auch mal einen Blick auf Caddy werfen. Das gibts natürlich auch als Docker Container.

Zur Konfiguration mußt Du dann noch ein CaddyFile erstellen.

Das kann beispielsweise so aussehen:

# Let's Encrypt
{
        email <deine.emailadresse@example.org>

        # Production Endpoint
        acme_ca https://acme-v02.api.letsencrypt.org/directory

        # Staging Endpoint
        #acme_ca https://acme-staging-v02.api.letsencrypt.org/directory
}

# Die tolle Web Applikation
hostname.example.org {
        reverse_proxy containername:<port wo Deine Applikation lauscht>
        encode gzip
}

So Sachen wie die Email Adresse und den Hostnamen, sowie Containernamen mußt Du sinngemäß ersetzen. Das ist aber auch schon tatsächlich alles was Du brauchst.

Um die Erstellung und Erneuerung von Zertifikaten kümmert sich Caddy ganz von alleine.

Gutes Gelingen! (Egal für welchen Reverse Proxy Du Dich entscheidest!)

Zitat von Parmaster

Und was ich ehrlich gesagt vergessen habe vorher einzustellen: Bei einem LE Zertifikat sollte die komplette Domain auf die IP zeigen, nicht nur die Subdomain. LE spinnt sonst rum.

Was meinst du genau damit? Da stehe ich gerade auf dem Schlauch - normalerweise funktioniert es absolut ohne Probleme Subdomains auf andere Hosts zeigen zu lassen als die Hauptdomain und für beides unabhängig voneinander LE zu konfigurieren.

Zitat von Parmaster

Bei einem LE Zertifikat sollte die komplette Domain auf die IP zeigen, nicht nur die Subdomain. LE spinnt sonst rum.

Nö. Man kann domain und subdomains auf beliebig unterschiedliche ips/Server zeigen lassen und für alle problemlos certs erstellen.

Natürlich muss man das cert immer dort beantragen, wo auch die DNS hinzeigt.

Ich habe solch ein Konstrukt mit mehreren nginx und Docker Containern mit Traefik umgesetzt, hier kann man dann auch sehr einfach mehrere (Sub)Domains konfigurieren, alle bekommen automatisch LE Zertifikate und um die Erneuerung muss man sich auch nicht kümmern. Traefik selbst läuft in einem eigenen Container. Es müssen dann nur noch die einzelnen Compose-Dateien angepasst werden.

https://doc.traefik.io/traefik/