Docker-Container: Welche nutzt ihr?

[andy_m4]

Hat doch weniger mit Zutrauen zu tun, als vielmehr Angriffsvektoren zu minimieren.

Naja. Dann darf ich halt gar kein Dienst hosten. Dann hab ich Null Angriffsvektoren.
Ansonsten ists halt die Frage in wie weit das überhaupt Angriffsvektoren minimiert, wenn man noch mehr Mitspieler (den man vertrauen muss) ins Boot holt. Insbesondere wenns Anbieter sind, wo man bereits aus Erfahrungen aus der Vergangenheit weiß, das die eher zweifelhaft sind.

daß beim gern propagierten VPN via Router, das komplette dahinterliegende Netz zugänglich gemacht wird, und alles an der implementierten Lösung hängt.

Eine Lösung wird doch nicht deshalb besser, in dem man mit anderen noch schlechteren Lösungen vergleicht.

Da vertraue ich doch eher auf ein brauchbares MFA, als alles an ein 'sicheres' VPN-Passwort zu koppeln.

Selbst bei Multifactor brauchst Du kein Anbieter mit einzubinden. Also bitte nicht so tun als wäre VPN password-only.

Die Diskussionskultur auf Computerbase war auch mal besser ... ich bin damit raus

Klingt ein bisschen nach einer billigen Ausrede, um ja nicht auf meine völlig berechtigten Einwände eingehen zu müssen.

 

[s1ave77]

Naja. Dann darf ich halt gar kein Dienst hosten. Dann hab ich Null Angriffsvektoren.

OK. Bis auf den Hinweis daß der Fritzbox VPN 2FA erlaubt, die immerselben diffusen Andeutungen, die in solchen Threads ständig wie ein Mantra wiederholt werden. Die sind halt schwer bis garnicht zu widerlegen. Sei's drum.

Wenn eh alles per se unsicher ist, dann auch ein 3-2-1 Backup . Bei mir oder Mutti kann eingebrochen werden oder ein Feuer ausbrechen, Cloud geht auch nicht (ist ja nicht in meiner Hand und damit genrell unsicher) und das Bankschließfach fällt dem nächsten Raub zum Opfer. Echt eine Tragödie.

 

[netzgestaltung]

Derzeit habe ich 0 Container werde aber in den Weihnachtsferien ins team podman einsteigen.

Ich schwanke aber stark zwischen Nextcloud(wegen den vielen update Problemen/unfertigen Features)+Onlyoffice oder Seafile+Collabora Online+ mglw Kopano

Ansonsten geplant:

• Gitea
• Issue Tracker, noch unklar was Redmine ablösen wird, jedenfalls mit besserer Git-Integration
• Matrix
• WebTrees

VM: OpnSense

Interessant:

• die gesehene PiHole/Unbound Kombi wobei Unbound schon in der OpnSense laufen könnte
• Jellyfin
• Minidlna
• Calibre-web
• Restreamer

Was ich noch mitnehme hier war drawio - das gibts ja häufiger, schau ich mal rein.
Sowas wie Figma wär selbsthostet auch recht nett.

 

[Scheppschick]

Im Moment laufen:

• AdGuard
• Portainer

auf der NAS - Prinzip: fire & forget, aber Watchtower kommt demnächst - dank diesem Thread - hinzu.

 

[Raijin]

Die Intention des Threads war und ist lediglich die Darstellung wer welche Containter benutzt und nicht die Diskussion über Sinn und Unsinn selbiger - das kann jeder für sich selbst beurteilen. Man kann ja gerne einmal kurz kommentieren oder fragen warum und wieso, aber wenn es dann mehrmals hin und her geht und man sich gegenseitig zu überzeugen versucht, wird's auch schnell OffTopic.

Ich finde es interessant, zu lesen was andere so mit Docker anstellen. Wenn ich damit aber nix anfangen kann oder das Setup als sinnfrei empfinde, lese ich eben weiter...

Selbst nutze ich in meinem Netzwerklabor einerseits insgesamt zu viele Container, aber andererseits zu wenige davon auf Dauer als dass ich eine statische Liste posten könnte. Ich hab auch schon einige aus dem Thread getestet und größtenteils wieder verworfen. Konstant nutze ich zB portainer, postgresql, pihole, confluence und ein paar IoT-Container. Der Rest variiert regelmäßig, wenn ich mich in meinen nerdigen Mancave zurückziehe und Dinge ausprobiere

 

[polyphase]

War iirc @Yuuri der mal in einem ähnlichen Thread dargelegt hat, daß beim gern propagierten VPN via Router, das komplette dahinterliegende Netz zugänglich gemacht wird, und alles an der implementierten Lösung hängt.

Es sagt aber niemand, das man bei einem VPN zwingend sein ganzes Netz dahinter offen legen muss. Man kann und sollte dies auch durch entsprechende Firewall Regeln einschränken.

Eine Lösung wird doch nicht deshalb besser, in dem man mit anderen noch schlechteren Lösungen vergleicht.

Da muss ich @andy_m4 Recht geben. Cloudflare ist nicht vertrauenswürdig, wie auch andere große Firmen in diesem Bereich. Weiß ich was die alles in meinem Netzwerk machen? Diese Firmen leben vom Daten sammeln und verkaufen. Dies werden sie auch hier tun.

Ergänzung (21. November 2022)

Die Intention des Threads war und ist lediglich die Darstellung wer welche Containter benutzt

Ja da muss ich dir Recht geben, aber ich konnte das nicht auf sich beruhen lassen, bevor gefährliches Halbwissen verbreitet wird.

Nicht das es in einem halben Jahr überall heißt "VPN ist unsicher nur Cloudflare ist sicher..." oder so ähnlich.

Ergänzung (21. November 2022)

• die gesehene PiHole/Unbound Kombi wobei Unbound schon in der OpnSense laufen könnte
• Minidlna

Zu 1.
Ich habe pihole und unbound in Containern laufen. Kann ich empfehlen, das läuft gut.
Wobei unbound in opnsense hört sich interessant an, kann das dann aber auch Hyperlocal?

Zu 2.
Das kann ich nur empfehlen, miniDLNA läuft super! Ich habe einfach die entsprechenden Verzeichnisse per SMB von meinem NAS eingebunden, so daß diese automatisch indiziert werden.

Falls du Hilfe bei der Einrichtung brauchst melde dich, ich helfe gerne 😉
Die Anleitungen im Netz widersprechen sich hier teilweise gegenseitig.

 

[x.treme]

Da muss ich @andy_m4 Recht geben. Cloudflare ist nicht vertrauenswürdig, wie auch andere große Firmen in diesem Bereich. Weiß ich was die alles in meinem Netzwerk machen? Diese Firmen leben vom Daten sammeln und verkaufen. Dies werden sie auch hier tun.

20% der Internet-Infrastruktur laufen über Cloudflare und sie sind Marktführer in Web-Security.
Die Frage ist immer, was will man mit Self-Hosted bezwecken. Für mich ist Cloudflare die Lösung, um auch im Notfall (e.g. ich kann gerade keinen VPN einrichten) auf meine IoT-Geräte etc. zugreifen zu können. Für diesen Usecase sehe ich das eigenen öffnen vom HTTPS-Ports riskanter an, als ob Cloudflare meine Traffic-Daten zum Antrainieren ihres Threat-Algorithmus nutzt ...
Frage ist also immer: Was ist der "Job to be done" mit eurer Self-Hosted-Lösung. Wem es dabei vorrangig um Privacy Protection geht, für den ist es natürlich nichts. Ansonsten einfach mal auf r/selfhosted bei reddit geben, da wird das Thema "Cloudflare Tunnel" mit den Pro/Contra ausführlicher und weniger emotional betrachtet als hier

Eine andere Self-Hosted-Lösung die ich für den Zugang zum Heimnetzwerk nutze (um zurück zum Thema zu kommen): Wireguard Client <-> Wireguard OpnSense VPS Server <-> Wireguard OpnSense Home-Client

1. z.B. IONOS-Server für 1-2€ mieten und hier OPNSense laufen lassen mit Wireguard-Server (damit hat man Firewall + Auto-Update zum Schutz des "Einfallstors")
2. Clients verbinden sich mit der festen IP des VPS
3. OPNSense-Server zu Hause auf Proxmox installiert. Diese verbindet sich als Client mit IONOS. Somit muss im Heimrouter keine Ports freigegeben.
4. Der Port 443 des OPNSense Wireguard-Clients wird auf meine NGINX/Authentik-VM im isolierten Netzwerk weitergeleitet

Wäre ein Beispiel dafür, wie man auch bei VPN nicht gleich Zugriff auf das gesamte Heimnetzwerk geben muss, und dank OPNSense sogar super einfach zu warten mit Auto-Update und GUI.

Ansonsten habe ich ein Wildcard Zertifikat, wobei die DNS-Records der Domain auf die interne IP gestellt sind. Somit ist auch der Traffic im Tunnel encrypted, und es funktioniert auch ohne bei den Clients einen privaten DNS-Server einstellen zu müssen. Das Zertifikat gibt's auch ohne Port-Freigabe durch DNS-Challenge (via Cloudflare DNS-Challenge, steinigt mich ^^)

PS: Wer noch Gesprächsbedarf zu Cloudflare-Tunnel hat, bitte per PN, nicht Thema des Threads. Die Pro/Contra sind dargelegt, den Rest muss jeder selber entscheiden - der Thread hier dient ja auch nur als Inspiration

 

[Zipfelklatscher]

Bei mir laufen im Moment: Nextcloud (Variante von linuxserver.io), Pihole, Portainer, Vaultwarden und Watchtower. Allerdings, überlege ich ob ich Nextcloud nicht rausschmeiße, da ich es nur für Kalender und Kontakte nutze. Und das geht auch mit Baikal (DAV-Server) ganz gut, allerdings hat man dann nicht die praktische Weboberfläche zum Verwalten von Terminen. Allerdings belegt Nextcloud nicht wirklich viel Speicher und Plattenplatz auf der Synology.

 

[maxik]

Host: Unraid (e5 2650 v2, 32gb DDR3)

Docker:
MariaDB
Nextcloud
Nginx
Jellyfin
Cloudflare DDNS updater
Jdownloader2

Ich hatte auch noch pihole drauf aber egal welche und wieviele Listen eingetragen habe - Google Werbung kommt weiter durch :/

 

[x.treme]

Ich hatte auch noch pihole drauf aber egal welche und wieviele Listen eingetragen habe - Google Werbung kommt weiter durch :/

Aus meiner Erfahrung liegt das entweder daran, dass
- PiHole nicht auch als DNS-Server für IPv6 konfiguriert wurde
oder
- Client-spezifische Konfiguration, e.g. dass der DNS-Server via DHCP ignoriert wird, z.B. DNS-over-HTTPS eingestellt wurde.

 

[maxik]

Ich danke! Werd ich mal bei Gelegenheit nochmal testen

 

[CasiHST]

Auf meiner DS220+ laufen folgende Dockercontainer

Firefox
Teamspeak
Sinusbot
Azuracast

Nichts großartiges, bin aber noch auf der Suche nach nützlichen Anwendungen

 

[DonGeilo33]

Dürfte ich einmal fragen ob es irgendwo eine vernüftige Anleitung für Guacamole gibt!? Ich bin für die Doku einfach zu dämlich...

https://guacamole.apache.org/doc/gug/guacamole-docker.html

Welche Container brauceh ich jetzt? Welche Ports muss ich weiterleiten? Brauche ich auch einen Container für die SQL Datenbank!?

 

[LieberNetterFlo]

Hab's mir der Anleitung gemacht: https://www.smarthomebeginner.com/install-guacamole-on-docker/

 

[DonGeilo33]

Danke, werde ich morgen mal probieren...

 

[alturismo]

Welche Container brauceh ich jetzt? Welche Ports muss ich weiterleiten? Brauche ich auch einen Container für die SQL Datenbank!?

normal besteht das Ganze aus mind. 2 oder 3 Teilen
guacdaemon, guacclient, und/oder externe datenbank (mysql ..)

was ich empfehlen kann

https://hub.docker.com/r/jasonbean/guacamole

ist entweder all in one (sqlite integriert, tag nomariadb) oder mit externer mariadb Anbindung

Port 8080 wäre dann zu nutzen, aber bitte beachten, online WAN gehört das hinter einen RP oder ggf. 2fa

 

[DonGeilo33]

Ahh das ist ja perfekt, all in one ist für meine bedürfnisse völlig ausreichend.

https://hub.docker.com/r/jasonbean/guacamole

der Container wollte allerdings die Logindaten (guacadmin) nicht akzeptieren, habe jetzt diesen https://hub.docker.com/r/zuhkov/guacamole Container genommen.

Das ganze ist ja nur HTTP, ich würde das gerne auch Intern hinter einen ReverseProxy packen, sollte doch auch funktionieren oder?

 

[alturismo]

Das ganze ist ja nur HTTP, ich würde das gerne auch Intern hinter einen ReverseProxy packen, sollte doch auch funktionieren oder?

ja klar, daher auch die Anmerkung im vorherigen post ...

online WAN gehört das hinter einen RP oder ggf. 2fa

 

[x.treme]

Ich werde es nie verstehen, warum man lieber einen unoffiziellen Docker-Container nimmt der seit 7 Jahren nicht geupdated wurde, anstatt die eine Stunde zu investieren um das offizielle Image zum laufen zu bekommen

 

[DonGeilo33]

Stimmt, der ist ja 7 Jahre alt...

Ich sags dir ganz ehrlich, für einige dinge bin ich echt zu doof, mit der Anleitung https://www.smarthomebeginner.com/install-guacamole-on-docker/ habe ich es nicht hinbekommen, bin was Linux angeht aber auch noch ein echter anfänger.