NGINX Manager Letsencrypt local

[Babula]

Vaultwarden lässt sich ja ohne Domain nicht aufrufen, dass ganze endet dann in einer dauerhaften Ladeschleife. Bin aktuell überfragt wie ich das ganze mit dem NGINX Proxy Manager so handhabe, dass ich für eine Locale IP Adresse Zertifikat erhalte. Meine Domain kann ich verwenden um eines zu er halten, muss aber HTTP und HTTPS an der Fritzbox öffnen und geöffnet lassen.
Hab aber kein Interesse das für jeden mein Homeserver zu erreichen ist und nutze daher den Wireguard VPN der Fritzbox.

Wie kann ich Vaultgarden nur local einrichten ?

 

[Zerstoerer]

Wenn du bereits eine Domain besitzt, dann kannst du einfach ein Zertifikat von Lets Encrypt über die DNS Challenge abrufen, dann muss dein Server auch nicht öffentlich erreichbar sein.

 

[prayhe]

Wie schon erwähnt wurde musst du dafür nichts öffnen. Du kannst im Nginx Proxy Manager beim Zertifikat anfordern den Haken bei DNS Challenge setzen und dann die geforderten API Daten deines Domainanbieters eintragen.
Zusätzlich noch ein genereller Hinweis an der Stelle für dein Setup: Du musst im Router für deine Domain eine Ausnahme für den DNS Rebind Schutz einrichten, sonst haut das nicht hin wenn deine Domain auf eine lokale IP zeigt

 

[kieleich]

muss aber HTTP und HTTPS an der Fritzbox öffnen und geöffnet lassen

Jaein, nur kurzzeitig, nichts "geöffnet lassen"

bei der HTTP Challenge von Letsencrypt müsste der Server erreichbar sein... ca 5 Minuten lang. Bis das Zertifikat ausgestellt ist. Dann 90 Tage Ruhe wo nicht erreichbar sein muss. Letzencrypt ist das egal sobald die Challenge durch ist. Kann man ¡zur Not! auch von Hand mal machen. Nur falls Letsencrypt irgendwann einfällt das Intervall schärfer zu stellen oder man viele verschiedene Domains hat, wird es anstrengend

die bereits genannte DNS Challenge braucht dies nicht somit viel bequemer, aber ist auch nicht immer möglich, je nach Hosting Situation

ich nutze bis heute ehrlich gesagt nur die HTTP challenge, aber ich habe dafür, auch 1€ server bei netcup, als http proxy und zentraler wireguard hub. an der fritz wird immer noch die ip geändert und 24h trennung gemacht, was durch wg auch überbrückt wird

 

[Skudrinka]

Bin bei cloudflare, die bieten dir ein token an, welches du in nginx eintragen kannst.
Dazu wird lokaler DNS benötigt, für die Domainumschreibung.
Genau so läuft es bei mir hervorragend, an jedem Endgerät und über wireguard auch unterwegs.

Bloß nicht deine Fritte veröffentlichen. Bloß nicht.

Ergänzung (4. April 2025)

Du musst im Router für deine Domain eine Ausnahme für den DNS Rebind Schutz einrichten, sonst haut das nicht hin wenn deine Domain auf eine lokale IP zeigt

Selbst das ist nicht nötig.
Finde ich seltsam, wenn die Domain auf meine fritte zeigt.
Vielleicht will man mit der Domian ja noch anderes tun in Zukunft.

 

[RedPanda05]

Man könnte auch mit einem Self Certified Cert machen. In caddy sind das 3 Zeilen.

 

[Tornhoof]

Dann 90 Tage Ruhe

Ich denke, wenn Let's Encrypt die Zertifikatsdauer auf 6 Tag reduziert, wird die Challenge Zeit auch reduziert werden.

https://www.heise.de/news/Let-s-Enc...hrichten-und-6-Tage-Zertifikate-10269311.html

 

[Skudrinka]

Man könnte auch mit einem Self Certified Cert machen. In caddy sind das 3 Zeilen.

Hab ich mehrfach versucht, wollte vaultwarden alles nicht akzeptieren.

Ich denke, wenn Let's Encrypt die Zertifikatsdauer auf 6 Tag reduziert, wird die Challenge Zeit auch reduziert werden.

Auch das ist nicht nötig.
Zumindest über cloudflare und dem token.
Wird automatisch aktualisiert.
Einmal einrichten, für immer Ruhe.

 

[RedPanda05]

Alternativ, .ovh Domain besorgen. Die kosten 3€ im Jahr und bieten Api Steuerung an, um das ganze günstig über die DNS Challenge zu machen.

Ergänzung (4. April 2025)

@Skudrinka mit dem Self Cert geht das zu 100%, da muss irgendwas an deinem Setup nicht in Ordnung sein. Bzw. als ich es vor 2 Monaten getestet ging das ohne Probleme.

 

[Tornhoof]

hat Rust ggf seinen eigenen Cert Store, wie Java?

 

[Skudrinka]

mit dem Self Cert geht das zu 100%, da muss irgendwas an deinem Setup nicht in Ordnung sein. Bzw. als ich es vor 2 Monaten getestet ging das ohne Probleme.

Im Browser ja.
Die App für Windows und Android hat den Dienst quittiert.

 

[Tornhoof]

CA Route gehen, CA in den entsprechenden Root Store importieren (was in Android afaik nicht mehr so einfach ist).

Aber wenn dein Weg über Cloudflare geht ists eh besser.

 

[RedPanda05]

@Skudrinka fair enough, ich hatte tatsächlich nur die Browser Extension und die Webseite getestet. Das tut mir leid. In dem Fall: automatisierte DNS Challenge über Tokens.

 

[prayhe]

Selbst das ist nicht nötig.
Finde ich seltsam, wenn die Domain auf meine fritte zeigt.

Der Eintrag zeigt ja nicht auf seinen Router, sondern auf ein Gerät im Heimnetzwerk. Und doch ist nötig, weil bei solchen Geschichten die meisten Router Standardmäßig erstmal abblocken zwecks Rebind Schutz.

Vielleicht will man mit der Domian ja noch anderes tun in Zukunft.

Dafür gibt es Subdomains

 

[RedPanda05]

https://medium.com/@life-is-short-s...th-domain-name-in-cloudflare-dns-732af64ddc0b

Geht auch mit anderen Domain Anbietern, wenn sie Token haben.

 

[Skudrinka]

Und doch ist nötig,

Zumindest nicht bei meiner Variante.
Nginx ruft einfach nur den token ab.
Bin da bestimmte nicht tief im Thema, kann nur sagen, dass es so auf Anhieb funktioniert, ohne weitere Einstellungen oder sonstiges.

 

[prayhe]

Zumindest nicht bei meiner Variante.

Ich kann dir nur sagen, dass wenn du ganz regulär bei einer (Sub)domain einen Record auf eine IP im lokalen Netz einrichtest, dass dann die allermeisten Router keine Verbindung zu besagter IP erlauben, um dich vor diesen Rebind Angriffen zu schützen. Daher der Tipp gleich die ganze eigene Domain auf die Whitelist zu setzen. Vielleicht ist das bei deinem Router nicht so, habe ich aber noch nicht gesehen ehrlich gesagt

 

[Skudrinka]

Du kannst in nginx den token hinzufügen.
Dieser wird automatisch abgerufen.

Mit der richtigen nginx Version

https://github.com/NginxProxyManager/nginx-proxy-manager/releases

 

[prayhe]

Ich glaube wir reden hier aneinander vorbei Das mit dem API Token für die DNS Challenge ist schon klar. Mein Tipp mit dem Rebind Schutz hat sich darauf bezogen, dass wenn er später z.B. auf vaultwarden.beispiel.de zugreifen möchte und diese Subdomain auf die lokale IP zeigt, dass dann der Router vermutlich die Verbindung erstmal nicht erlauben wird aus genannten Gründen

 

[Skudrinka]

Wie gesagt, bin da nicht tief im Thema.
Aber was hat der Router damit zu tun, wenn ich eine lokale Domain aufrufen möchte?
Dafür verwende ich doch einen DNS für die Umschreibung.
Mit meiner Domain bei cloudflare habe ich nichts weiteres gemacht. Habe diese nur registriert und das Zertifikat für diese erstellen lassen.
Den token genommen, in nginx eingetragen und die IP von vaultwarden umschrieben.