Cloudflare DNS Proxy, Swag und Bitwarden - teilerfolg

[T65]

Hallo liebe Community,

 

ich versuche mich gerade daran, einen Reverse Proxy einzurichten, um auf meine gespeicherten Passwörter in Bitwarden zugreifen zu könnnen. Ich dachte das wird ein selbstläufer durch die guten Tutorials von "Spaceinvader One" aber irgendwie möchte es nicht funktionieren und jetzt wollte ich euch meine Vorgehensweise einmal erläutern und vielleicht findet jemand von euch einen Konfigurationsfehler meinerseits oder etwas anderes was ich vielleicht übersehen habe 🙂

 

ISP:

Vodafone (Unitymedia) mit DualStack

Fritzbox 6660 Cable

 

Tutorials:

1. Buying a Domain and Connecting it to Cloudflare for Use with your Home Server

2. Tracking your Dynamic ISP IP Address for use with your Home Server with Cloudflare DDNS & Duck DNS

3. How to Setup and Configure a Reverse Proxy on unRAID with LetsEncrypt (swag) & NGINX

4. How to Use DNS Verification with your Reverse Proxy & use a Wildcard SSL Certificate (optional)

5. Easily Setup a Bitwarden Server on Unraid or a VPS for Password Management

 

Konfiguration:

Fritzbox Freigaben:

- Bezeichnung(en): HTTP/HTTPS-Server

- Protokoll: TCP

- IP-Adresse im Internet: IPv4

- Port(s) an Gerät: 180/1443 bis Port 180/1443

- Port(s) extern gewünscht: 80/443

 

Unraid Docker Settings:

- Preserve user defined networks: Yes

 

Cloudflare DNS Verwaltung:

- A, dynamic, WAN-IP

- CNAME, bitwarden, dynamic.xxx.de

- MX, xxx.de, mail.xxx.de

 

Cloudflare DDNS:

- Network Type: Bridge

- API Key: xxx

- Domain: xxx.de

- Subdomain: dynamic

- Cloudflare Proxy: true

- IPv6/IPv4 records: A

 

Quote

[s6-init] making user provided files available at /var/run/s6/etc...exited 0.
[s6-init] ensuring user provided files have correct perms...exited 0.
[fix-attrs.d] applying ownership & permissions fixes...
[fix-attrs.d] done.
[cont-init.d] executing container initialization scripts...
[cont-init.d] 30-cloudflare-setup: executing...
DNS Zone: xxx.de
DNS Record: dynamic.xxx.de
[cont-init.d] 30-cloudflare-setup: exited 0.
[cont-init.d] 50-ddns: executing...
No DNS update required for dynamic.xxx.de (XXX.XXX.XXX.XXX).
[cont-init.d] 50-ddns: exited 0.
[cont-init.d] done.
[services.d] starting services
Starting crond...
crond: crond (busybox 1.31.1) started, log level 6
[services.d] done.

 

 

swag:

Network Type: proxynet

http: 180

https: 1443

Email: xxx

Domain Name: xxx.de

Subdomain(s): bitwarden

Only Subdomains: true

Validation: http oder dns

DNS-Plugin: cloudflare (wenn Validation == dns)*

 

*/.../appdata/swag/dns-conf/cloudflare.ini -> API Key einfügen und Email abändern.

 

Quote

**** This may be due to user customization or an update to the samples. ****
**** You should compare them to the samples in the same folder to make sure you have the latest updates. ****
/config/nginx/proxy-confs/bitwarden.subdomain.conf

[cont-init.d] 70-templates: exited 0.
[cont-init.d] 99-custom-files: executing...
[custom-init] no custom files found exiting...
[cont-init.d] 99-custom-files: exited 0.
[cont-init.d] done.
[services.d] starting services
[services.d] done.
Server ready

 

Quote

resolver 127.0.0.11 valid=30s;
upstream bitwarden {
    server bitwardenrs:80;
}

server {
    listen 443 ssl;
    server_name bitwarden.*;
    include /config/nginx/ssl.conf;
  client_max_body_size 128M;

  location / {
   proxy_pass http://bitwarden;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
  }
 
  location /notifications/hub {
   proxy_pass http://bitwarden;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
  }
 
  location /notifications/hub/negotiate {
    proxy_pass http://bitwarden;
  }
}

 

 

bitwardenrs:

Network Type: proxynet

 

 

Naja, das war mehr oder weniger meine vorgenommene Konfiguration aus den Videos. Keine erkennbaren Abweichungen und wenn ich das ganze Teste, dann erhalte ich bei Firefox die Meldung: Fehler: Umleitungsfehler und bei Edge: ERR_TOO_MANY_REDIRECTS.

 

Hab ich irgendetwas übersehen oder eine falsche Konfiguration vorgenommen? Wenn jemandem etwas aufgefallen ist, würde ich mich freuen, wenn wir zusammen das Problem beheben könnten 🙂

 

Ein dickes Dankeschön schonmal vorab.

T65

Edited May 20, 2021 by T65

[mgutt]

Ein Proxy leitet nicht um, daher tippe ich auf den Bitwarden Container.

 

Musst du da evtl die Domains hinterlegen über die ein Zugriff möglich sein darf? Hast du den Container auch mal über ein anderes Network zb Host einfach mal getestet?

[Anym001]

Was du auch noch probieren könntest (Port ergänzen): 

 

proxy_pass http://bitwarden:PORT;

ODER 

proxy_pass http://IP:PORT;

[mgutt]

Außerdem mal die Konsole von SWAG öffnen und schauen ob "ping -c 4 bitwarden" bzw "curl bitwarden:PORT" geht.

[T65]

Hallo und vielen Dank für die Vorschläge und Hilfestellung,

 

als erstes habe ich gestern noch einen Portscan durchgeführt und mal geschaut ob der Port 80 bzw. 443 überhaupt geöffnet werden und das richtig an der Fritte konfiguriert wurde. Portscan verlief positiv.

 

mgutt:

- Musst du da evtl die Domains hinterlegen über die ein Zugriff möglich sein darf? Nicht das ich wüsste.

- Hast du den Container auch mal über ein anderes Network zb Host einfach mal getestet? Container erreiche über das interne Netz problemlos.

 

Anym001:

- proxy_pass http://bitwarden:PORT; oder proxy_pass http://IP:PORT; Hat leider nicht geholfen.

 

So, habe mich jetzt noch einmal hingesetzt, alles gelöscht und alles nochmal "Schritt für Schritt" installiert. Dabei habe ich einmal die Variante 1 "swag + duchdns + vaultwarden" hinzu genommen und die Variante 2 "swag + cloudflare (dns verification) + vaultwarden" ausprobiert. Um diverse Konfigurationen/Anbieter auszuschließen und den Fehler zu begrenzen ... mit Teilerfolg.

 

Variante 1 hat erstaunlicherweise sofort funktioniert.

Variante 2 hat nicht funktioniert und wirft bei mir den Fehler 523 und die entsprechende Cloudflare-Maske.

 

Wenn man die Beschreibung so ließt, liegt es wohl an den DNS-Einstellungen, die bei mir lauten:

A, dynamic, WANIP, Auto, Mit Proxy

CNAME, www, xxx.de, Auto, Mit Proxy

CNAME, bitwarden, dynamic.xxx.de, Auto, Mit Proxy,

MX, xxx.de, mail.xxx.de, Auto, Nur DNS

 

Habe ich einen Eintrag vergessen, der Essentiell ist?

 

P.S.: Außerdem mal die Konsole von SWAG öffnen und schauen ob "ping -c 4 bitwarden" bzw "curl bitwarden:PORT" geht. Werde ich auch gleich noch testen.

 

 

Sobald ich eure Tipps und Vorschläge ausprobiert oder vielleicht etwas neues herausfunden habe, melde ich mich unverzüglich.

 

Viele Grüße,

T65

[T65]

Hallo,

 

habe gestern noch lange an den DNS Einstellungen getestet und dazu versucht nähere Informationen zu finden, warum und weshalb. Wie ich bereits schrieb, funktionierte Variante 1 sofort und nur mit Variante 2 gab es Probleme.

 

Wenn ich den Cloudflare DNS Proxy für den "bitwarden" CNAME entferne, wird die Adresse "richtig" aufgelöst und ich kann darauf zugreifen (mit Firefox und Edge). Ich hab dann mal einen A-Record mit eingeschaltetem Proxy auf die WAN-IP zeigen lassen aber auch das funktionierte nicht. Zum testen dann einfach mal den Proxy wieder deaktiviert, brachte mich auf die Bitwarden Anmeldemaske (nur mit Firefox, Edge wollte nicht). Bin nun wieder zu den alten DNS Einstellungen (diesmal mit ausgeschaltetem Proxy für CNAME bitwarden) zurück.

 

mgutt:

- ping -c 4 bitwarden

    ping: bad address 'bitwarden'

- curl bitwarden:PORT

    curl: (6) Could not resolve host: bitwarden

 

Nichtsdestotrotz, werde ich die Angelegenheit weiterverfolgen und mit diesem Teilerfolg für den Moment leben. Falls jemand noch einen Tipp hat, bin ich bereit das gerne zu testen werde auch mal im englisch sprachigem Forum nachfragen, ob dort jemand Erfahrungen mit Cloudflare DNS Proxy gesammelt und bereits eine Lösung gefunden hat.

 

Vielen Dank an euch: mgutt und Anym001

[mgutt]

Wenn du "bitwarden" vom Proxy aus nicht anpingen kannst, dann kannst du auch einen Proxy Forward dahin machen. Dann nimm lieber die IP Adresse des bitwarden Containers.