Debian: Zweiter localhost (127.0.0.2) möglich, bzw. sinnvoll?

[Nilson]

Die statische ip ist vom www erreichbar.

Hast du den Host als "DMZ" bzw. "exposed Host" im Router konfiguriert?
Beschreib mal dein Setup genauer, denn so wirklich verstehen tu ich auch nicht, was bei dir nun Sache ist.
https://www.xy-problem.de/

 

[0x8100]

Ja, das kann man zwar, wird bei mir aber vollständig durch Traefik gemanaged.

wenn jetzt bei jeder antwort ein weiterer informationsschipsel kommt, dann ist das echt mühselig. beschreibe dein gesamtes setup, sonst wird das nichts.

 

[CyborgBeta]

Bisher habe ich so etwas:

https://doc.traefik.io/traefik/routing/services/#servers

## Dynamic configuration
http:
  services:
    my-service:
      loadBalancer:
        servers:
          - url: "http://mypublicip:port/"

Anstatt http://mypublicip:port/ möchte ich dort aber nun http://127.0.0.2:port/ eintragen.

Hab gerade getestet, ich kann die lokale Anwendung tatsächlich auf 127.0.0.2 + Port binden, ohne etwas an der Netzwerkschnittelle ändern zu müssen.

Jetzt wäre noch die Frage, ob ich 127.0.0.2ort vom Docker-Container aus erreichen kann.

 

[matthias3000]

Das Ganze liest sich ein wenig wie Jugend forscht, ohne grundsätzliche Kenntnisse von Netzwerk und Routing etc….. halte ich für arg gefährlich in Verbindung mit Freigaben aus dem Internet.

 

[CyborgBeta]

Geht leider nicht, Bad Gateway jedes mal.

Ergänzung (16. März 2025)

Das Ganze liest sich ein wenig wie Jugend forscht,

Für dich gilt das gleiche wie für @Skudrinka. Solche Beiträge sind nicht hilfreich.

 

[Skudrinka]

Solche Beiträge sind nicht hilfreich.

Aber das Problem sind nicht wir, sondern deine spärlichen Informationen die du uns gibt's und hinzu kommt noch, dass man dir alles einzeln aus der Nase ziehen muss.

Wie bereits @Nilson schrieb, ein XY Problem..

 

[KillerCow]

Die statische ip ist vom www erreichbar

Wenn es eine IP aus einem der privaten Adressräume ist, dann nicht. Es sei denn, du hast dir da irgendein NAT gebaut oder nen Proxy leitet die Anfragen aus dem Inet in dein privates Netz weiter. Wenn dem so ist, hast du im Zweifel aber auch mit "localhost" dasselbe Problem.

Ergänzung (16. März 2025)

Geht leider nicht, Bad Gateway jedes mal.

Ist auch völlig klar. localhost bzw. jede Adresse aus 127.0.0.0/8 ist immer das loopback device des jeweiligen Systems, in dem Fall also des Containers.

Du könntest den Container mit "network=host" laufen lassen, dann verhält der sich, was das Netzwerk angeht, so, als würde er direkt auf dem Host laufen. localhost des Hosts ist dann identisch mit localhost des Containers.
Insgesamt solltest du dich aber unbedingt mit der Thematik besser vertraut machen. Ansonsten hast du ganz schnell wieder das Problem, das du eigentlich verhindern willst... und im schlimmsten Fall, ohne es zu merken.

Zum wirklichen Abschotten hilft übrigens auch nicht, einfach mit localhost zu arbeiten. Wenn du sichergehen willst/must, dann gehört eine Firewall immer zu so einem Setup, auch lokal. Aber vorsicht bei Dockernetzwerken und Firewalls. Die werden (oder wurden?) an lokalen Filterregeln vorbei geleitet! Siehe dazu auch die Doku.

 

[CyborgBeta]

Ist auch völlig klar. localhost bzw. jede Adresse aus 127.0.0.0/8 ist immer das loopback device des jeweiligen Systems, in dem Fall also des Containers.

Ich glaube, das ist der springende Punkt.

Du könntest den Container mit "network=host" laufen lassen,

Möchte ich nicht, Traefik soll das wie gesagt übernehmen.

Durchgelesen hatte ich mir auch:

https://unix.stackexchange.com/questions/11844/etc-hosts-for-debian

https://community.traefik.io/t/can-traefik-routing-external-https-443-traefik-internal-http-80/8005

https://docs.docker.com/guides/traefik/#sending-traffic-to-non-containerized-workloads

https://stackoverflow.com/questions...how-do-i-connect-to-the-localhost-of-the-mach

Was aber alles nichts bringt, weil es das Dilemma gibt, dass die Container den Host(!)-Localhost nicht kennen, bzw. nur über die statische IP kennen können, wobei dann aber die Kommunikation an lo vorbeigeht.

Sprich ich muss damit leben, dass der Host-Localhost-Service nicht nur über https erreichbar ist, sondern auch "direkt" über http.

 

[Skysnake]

Wo ist dein Problem mit Host network??? Das macht genau das was du willst...

 

[CyborgBeta]

@Skysnake Nein, es macht zu viel. Alle Dienste laufen dann auf dem Host und alle Ports werden exposed ... es gibt also kein internes bridge Netzwerk mehr. Das hebelt die Sicherheitsmechanismen aus.

Ich kann als URL http://meine-domain:port verwenden oder http://meine-ip:port verwenden, dann kennt der Container DNS Resolver die IP. Nachteil ist nur, dass an lo vorbeigeleitet wird. Für den Host sieht es dann eben so aus, als käme die Anfrage aus dem www.

 

[Skysnake]

Ich werd noch immer nicht schlau aus deinem Geschreibe.

Mach doch bitte mal eine vollständige Beschreibung deines Setups und warum was wie gemacht ist.

Ne andere local host IP ist unter Linux bullshit. Das wird alles auf die gleiche IP gemapped und geht dann ins loopback device.

Ich befürchte du hast dich konzeptionell einfach in eine Sackgasse manövriert und kommst da jetzt nicht mehr raus. Hört sich für mich zumindest so an als ob du an die Systemgrenzen stößt und ein architektonisches Redesign nötig ist.

 

[CyborgBeta]

Ich befürchte du hast dich konzeptionell einfach in eine Sackgasse manövriert und kommst da jetzt nicht mehr raus.

Ich habe nun einen Stand, der funktioniert. Nur eben mit der Einschränkung, dass ein Dienst, der eigentlich nur über https erreichbar sein sollte, auch über http erreichbar ist. Um das https sollte sich eigentlich nur traefik kümmern.

Prinzipiell ist das nicht weiter schlimm, aber nervig.

Mach doch bitte mal eine vollständige Beschreibung deines Setups und warum was wie gemacht ist.

Dann müsste ich ein paar Dateien angeben (docker-compose.yml, dynamic_conf.yml, app.yml (von Discourse)) und alle sensiblen Informationen entfernen, das will ich jetzt nicht. Eine umgangssprachliche Umschreibung sollte genügen.

 

[andy_m4]

alle sensiblen Informationen entfernen

Soll ja keiner wissen, das Du auch noch 127.0.0.3 und 127.0.0.4 in Gebrauch hast. Die fiesen Hacker sitzen überall. :-)

Ne andere local host IP ist unter Linux bullshit. Das wird alles auf die gleiche IP gemapped und geht dann ins loopback device.

Das ist ja nun kein Hinderungsgrund. Man kann ja auch IP-Aliase an physische Schnittstellen vergeben und unterschiedliche Dinge daran binden.

Mach doch bitte mal eine vollständige Beschreibung deines Setups und warum was wie gemacht ist.

Man darf auch einfach mal die Fragen beantworten die so gestellt werden, statt ewig herum zu diskutieren, warum was sinnvoll ist und was nicht. Letzteres kann man natürlich auch machen. Aber geht ja hier quasi nur darum.