Hat jemand von euch schon einmal einen gedockerten MC-Server mit NGINX als Reverse Proxy betrieben und mag seine Konfiguration teilen?
Für andere Services als HTTP(S) macht Nginx nur begrenzt Sinn. Die Gameports würde ich nicht durch den Proxy jagen, nur Web Interfaces.
Ich verwende für die Backups Duplicati (via Docker). Da kann man die ganzen Parameter und Verschlüsselung schön per GUI einstellen.
Seit ich selektiv in meinem Mailserver (Kerio Connect) Mails an die MS Abkömmlinge per https://www.brevo.com/de/ schicke, habe ich keine Probleme mehr und höre auch von meinen Nutzern von keinen. Da die Menge an zutreffenden Mails sehr sehr gering ist, habe ich null Probleme mit dem Limit.
Ich komme bei jedem Versuch ein wenig weiter, aber dadurch, dass es keine so richtigen Tutorials gibt, an welchen ich mich zumindest orientieren könnte, taste ich mich von einer Sackgasse in die nächste... Aber wird schon, irgendwie
Und wie installiert mans? Richtig, mit Docker: https://github.com/calcom/docker .
Dann braucht man auch die Kiste nicht immer wieder neu installieren, sondern man schraubt einfach nur solange an der Docker Konfiguration rum, bis es passt.
Natürlich hängt man das Ding dann noch hinter einen Reverse Proxy wie NginxProxyManager. Hierfür muss man den Hinweis bei Troubleshooting beachten.
In der Tat wäre ein eigenes Thema dafür gut.
Noch ein Tip: Der Port 81 "muss" nicht im docker-compose rausgelegt werden. Mein NPM ist so konfiguriert, dass der Port nur erstmalig offen war, dann habe ich mit NPM einen Reverse Proxy für NPM selbst eingerichtet und natürlich mit SSL Zertifikat versehen (hierfür am Besten ein *.domain.tld Zertifikat via DNS Let's Encrypt Challenge holen), um dann in NPM "http" "namedesNPMcontainers" "81" zu konfigurieren und dann auf https://npmsubdomain.domain.tld zu legen. Sobald das erledigt ist, ist die NPM Oberfläche selbst geproxied und der herausgelegte HTTP Port 81 kann im docker-compose auskommentiert werden. Dann kann auch zusätzliche Sicherheit mit NPM eingebaut werden.
Ebenso muss KEIN HTTP(S) Port irgendeines Containers, der durch NPM geproxied wird, herausgelegt werden, sondern ALLE diese Ports können auskommentiert werden. Ports die nicht durch NPM geleitet werden können (z.B. FTP, SMTP(S), IMAP(S), etc.) müssen natürlich schon rausgelegt werden.
Eine einfachere Variante von Wireguard sind diverse controllerbasierten VPNs wie Tailscale (basiert auf Wireguard), Netbird, Netmaker und andere. Zerotier setzt ein OSI Layer drunter an. Du kannst auch den VPN Client direkt in einen Container integrieren (
das ein oder andere brandneue Produkt 
Wie viele Teilnehmer?
...denn Jitsi geht nur mit eher wenigen Teilnehmer (ca 15).
Einfach nen Google Meet?
Local Block Storage ist als Backup für einen Totalausfall nicht so geeignet, weil es auf demselben Speicher läuft, oder?
Jo, daher ja auch "local". Das ist dafür gedacht, den mitgelieferten Speicher des Servers zu erweitern (z.B. Mount in einen Datenordner oder eher Verwendung als zweite Festplatte).
Die Speicherbox (FTP TLS) macht mir mit rclone immer Probleme, wie sieht deine rclone.conf aus?
Ich verwende SSH und verschlüssele mit Rclone transparent auf die Storage Box
rclone.conf:
[sbcrypt]
type = crypt
remote = storagebox_ssh:
filename_encryption = standard
directory_name_encryption = true
password = PW1PW1PW1
password2 = PW2PW2PW2
[storagebox_ssh]
type = sftp
host = MYSUBUSER.your-storagebox.de
user = MYSUBUSER
port = 23
pass = MYSUBUSER-SSH-PASSWORD
idle_timeout = 0s
shell_type = unix
md5sum_command = md5 -r
sha1sum_command = sha1 -rIch habe mir einen eigenen Unter-User erstellt, der sein eigenes Root auf der Box hat und bei dem nur SSH von extern erlaubt ist. Wichtig bei der SB mit SSH: der Port liegt auf 23.
Nichts gegen Netcup, aber das rote H bietet eine recht preisgünstige Storage Box, die man über SSH via Rclone Mount mounten kann. Und das hoch bis 20TB. Ist natürlich nicht so praktisch und - da externe Netzwerkanbindung - auch nicht so performant, aber "gut genug" für viele Anwendungen.
Ich habe meine Domains bei einem reinen Domainprovider (nicht Netcup), der keinen Webspace dazu anbietet. Wenn sie nicht verwendet werden, sind sie nicht konnektiert, kosten aber auch nur für die Domain selbst.
Das Management der Keys etc bei Wireguard ist ja durchaus lästig, Meshes sind damit eher schwierig, sondern eher ein Stern machbar. Daher gibt es zahlreiche controllerbasierte VPNs auf Wireguardbasis, die diesen lästigen Teil übernehmen und deutlich angenehmer zu konfigurieren sind.
Wenn Du OSS, selbst hosted und Konsole haben willst, wäre https://github.com/juanfont/headscale wohl hier ideal (mit Tailscale Clients nutzbar). Wenn man doch noch eine GUI haben will, dann https://github.com/ifargle/headscale-webui .
Wenn Du noch ein OSI Layer tiefer gehen willst, dann kann man https://www.zerotier.com/ nehmen, mit selbst hostbarem Controller https://github.com/key-networks/ztncui .
mein WireGuard
https://tailscale.com/ (3 User und 100 Geräte kostenfrei)
oder selbst gehostet und unlimitiert:
https://github.com/juanfont/headscale mit https://github.com/ifargle/headscale-webui als GUI (in einer Docker Compose).
Alternativ:
https://netbird.io/ Selbst gehostet: https://docs.netbird.io/selfhosted/selfhosted-quickstart
Alles deutlich angenehmer als WireGuard alleine.
Ne, er will ja die kleinen Abstoßen und auf was größeres wechseln 😜
Was ja auch - wenn man mal Docker für sich entdeckt hat - absolut Sinn macht.
Wenn Du möglichst große Kompatibilität haben willst, würde ich keinen ARM Server nehmen. Es gibt zwar vieles auch auf ARM, aber halt nicht alles. Gerade Audio/Video Container, aber auch allgemein welche mit x64 Abhängigkeiten werden darauf nicht laufen. So ist Mailcow schon ewig im x64 Angebot, aber "gerade erst" für ARM64 verfügbar ( https://mailcow.email/de/posts/2023/arm64-announcement/ ).
Wenn man sich einen ARM Server holt, sollte man VORAB alle Container und Pakete auf Kompatibilität abklopfen.
Ich würde mir einen Angebots-RS holen.
How did you install the Windows Server? In the Windows setup process, you should have set up an admin user . You will need to use this user, not the one Netcup gave you probably with the default Linux installation.
Have you added the user to the Remote Desktop User group? in Computer Management? And incoming RDP must be allowed in the firewall.
If anything: DO NOT USE the "Administrator" account!!! Add a user in Computer Management, add it to the Administrators group, then log in as that user and deactivate the "Administrator". Your server will be attacked permanently on the RDP port (if not behind a firewall) and those attacks will all try to use "Administrator".
It indeed would be best, if the RDP port would not be open to the internet, but only to VPN interfaces like Zerotier or Tailscale.
Aber bei meinem Vertrag bei meinem ISP ist auch ein Mailrelay inklusive, der 1000 Mails/Stunde zulässt.
Dann hätte sich für mich die Frage nie gestellt. Das ist genau ein „Smarthost“. Wenn über diesen gesendet wird, ist die Wahrscheinlichkeit um Längen höher, dass die Mails nicht als Spam eingestuft werden.
Cloudflare hatte ich bereits probiert, da habe ich es auch nicht geschafft, dass die Nextcloud Instanz von außen erreichbar ist.
Du hast es ja anscheinend auch anders geschafft. Bei Cloudflare wäre die Vorgehensweise so:
- Cloudflare Tunnel Client auf dem Homeserver installieren und mit dem Cloudflare Account verknüpfen.
- Nicht über NPM auf die Nextcloud, sondern direkt auf den Container mit dem 9222er Port (ist ja selbst ein Reverse Proxy).
- DNS Records bei desec entsprechend den Einstellungen bei Cloudflare anpassen. Besser gehts, wenn die Domain gleich bei CF ist.
Fertig. Kein V6 Tunnel, kein VPS, keine Portfreigabe nötig.
Nimm doch einfach https://www.cloudflare.com/de-de/products/tunnel/ kostenfrei oder https://tailscale.com/kb/1223/funnel , ebenfalls kostenfrei. Ersteres schützt Deinen Heimanschluß auch noch vor Angriffen aus dem Netz.
Für beide ist keinerlei Portfreigabe und auch kein IPv4 nötig.
TBT es war die Rede von Smart-Host im Zshg. mit DNS; und rDNS
Der einzige Zusammenhang in dem von "Smart Hosts" gesprochen wird, ist bei Mailservern, wenn nicht der Server selbst sondern ein "Smart Host" statt dessen zum Versenden verwendet wird.
Der Support sagt "Wenn Sie bereits einen Domain Service nutzten, ist ein Smart-Host notwendig", d.h. wenn man die Domain nicht von ihnen hat, geht ein PTR nicht und man muss statt dessen einen Smart Host verwenden.
