Beiträge von Parmaster

Parmaster

Ich hatte meinen Oster vServer gestern morgen kurz vor Ablauf der Aktion bestellt, 6 Minuten später hatte ich die Zugangsdaten.

Parmaster

Ja, habt recht.

Ich meine aber das gelesen zu haben. Wahrscheinlich hatte ich da aber schon Fieber und mir das nur eingebildet.

Parmaster

Das dachte ich bisher auch, da ich es auch schon so gemacht habe. Deswegen habe ich da auch gar nicht drauf geachtet.

Was ich mir nur vorstellen kann, ist, dass es die ganze Zeit klappte, aber die Anwendung ansich die Verbindung nicht zugelassen hat, weil die Hauptdomain auf eine andere IP zeigte als die Subdomain wo die Anwendung drauf läuft.

Relution ist ein MDM, wahrscheinlich muss da alles zusammen passen. Sicher bin ich mir nicht, habe aber auch keine Lust mehr das zu recherchieren, hauptsache es läuft jetzt.

Irgendwo habe ich aber in Bezug zu LE das gelesen dass es von LE gefordert wird. Muss nochmal suchen wo das war.

Parmaster

MacLemon

Ja stimmt, Caddy gibt es ja auch noch. Nicht mehr dran gedacht, aber ich bin auch nicht mehr so in den Themen drin wie früher (daher auch keine Kenntisse bezüglich Docker usw.).

Das Problem ist glaub ich die Software selbst, also Relution. Gibt wahrscheinlich einen Grund warum die selbst keine Anleitung schreiben wie das geht mit dem Zertifikat. Gibt da nur 3 Sätze welche Stellen man ersetzen muss wenn man ein anderes/gekauftes Zertifikat hat.

Als ich bei denen nachgefragt habe, wollten die, dass ich zuerst das Supportbudget auflade zu je 950,-€ pro 8 Std.

Ich habe demnächst Urlaub, dann probiere ich das mal und erstelle den Mist mit Caddy anstatt nginx.

Parmaster

Nö, ich möchte dann bei denen sagen können "wenn man keine Ahnung hat sollte man keinen Server ins Internet stellen".

Aber, die Anleitungen aus Beitrag 12 helfen, und außerdem glaube ich nicht dass hier jemand selbst Relution installiert.

EDIT:

Welche Konfig Datei meinst du eigentlich?

Und was ich ehrlich gesagt vergessen habe vorher einzustellen: Bei einem LE Zertifikat sollte die komplette Domain auf die IP zeigen, nicht nur die Subdomain. LE spinnt sonst rum.

Parmaster

So, sorry das ich erst heute Antworte, war bzw. bin immer noch krank.

Aber, ich habe mich heute nochmal dran gesetzt, alles neu installiert, und es läuft jetzt, auch mit Zertifikat.

Wer sich den Bullshit mit Docker + nginx + LE Zertifikat mal ansehen will, kann sich die Links von cltrmx aus Beitrag 12 mal ansehen.

So trivial ist es nicht, wie einige hier meinten. Vor allem nicht, wenn man vorher keine Erfahrung hatte mit Docker. Das hat auch nichts "keine Ahnung von der Materie" zu tun, so wie es einige mir unterstellt haben.

Naja, wie auch immer, es läuft, damit ist das Thema hier erledigt für mich.

Parmaster

Zitat von frank_m

Wie sollen wir eine Lösung haben, wenn wir das Problem noch nicht eingrenzen konnten? Im Moment gibt es noch 1 Million potentielle Ursachen.

Ja. All deine Fragen lassen auf völlige Ahnungslosigkeit schließen. Es geht nicht um ein spezifisches Detail, die kompletten Grundlagen fehlen.

Es geht nicht um den Server, sondern um den Container.

Aha, völlige Ahnungslosigkeit? In der Konstellation, ja, ansonsten nicht.

Was willst du jetzt genau wissen? Die App ist erreichbar, sehe es ja in den Logs, aber die Verbindung wird abgelehnt.

cltrmx

Vielen Dank, ich schaue mir die Links an.

aRaphael Werde ich machen, ansonsten komme ich hier so nicht weiter. Ich sag es mal so: Selbst der Hersteller der App konnte mir nicht helfen in dieser Sache mit dem Zertifikat.

Error: User not found Bei mir ging es heute drunter und drüber, und vor lauter testen habe ich irgendwann den Überblick verloren und vergessen was wo rein muss und was wieder weg kann.

Um es nochmal zu sagen: Ich kenne mich schon aus, aber diese Konstellation habe ich vorher noch nicht gemacht. Und wenn es so einfach wäre mit dem LE Zertifikat + nginx in Docker, dann würde es keine 50 verschiedene Anleitungen geben. Wahrscheinlich funktionieren die alle, aber in meinem spezifischen Konstrukt nicht. Oder ich mache irgendwo einen Fehler, finde den aber nicht.

Das minimal Beispiel wäre die docker-compose.yml ohne den certbot Abschnitt. Die anderen 3 Sachen müssen drin bleiben, die sind voneinander abhängig.

Wer sich das selbst mal antun möchte: https://hub.relution.io/docs/installat…/dockercompose/

Für viele wahrscheinlich kein Problem, ich hänge halt an dem LE Zertifikat.

Parmaster

Ich weiß ehrlich gesagt nicht was euer Problem ist. Der Server ist erreichbar per IPv4 und IPv6, und so lange ich nichts dran mache oder sauber läuft, auch ausgeschaltet.

Und ihr wollt mir mangelnde Kenntnisse vorwerfen auf Grund von der Frage?

Ja, ich habe das noch nie gemacht in dieser Konstellation, deswegen frage ich ja.

War aber anscheinend ein Fehler hier zu fragen.

Anscheinend habt ihr aber auch keine Lösung und/oder kennt euch damit aus, stattdessen kommen solche Aussagen.

Parmaster

Zitat von Error: User not found

Es gibt mehrere Probleme: certbot speichert die Zertifikate nicht in /opt/application, ./certbot/www (relativ zu was eigentlich?) wird nicht in den nginx-Container durchgereicht, ssl_certificate u. ssl_certificate_key in der nginx-Config sind falsch.

Wahrscheinlich gibt es auch noch mehr...

Wenn du auf dem Niveau sowas machst, solltest du vlt. keinen öffentlich erreichbaren Server betreiben.

Dei Einträge bei nginx habe ich vergessen rauszunehmen.

Die Einträge bei certbot sind die vorgegebenen von EFF.

Warum sind die Einträge in der nginx conf falsch bzw. was ist falsch.

Dass das nicht geht ist mir klar, sonst hätte ich nicht gefragt.

Den letzten Satz hättest du dir sparen können, mal davon abgesehen weisst du nicht mal ob es öffentliche Server sind, sondern unterstellst es mir einfach.

Zitat von frank_m

Das hört sich für mich eher nach einem Routing Problem an. Kann man den Container überhaupt von außen erreichen? Firewall, Forwarding, Adressen, ...?

Wenn ich die Domain im Browser eingebe kommt immer nur die Meldung dass die Verbindung abgelehnt wurde.

Parmaster

Das ist die docker-compose.yml

Code

version: '2.3'

services:
  mariadb:
    image: mariadb:lts
    restart: always
    container_name: docker_mariadb
    networks:
      application-network:
        aliases:
          - mariadb-docker
    environment:
      - TZ=Europe/Berlin
      - MYSQL_DATABASE=application
      - MYSQL_ROOT_PASSWORD=password
      - MYSQL_USER=application
      - MYSQL_PASSWORD=password
    expose:
      - '3306'
    volumes:
      - 'mariadb:/var/lib/mysql'
      - '/opt/application/application.cnf:/etc/mysql/conf.d/application.cnf'

  application:
    image: application/application:latest
    restart: always
    container_name: docker_application
    networks:
      application-network:
        aliases:
          - application-docker
    depends_on:
      - mariadb
    links:
      - mariadb
    environment:
      - TZ=Europe/Berlin
    expose:
      - '8080'
      - '8099'
    volumes:
      - './application.yml:/opt/application/application.yml'
  nginx:
    image: nginx:stable
    restart: always
    container_name: docker_nginx
    networks:
      application-network:
        aliases:
          - nginx-docker
    depends_on:
      - application
    links:
      - application
    environment:
     - TZ=Europe/Berlin
     - NGINX_HOST=domain.tld
    ports:
     - "80:80"
     - "443:443"
    volumes:
     - '/opt/application/application-nginx.conf:/etc/nginx/conf.d/application-nginx.conf'
     - '/opt/application/server.pem:/etc/nginx/server.pem'
     - '/opt/application/server.key:/etc/nginx/server.key'
     - "/opt/application/dhparams.pem:/etc/nginx/dhparams.pem"

  certbot:
    image: certbot/certbot
    container_name: certbot
    volumes:
      - ./certbot/conf:/etc/letsencrypt
      - ./certbot/www:/var/www/certbot
    command: certonly --webroot -w /var/www/certbot --force-renewal --email {$mail} -d {domain.tld} --agree-tos

volumes:
  mariadb:

networks:
  application-network:

Alles anzeigen

Und das ist die nginx.conf

Code

log_format application '$remote_addr - $remote_user [$time_local] '
            '"$request" $status $body_bytes_sent '
            '"$http_referer" "$http_user_agent" "$http_x_forwarded_for" '
            '$request_time $upstream_response_time $pipe';
error_log       stderr debug;

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}

# Maps IPs to $post_limit if request type is POST
map $request_method $post_limit {
    default "";
    POST    $binary_remote_addr;
}

# Create a 10mb zone in memory for IPs, limited to 2 requests per minute
limit_req_zone $post_limit zone=post_limit_very_slow:10m rate=2r/m;

server {
    listen 0.0.0.0:80 default_server;
    listen [::]:80;
    server_name domain.tld; ## Replace this with something like mdm.example.com
    server_tokens off; ## Don't show the nginx version number, a security best practice
    # Redirect to HTTPS
    return 301 https://$host$request_uri;

}

server {
    listen 0.0.0.0:443 ssl default_server;
    listen [::]:443 ssl;
    server_name domain.tld; ## Replace this with something like mdm.example.com
    server_tokens off; ## Don't show the nginx version number, a security best practice

    ssl_dhparam          /etc/nginx/dhparams.pem;
    ssl_certificate      /etc/letsencrypt/live/domain.tld/fullchain.pen;
    ssl_certificate_key  /etc/letsencrypt/live/domain.tld/privkey.pem;

    ssl_stapling on;
#    ssl_stapling_verify on;
#    ssl_trusted_certificate PATH_TO_YOUR_SSL_CHAIN;

    ssl_prefer_server_ciphers   on;
    ssl_ciphers 'irgendeincode';
    ssl_protocols TLSv1.2 TLSv1.3;

    client_max_body_size 1024M;
    large_client_header_buffers 8 32k;

    proxy_http_version 1.1;
    proxy_read_timeout 90;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;

    proxy_busy_buffers_size   512k;
    proxy_buffers   4 512k;
    proxy_buffer_size   256k;

    location / {
        gzip on;
        gzip_proxied any;
        gzip_min_length  1100;
        gzip_buffers 4 32k;
        gzip_types text/plain application/javascript text/xml text/css;
        gzip_vary on;

        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_pass http://application-docker:8080;
        proxy_read_timeout 300;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
    }

    location ~ /.well-known/acme-challenge/ {
        root /var/www/certbot;
    }

    # Limit POST requests to complianceViolations to 2 r/m
    location ~ ^/api/v1/devices/[a-zA-Z0-9-]*/complianceViolations$ {
        limit_req zone=post_limit_very_slow burst=5;

        gzip on;
        gzip_proxied any;
        gzip_min_length  1100;
        gzip_buffers 4 32k;
        gzip_types text/plain application/javascript text/xml text/css;
        gzip_vary on;

        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_pass http://application-docker:8080;
        proxy_read_timeout 300;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
    }

    location ~ ^/application/api/v1/devices/[a-zA-Z0-9-]*/complianceViolations$ {
        limit_req zone=post_limit_very_slow burst=5;

        gzip on;
        gzip_proxied any;
        gzip_min_length  1100;
        gzip_buffers 4 32k;
        gzip_types text/plain application/javascript text/xml text/css;
        gzip_vary on;

        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_pass http://application-docker:8080;
        proxy_read_timeout 300;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
    }

    location ~ /Microsoft-Server-ActiveSync {
        proxy_read_timeout 2100;
        proxy_pass http://application-docker:8080;
    }

    error_page 502 /502.html;
    error_page 503 /502.html;
    error_page 504 /502.html;
    location /502.html {
        root /etc/nginx/errors;
    }
}

Alles anzeigen

Parmaster

Das ist ja das Problem, LE erstellt kein Zertifikat, da es Nginx nicht finden kann, da es ja im Container ist.

Parmaster

Hallo!

Ich bin gerade dabei eine Anwendung zum laufen zu bekommen, die aber ein gültiges Zertifikat braucht (LE funktioniert damit).

Mein Problem dabei ist, dass ich mittlerweile gefühlt jede Anleitung aus dem Internet versucht habe (ich habe des Server jedes mal neu installiert, so dass keine fehlerhaften Rückstände da sind), ich es aber bis jetzt nicht hinbekommen habe, ein LE Zertifikat mit Nginx zu koppeln. Nginx läuft in einem Docker Container.

In der docker-compose Datei werden 3 Services konfiguriert, einmal eine DB, Nginx und die Anwendung an sich. Die 3 laufen auch ohne Problem, aber Zugriff auf die Domain wird abgelehnt, da kein Zertifikat.

Meine Frage ist nun:

Kennt jemand eine Anleitung die 100%ig funktioniert? Oder hat es schon mal selbst jemand gemacht und kann mir dabei helfen?

Ist das echt so kompliziert?

Viele Grüße

Parmaster

Bei deinem Step 4 kommt im ersten Satz dass man Roundcube runterladen soll. Glaube nicht dass dies hier stehen soll.

Ist mir nur gerade aufgefallen.

Parmaster

Lasse alles hinter _acme-challenge weg.

Ich hatte gerade das gleiche Problem.

Parmaster

So, heute Mittag von der Arbeit aus den Support angeschrieben, und auch eine Antwort bekommen. Ich soll den TimeOut höher setzen.

Bin jetzt zu Hause, FileZilla gestartet, aus Gewohnheit dann mit dem Server verbunden (noch bevor ich die Einstellung des Timeouts höher gesetzt habe, also sprich noch gar nichts geändert), war die Verbindung plötzlich da, innerhalb einer Sekunde.

Da hatte netcup doch bestimmt irgendwelche Probleme die letzten Tage und das wurde jetzt gefixt.

Parmaster

Zitat von ThomasChr

Ich liebe Leute die schon von vornherein wissen nicht schuld zu sein. Wie oft hab ich diese dann beim zurückrudern erlebt wenn wir nachweisen konnten dass es eben doch ein Kundenfehler war.

Was ein Quark? Wie oft soll ich es denn noch selbst versuchen?

Zitat von mfnalex

Deine IP ist ganz einfach blacklisted wegen zu vielen Fehlversuchen. Vom Handy im selben WLAN klappts „nach einiger Zeit“ weil das auch IPv6 kann. So viel zum Thema Problemen die „nachweislich nicht bei [d]ir liegen“…

Mobiler Hotspot mit iPhone funktioniert btw problemlos, musst nur iTunes installiert haben.

Heute auf der Arbeit probiert, mit meinem Arbeitscomputer, komplett andere IP. Mit dem iPhone aus dem Mobilfunk. Beides ging nicht.

Und nein, von meiner Seite aus gab es keine Fehlversuche.

Also so viel zum Thema ausprobieren.

Ich melde mich beim Support.

Parmaster

Ist halt anscheinend für Netcup ein riesen Aufwand sowas einzubauen.

Parmaster

Zitat von KB19

Wenn Du einen Fehler auf Deiner Seite ausschließen kannst, melde Dich halt schriftlich beim Support.

Das werde ich auch machen.

Und nein, solche Tests mit Smarphone, SIM-USB-Sticks, FritzBox, usw. tu ich mir nicht an. Es ist nicht meine Aufgabe Fehler zu finden die nachweislich nicht bei mir liegen.

Zitat von Olivetti

Nutzt du denselben FTP-user auf Handy und PC?

Japp, ein extra User nur dafür. Aber selbst mit dem hostingxxxx FTP User geht es nicht mehr.

Vor allem, von heute auf morgen.

Fehlerhafte Login Versuche gab es nicht meinerseits.

Parmaster

Zitat von Olivetti

hängt dein handy im WLAN und FTP funktioniert oder geht es dann auch nicht?

Das geht seltsamerweise, auch wenn es etwas länger dauert als im mobilen Netz.

Ein Hotspot kann ich nicht aufmachen mit dem Smartphone, mein PC hat kein WLAN, und über USB auch schwierig, da iPhone. Ist mir zum testen zu viel.

Zitat von Olivetti

die firewall blockiert anscheinend recht schnell die ftp-stammuser (steht auch im anderen thread).

Dann muss Netcup das schleunigst ändern, ansonsten fristlose Kündigung. Die können ja nicht erwarten dass die Kunden sich andauernd neue IPs ziehen. Sowas dämliches (genauso wie der Token Mist).

Parmaster

Boah ne, also selbst mit MFA ist das echt sowas von nervig.

Ob ich jetzt eine Mail bekomme oder zum Smartphone greifen muss spielt ja auch keine Rolle mehr, beides zum kotzen.

Man loggt sich ein, MFA/Token, bezahlt, kommt zurück, wieder MFA/Token. Was soll der Mist?

Ich geh ins CCP/Forum, verlasse die Seite, komme 20 Minuten später zurück, wieder MFA/Token. Also echt, etwas nervigeres als das habe ich schon lange nicht mehr gesehen.

Hier muss eindeutig das System mit den vertrauenswürdigen Geräten kommen, alles andere ist ja nicht mehr tragbar.

Beiträge von Parmaster

Wie lange dauert die Ausführung einer Bestellung?

Docker + Nginx + Let's Encrypt Konfiguration

Docker + Nginx + Let's Encrypt Konfiguration

Docker + Nginx + Let's Encrypt Konfiguration

Docker + Nginx + Let's Encrypt Konfiguration

Docker + Nginx + Let's Encrypt Konfiguration

Docker + Nginx + Let's Encrypt Konfiguration

Docker + Nginx + Let's Encrypt Konfiguration

Docker + Nginx + Let's Encrypt Konfiguration

Docker + Nginx + Let's Encrypt Konfiguration

Docker + Nginx + Let's Encrypt Konfiguration

Docker + Nginx + Let's Encrypt Konfiguration

wiki.js mit Plesk Onyx

[acme.sh] Fehlermeldung bei Zertifikatserstellung

Seit Tagen kein FTP Zugang

Seit Tagen kein FTP Zugang

netcup Sicherheitstoken

Seit Tagen kein FTP Zugang

Seit Tagen kein FTP Zugang

netcup Sicherheitstoken