Beiträge von frank_m

Funktioniert es, wenn du die ACME Challenge von Hand einträgst? Ist sichergestellt, dass die API-Update-Scripte Zugriff auf die richtige Challenge haben?

Bei netcup braucht es vielleicht auch mehr. Wenn man in der Weboberfläche die DNS Einstellungen ändert, stehen die Einträge auch zunächst auf "ungültig". Der DNS Server synchronisiert die Settings nur alle 10 Minuten, soweit ich weiß. Wie lange de Phase bis zur Aktivierung dauert, wenn man die Einträge per API ändert, weiß ich nicht, aber im Zweifel würde ich auch von 10 Minuten ausgehen. Schau dich mal im Help Center um, da findet sich bestimmt was dazu.

Wie setzt du die ACME Challenge? Über ein automatisiertes Script? Wie lange ist die Wartezeit zwischen Setzen und Abrufen durch Letsencrypt? Die DNS Server bei Netcup brauchen nach dem Speichern ja einige Zeit, bis die Einträge aktiv werden.

Zitat von Interessent

Ist der Screenshot nicht zusehen?

Doch, die Screenshots sind zu sehen, aber in den Screensshots ist nichts von der DNS Challenge zu sehen. Wenn Letsencrypt seinen TXT von der Domain abrufen will, sollte ein entsprechender Eintrag vorhanden sein. Ist es auf deinen Screenshots aber nicht.

Wo ist denn die DNS Challenge eingetragen? Davon ist ja nichts zu sehen.

Und kostet der Vorfall jemandem von euch das Wochenende? Sieht ja so aus, als müsste man alle Rechner von Hand über die Konsole zurückholen - mit händischer Eingabe des Bitlocker Keys im Zweifel.

Munin hat ein Plugin dafür. Muss man allerdings für jede Domain einrichten.

Ich hab mir mal ein SSL Script dafür gebaut. Wird per Cron für jede Domain aufgerufen und schickt mir ne Mail, wenn die Laufzeit 30 Tage unterschreitet.

#!/bin/bash

cert=$(echo | openssl s_client -servername $1 -connect $1:$2 2>/dev/null | openssl x509 -text | grep "Not After" | awk '{ print $4 " " $5 " " $7 }')
certsec=$(date +%s -d "$cert")
currentsec=$(date +%s)

let remainingdays=($certsec-$currentsec)/86400

if [ $remainingdays -lt 31 ]
then
        echo "Achtung: Zertifikat für $1 läuft in $remainingdays Tagen ab!"
        echo "Achtung: Zertifikat für $1 läuft in $remainingdays Tagen ab!" | mail -s "Achtung: Zertifikat für $1 läuft bald ab" $3
else
        echo "$1: genug Zeit: " $remainingdays "Tage"
fi

Syntax: ssl.sh <domain> <port> <receiver Mail Address>

Voraussetzung: mail kann Mails verschicken, bei mir üblicherweise per SSMTP. Gibt dann ab 30 Tagen Restlaufzeit jeden Tag ne Mail, bis man reagiert.

Zitat von aRaphael

Sicher könnte es sein, dass er keine Ahnung von Serveradministration hat, aber ich sehe dafür hier keine zwingenden Indizien,

Na ja, ... Conflig Files noch im Auslieferzustand, bei der Frage nach der Erreichbarkeit des Containers auf IP Ebene kommt aus Aussage, was im Browser passiert bzw. dass der Server erreichbar sei (ohne Hinweis, was überhaupt überprüft wurde), ...

Ich sage mal so: Jemand der Erfahrung mit der Administration eines Servers besitzt und schon mal Routing und Firewall eingerichtet hat, der reagiert anders auf solche Fragen. Da würden sysctl settings, IP-Konfigurationen, nslookup Ergebnisse, netstats, Firewall-Regeln und das Ergebnis von Traces in der Antwort stehen, aber nicht "Im Browser steht abgelehnt".

Wie gesagt, das ist kein Vorwurf. Wir können auch gern hier im Forum durch alle Einzel-Schritte gehen. Aber er sollte sich darüber im Klaren sein, dass er da gerade ein hohes Risiko eingeht, und wenn man ihn darauf aufmerksam macht, zumindest nicht pampig werden und uns vorwerfen, dass wir keine Lösung hätten.

Zitat von Interessent

Das ist wie in anderen Foren auch: Ohne die Leute zu kennen, wird unterstellt alles wäre unsicher... Ignorieren

Sorry, aber das ist doch grober Unfug. Fährst du Auto, ohne einen Führerschein gemacht zu haben? Bastelst du ohne entsprechende Ausbildung an deiner Elektroinstallation zu Hause rum? Nein. Und kein Mensch würde auf die Idee kommen. Aber einen komplexen Server am Netz betreiben kann jedes Schulkind?

Komm jetzt nicht mit: "Aber Autofahren ist gefährlich, ein Server nicht." Falsch! Ein kompromittierter Server kann massiv Schaden anrichten, nicht nur für einen selber, sondern auch für andere Betroffene. Schadensersatzforderungen im 5- oder 6-stelligen Bereich sind möglich.

Natürlich darf man als Anfänger Fragen stellen. Aber es kommt immer auf den Kontext an. Bei Experimenten am lebenden Objekt muss man sich solche Hinweise gefallen lassen, denn es ist grob fahrlässig. Würde aus dem Kontext heraus klar werden, dass der Fragesteller zu Hause auf einer VM testet, um sich mit der Technik vertraut zu machen, dann würden die Antworten anders ausfallen.

Zitat von Parmaster

Was willst du jetzt genau wissen?

Das hab ich doch geschrieben. Wenn du dich auskennst, sollte das klar sein. Es geht um die Erreichbarkeit des Containers auf IP Ebene, Details siehe oben. Was daran ist unklar?

Zitat von Parmaster

Die App ist erreichbar, sehe es ja in den Logs, aber die Verbindung wird abgelehnt.

Was siehst du in den Logs? Die Dinge, die du überprüfen sollst, erzeugen keine Logeinträge.

Wie sollen wir eine Lösung haben, wenn wir das Problem noch nicht eingrenzen konnten? Im Moment gibt es noch 1 Million potentielle Ursachen.

Zitat von Parmaster

Und ihr wollt mir mangelnde Kenntnisse vorwerfen auf Grund von der Frage?

Ja. All deine Fragen lassen auf völlige Ahnungslosigkeit schließen. Es geht nicht um ein spezifisches Detail, die kompletten Grundlagen fehlen.

Zitat von Parmaster

Der Server ist erreichbar per IPv4 und IPv6

Es geht nicht um den Server, sondern um den Container.

Das ist der zweite Schritt. Zunächst muss ja die Erreichbarkeit auf IPv4 und IPv6 Ebene sichergestellt sein. Überprüfe das doch zunächst.

Ich schließe mich so langsam der Meinung meiner Vorredner an. Jemand mit deinem Kenntnisstand sollte keinen Server im Internet betreiben. Ich empfehle, das ganze zunächst auf einer VM zu Hause zu üben.

Das hört sich für mich eher nach einem Routing Problem an. Kann man den Container überhaupt von außen erreichen? Firewall, Forwarding, Adressen, ...?

Das können unterschiedliche Einträge sein. Die meisten werden erforderlich sein. Aber ohne die gesamten Einträge zu sehen, ist das schwer zu beurteilen.

Oben ging es ja auch um Webzugriff, das hat ja nichts mit den mail Einträgen zu tun.

Es gibt doch nur 2, domain.de und http://www.domain.de, und letzterer ist vermutlich ein CNAME auf domain.de. Die müssen beide bleiben. Alles andere ist auf Applikationsebene und hat nichts mit DNS zu tun.

Zitat von Ganzjahresgriller

Ich hatte das auch schon mal am laufen, was ich aber nicht hinbekommen habe ist das die FB dann allen Traffic durch den Tunnel geschickt hat. Und das war das was ich gar nicht wollte.

Welchen Traffic die Box durch den Tunnel schickt, hängt ausschließlich von den Allowed IPs der lokalen Konfiguration ab. Wenn da die Default Route drinsteht, dann geht der komplette Traffic durchs VPN.

Zitat von retaildata

Windows und Linux sind natürlich zwei verschiedene paar Schuhe, aber das Prinzip von einem VPN Tunnel sollte gleich bleiben.

Richtig. Auch auf Windows ist es überhaupt nicht erlaubt, Address und Allowed IPs Einträge auf beiden Seiten identisch zu haben.

Es wird eine Konfigurationsdatei in der Fritzbox für die andere Seite erzeugt, das ist richtig. Die Frage ist, welche von den beiden das ist und wie du die Einstellungen vorgenommen hast.

Du zeigst ja Konfigurationsdateien von zwei unterschiedlichen VPN Knoten, wie man an den Endpoint Einträgen erkennen kann. Und dann ist es eine absolute Todsünde, wenn es auf beiden Seiten die gleichen Allowed IPs und sogar die gleichen Address Einträge gibt.

Auch wenn einem die Assistenten viel abnehmen, heißt das nicht, dass man gar keine Ahnung mehr zu haben braucht. Du wirst dich schon mit den Grundlagen auseinandersetzen müssen, um dein Netzwerksetup zu verstehen und die Konfiguration entsprechend anzupassen. Die richtigen Eingaben passend zu deinen Randbedingungen musst du auch bei den Assistenten vornehmen, und dann in der Folge die resultierenden Konfigurationen auch richtig anwenden. Die obenstehende Konstellation kann nur die Folge eines kompletten Missverständnisses sein. Das passt wirklich überhaupt nicht.

Zitat von retaildata

Hier sind die Konfigurationsdateien, wird noch etwas benötigt?

Du hast auf beiden Seiten 192.168.1.0/24 und die Default-Route in den Allowed IPs? Das kann nicht richtig sein.

Zitat von Mordor

Erfahrung.

0.0.0.0/0 kann durch andere routen (spezifischere) überschrieben werden und dann funktioniert das VPN auf einmal nicht mehr, ohne das offensichtlich ist warum.

192.168.x.x/32 wird immer bevorzugt.

Aber wofür? Entweder will ich die Default-Route übers VPN leiten, oder nicht. Wenn ich die Default-Route brauche, dann hilft mir der einzelne Host auch nicht weiter.

Zitat von Mordor

Hättest du dazu einen Link? Danke

Im Grunde alle Anleitungen unter https://avm.de/service/vpn/ . Die Anleitungen enthalten alle spezifische Hinweise, wie z.B.:

Zitat

Tragen Sie beim Erstellen der WireGuard-Verbindung für die FRITZ!Box keine IP-Adresse aus einem Transfernetz (Intermediate-Adresse), sondern die lokale IP-Adresse der FRITZ!Box ein (z.B. 192.168.20.1, Subnetzmaske 255.255.255.0).

Wenn man die nicht beachtet, dann funktioniert das VPN mit Fritzboxen halt nicht. Solche Scripte, wie die oben genannten, beachten das alle nicht.