Probleme mit Reverse Proxy

EricM · September 10, 2022

Liebe Leute,

Ich habe wiedermal ein Problem mit dem ich mich an euch wende, ich hoffe es kann mir jemand helfen.

Alles beginnt mit dem Wechsel meines Internetanbieters (Von Magenta zu Educom). Auf meinem Unraid Server läuft ein Reverse Proxy (Swag) über den ich mit Subdomains meine Docker Nextcloud, Jitsi, Bitwarden, Rockechat aus dem Internet erreichen kann. Seit ich aber meinen Internetanbieter gewechselt habe funktioniert des alles nicht mehr.

Nach langer Suche des Problems bin ich nun auf folgendes gestoßen. Auf der Konfigurationsseite meines Routers ist eine andere WAN-IP Adresse ersichtlich wie mein DuckDNS oder eine Internetrecherche anzeigt.

Auf der Konfigurationswebsite des Routers

wird mir die WAN-IP: 10.21.***.*** angezeigt.

DuckDns zeigt mir die WAN-IP: 45.156.***.***

What is my IP zeigt mir die WAN-IP: 45.156.***.***

Eine weitere Recherche zeigt, dass die WAN-IP die mein Router anzeigt, eine lokale IP Adresse ist. Ich habe bezüglich meines Problems bereits mehrmals mit dem Kundenservice Kontakt aufgenommen, hier aber keine Hilfe erhalten, da sich niemand auszukennen scheint, daher hoffe ich auf eure Hilfe.

Ich habe auch ein paar Traceroutes angefügt, die WAN-IP die ich laut What is my IP habe scheint hier aber in keinster Weise auf.

Tracerout zu der WAN-IP die durch What is my IP und DuckDNS angezeigt wird:

C:\Users\Eric>tracert 45.156.***.***

Routenverfolgung zu 45.156.***.*** über maximal 30 Hops

  1     2 ms     2 ms     1 ms  192.168.0.1
  2     5 ms     5 ms     4 ms  10.21.***.***
  3     *        *        *     Zeitüberschreitung der Anforderung.
  4     *        *        *     Zeitüberschreitung der Anforderung.
  5     *        *        *     Zeitüberschreitung der Anforderung.
  6     *        *        *     Zeitüberschreitung der Anforderung.
  7     *        *        *     Zeitüberschreitung der Anforderung.
  8     *        *        *     Zeitüberschreitung der Anforderung.
  9     *        *        *     Zeitüberschreitung der Anforderung.
 10     *        *        *     Zeitüberschreitung der Anforderung.
 11     *        *        *     Zeitüberschreitung der Anforderung.
 12     *        *        *     Zeitüberschreitung der Anforderung.
 13     *        *        *     Zeitüberschreitung der Anforderung.
 14     *        *        *     Zeitüberschreitung der Anforderung.
 15  ^C

Traceroute zu der WAN-IP die ich laut meinem Router habe:

C:\Users\Eric>tracert 10.21.***.***

Routenverfolgung zu Archer_C7 [10.21.***.***]
über maximal 30 Hops:

  1     1 ms     1 ms     1 ms  Archer_C7 [10.21.***.***]

Ablaufverfolgung beendet.

Traceroute zu www.google.com:

C:\Users\Eric>tracert google.com

Routenverfolgung zu google.com [172.217.18.110]
über maximal 30 Hops:

  1     2 ms     1 ms     1 ms  192.168.0.1
  2    22 ms    18 ms     5 ms  10.21.***.***
  3     *        *        *     Zeitüberschreitung der Anforderung.
  4    29 ms    33 ms    32 ms  10.213.***.***
  5     *        *        *     Zeitüberschreitung der Anforderung.
  6    28 ms    27 ms    30 ms  185.39.172.4
  7    31 ms    24 ms    46 ms  et-7-0-8-0.edge3.Vienna1.Level3.net [212.133.7.221]
  8    37 ms    40 ms    38 ms  ae2.3101.bar1.Budapest1.level3.net [4.69.201.150]
  9    40 ms    30 ms    38 ms  72.14.243.192
 10    50 ms    27 ms    25 ms  74.125.242.230
 11    42 ms    43 ms    39 ms  216.239.43.209
 12    46 ms    31 ms    36 ms  209.85.252.215
 13    49 ms    45 ms    38 ms  108.170.252.65
 14    58 ms    35 ms    35 ms  209.85.241.75
 15    58 ms    42 ms    38 ms  fra16s42-in-f14.1e100.net [172.217.18.110]

Ablaufverfolgung beendet.

Ich bin am verzweifeln, ich hoffe ihr könnt helfen. Vielen Dank.

LG,
Eric

cz13 · September 10, 2022

Hört sich danach an, als ob du keine echte öffentliche IPv4 Adresse bekommst. Stichwort DS lite oder LTE-Tarif.

EricM · September 10, 2022

22 minutes ago, cz13 said:

Hört sich danach an, als ob du keine echte öffentliche IPv4 Adresse bekommst. Stichwort DS lite oder LTE-Tarif.

Klingt logisch, aber wie kann ich das ändern?

jj1987 · September 10, 2022

Explizit bei deinem Provider anfordern. Macht aber nicht jeder, und die die das machen lassen sich das teilweise extra bezahlen

EricM · September 10, 2022

54 minutes ago, jj1987 said:

Explizit bei deinem Provider anfordern. Macht aber nicht jeder, und die die das machen lassen sich das teilweise extra bezahlen

ok, dann werde ich da nochmal anrufen... Gibts ne andere Möglichkeit?

Danke dir auf jeden Fall. :)

alturismo · September 10, 2022

2 hours ago, EricM said:

Gibts ne andere Möglichkeit?

gäbe es, Tunnel über einen VPS per SSH, FRP, ... wäre aber eine zusätzliche Strecke/Station dazwischen und etwas Konfigurationsaufwand, ebenso ein paar kleine Limits für fail2ban etc da die externe IP nicht direct gegriffen wird, usw usw ... schau erstmal ob dein Provider Dir eine öffentliche ipv4 geben kann.

MAM59 · September 11, 2022

Also mit einem so kastrierten Anschluß ist gar nichts möglich, auch ein Tunnel würde nicht wirklich stabil funktionieren (die "richtige" WAN IP kann sich sekündlich ändern, das macht kein Tunnelanbieter mit).

Der Providerwechsel war ein echter Griff ins Klo.

Hast Du wenigstens noch IP-V6 dazubekommen? Damit wäre der Zugang dann doch wieder möglich, auch wenn die meisten Mobilfunkprovider damit noch arg hinterherhängen und auch die Festanschlüsse häufig noch nicht darauf hochgerüstet sind.

alturismo · September 11, 2022

4 hours ago, MAM59 said:

auch ein Tunnel würde nicht wirklich stabil funktionieren (die "richtige" WAN IP kann sich sekündlich ändern, das macht kein Tunnelanbieter mit).

das hab ich so noch nie gehört, ist ja eine gängige Praxis mittlerweile ...

ich nutze auch einen als Fallback (LTE) wenn mein Kabel mal ausfallen sollte ... und meine VPS IP ist sogar anscheinend statisch ...

oder ist der besagte Provider "speziell" ? nur interessehalber

mgutt · September 11, 2022

5 hours ago, MAM59 said:

Hast Du wenigstens noch IP-V6 dazubekommen?

Genau die nutzt ja der Tunnel. Machen zig User hier bereits so.

MAM59 · September 11, 2022

18 minutes ago, mgutt said:

Genau die nutzt ja der Tunnel. Machen zig User hier bereits so.

Ihr geht immer von Dingen in eurer Nähe aus. Er hat bislang noch keinen Ton von IP-V6 verlautet, deshalb ist "DSLITE" einfach nur geraten. Es kann genausogut ein Provider sein, der nur einen ganz kleinen Adressbereich hat und deshalb seinen Kunden nur einen Squid Proxy mit dem 10er Netz (und abgehend ein paar V4 Adressen) verkauft.

Da ist dann nix mit ankommendem Traffic und es können auch die abgehenden Verbindungen zeitlich begrenzt sein (keine langen Downloads möglich usw.)

Zudem kann da noch ein Firewall mit Deep Packet Inspection am Werk sein, der Protokoll 41 (aka "Tunnel") sofort im Keim erstickt.

Es gibt reichlich Möglichkeiten und man kann nicht von einem Provider auf einen anderen schließen.

Es wäre recht blauäugig, ohne mehr Details irgendwelche Ratschläge zu geben.

Er scheint ja in Österreich zu sein, da hilft deutsches Wissen gar nicht weiter. Zumal es noch ein Mobilfunktarif ist, da würde ich schon gar nicht erst von einem "Internetanschluß" reden, das ist eine reine Surf- und Streamklitsche.

Also, da KANN alles sein, MUSS gar nix.

EricM · September 11, 2022

13 hours ago, alturismo said:

gäbe es, Tunnel über einen VPS per SSH, FRP, ... wäre aber eine zusätzliche Strecke/Station dazwischen und etwas Konfigurationsaufwand, ebenso ein paar kleine Limits für fail2ban etc da die externe IP nicht direct gegriffen wird, usw usw ... schau erstmal ob dein Provider Dir eine öffentliche ipv4 geben kann.

Wie gesagt, werde da erstmal anrufen. Der erste Satz ist mir auf jedenfall zu hoch, da müsste ich mich dann erst einlesen um hier was mitreden zu können.

5 hours ago, MAM59 said:

Also mit einem so kastrierten Anschluß ist gar nichts möglich, auch ein Tunnel würde nicht wirklich stabil funktionieren (die "richtige" WAN IP kann sich sekündlich ändern, das macht kein Tunnelanbieter mit).

Der Providerwechsel war ein echter Griff ins Klo.

Hast Du wenigstens noch IP-V6 dazubekommen? Damit wäre der Zugang dann doch wieder möglich, auch wenn die meisten Mobilfunkprovider damit noch arg hinterherhängen und auch die Festanschlüsse häufig noch nicht darauf hochgerüstet sind.

Das kann ich dir nicht sagen ob ich IP-V6 dazu bekommen habe, aber das werde ich ebenfalls beim Telefonat in Erfahrung bringen. Oder kann ich das so irgendwie auch feststellen.

Der Providerwechsel war insofern kein Griff ins Klo, da ich bei Magenta für 250MBit/s bezahlt habe aber immer nur so 20MBit/s bekommen habe (Sogar übers 5G Mobilfunknetz, haben keinen Kabelanschluss). Gezahlt habe ich dafür enorme Preise. Bei Educom bekomm ich die 250MBit/s zu jeder Zeit raus, und bezahl dafür auch noch einen Bruchteil wie bei Magenta. Also daher kann ich mich leider nur teilweise beschweren, es ist halt extrem ärgerlich dass das nun alles nicht mehr funkt.

1 hour ago, alturismo said:

das hab ich so noch nie gehört, ist ja eine gängige Praxis mittlerweile ...

ich nutze auch einen als Fallback (LTE) wenn mein Kabel mal ausfallen sollte ... und meine VPS IP ist sogar anscheinend statisch ...

oder ist der besagte Provider "speziell" ? nur interessehalber

Auch hier habe ich wenig dunst von "Fallback (LTE)" usw.

Der Provider ist halt um einiges günstiger und liefert das wofür ich bezahle.

10 minutes ago, MAM59 said:

Ihr geht immer von Dingen in eurer Nähe aus. Er hat bislang noch keinen Ton von IP-V6 verlautet, deshalb ist "DSLITE" einfach nur geraten. Es kann genausogut ein Provider sein, der nur einen ganz kleinen Adressbereich hat und deshalb seinen Kunden nur einen Squid Proxy mit dem 10er Netz (und abgehend ein paar V4 Adressen) verkauft.

Da ist dann nix mit ankommendem Traffic und es können auch die abgehenden Verbindungen zeitlich begrenzt sein (keine langen Downloads möglich usw.)

Zudem kann da noch ein Firewall mit Deep Packet Inspection am Werk sein, der Protokoll 41 (aka "Tunnel") sofort im Keim erstickt.

Es gibt reichlich Möglichkeiten und man kann nicht von einem Provider auf einen anderen schließen.

Es wäre recht blauäugig, ohne mehr Details irgendwelche Ratschläge zu geben.

Er scheint ja in Österreich zu sein, da hilft deutsches Wissen gar nicht weiter. Zumal es noch ein Mobilfunktarif ist, da würde ich schon gar nicht erst von einem "Internetanschluß" reden, das ist eine reine Surf- und Streamklitsche.

Also, da KANN alles sein, MUSS gar nix.

Da kann ich dir denke ich zustimmen, ich denke nicht das der Provider allzugroß, bzw. allzu bekannt ist.

Und ja ich wohne in Österreich, und der Vertrag läuft über das 5G Mobilfunknetz, wie gesagt wir haben keinen Kabelanschluss.

Ich würde euch gerne mehr mitteilen, aber ich habe keine Ahnung welche Informationen ihr brauchen könntete usw. Ich selbst bin einfach aufgeschmissen wenn es um so fortgeschrittene Netzwerktechnik geht.

LG und danke euch allen,

Eric

EricM · September 11, 2022

UPDATE:

Ich habe nun in einem weiteren Forum herausgefunden, dass laut EU-Recht jeder Nutzer Anrecht auf eine öffentliche IP-V4 Adresse hat, und dementsprechend einen einen Antrag auf eine solche bei Educom eingereicht.

Mal schauen was da rauskommt und ob dann hoffentlich wieder alles funktioniert.

Entnommen habe ich das diesen Infoquellen (Ich hoffe damit verstoße ich nicht gegen irgendwelche Community Richtlinien):

https://www.lteforum.at/mobilfunk/educom-oeffentliche-ip-mittlerweile-moeglich.10171/

https://www.rtr.at/TKP/was_wir_tun/telekommunikation/konsumentenservice/faq/FAQ_oeffentliche_IP-adresse.de.html

https://eur-lex.europa.eu/eli/reg/2015/2120/oj

mgutt · September 11, 2022

41 minutes ago, MAM59 said:

Ihr geht immer von Dingen in eurer Nähe aus

Ja IPv6 ist so ein lokales Ding aus Deutschland. Sorry, aber kannst du echt nur trollen und negativ sein. Ist ja grausam.

MAM59 · September 11, 2022

27 minutes ago, mgutt said:

Sorry, aber kannst du echt nur trollen und negativ sein. Ist ja grausam.

Nein, nur Du machst Dir keinerlei Mühe, die Hintergründe zu eruieren. Google könnte sowas von Dein Freund werden.

39 minutes ago, mgutt said:

Ja IPv6 ist so ein lokales Ding aus Deutschland

LOL, mein V6 kommt aus der San Francisco Bay Area 🙂 kannste anhand der Adresse checken.

MAM59 · September 11, 2022

55 minutes ago, EricM said:

Mal schauen was da rauskommt und ob dann hoffentlich wieder alles funktioniert.

DAS sieht erfolgversprechend aus.

allerdings kenne ich kein "Recht auf eine öffentliche IP Adresse", das wäre auch heute gar nicht mehr machbar. Alle, früher sehr freizügig vergebenen, Adressbereiche wurden soweit möglich wieder eingezogen und anderweitig zugeteilt. Ich hab mich auch vor ein paar Jahren von einem Großteil meiner Netze getrennt (freiwillig, bin in Rente, brauchte sie nicht mehr, aber RIPE war glücklich 🙂 ).

Inzwischen gibt es nur noch hömeopathische Dosen, so Blöcke mit 4 oder 8 Adressen (FÜR DIE FIRMEN!!!)

Dein Educom hat sich bei einem anderen Provider eingemietet (aufgrund der von Dir angegebenene Adresse habe ich eine Vermutung, aber Du hast ein paar *** zuviel gemacht, da kann man nur raten. Es schwankt zwischen Moskau und Wien 🙂 ), von denen bekommen sie einen Pool ausgeliehen.

Üblicherweise verwenden sie diesen Pool für ihre Proxyserver, da gehen dann ein paar tausend Kunden über die eine Adresse, so wie Du im Moment. Man kann den Kunden aber auch gnädigerweise eine eigene Adresse aus dem Pool zuweisen. Das liegt im Ermessen von Educom.

Es ist aber schon unüblich, den Kunden NUR diesen Proxy vorzusetzen. Das KANN so gewünscht sein (z.B. wenn Educom einen Auftrag der Behörden für eine billige Schulinfrastruktur hat), da es ein Sicherheitsfeature ist (wie Du leider nun merkst, geht damit nicht viel, von aussen bis Du nicht angreifbar).

Aber meistens wird noch zusätzlich das IP-V6 Protokoll freigeschaltet, dort kriegt jeder ein öffentliches Netz, das auch erreichbar ist. Allerdings muss man damit etwas umdenken und Sachen etwas anders machen, deshalb sollten wir erstmal rausfinden, ob Du sowas hast.

Am einfachsten geht das mit einem Windows Rechner im LAN. Mach da eine Kommandozeile auf, gibt "ipconfig /all" ein und guck Dir die Ausgabe an.

Wenn da so Zeilen stehen wie:

IPv6-Adresse. . . . . . . . . . . : 2001:470:***:1::bdd(Bevorzugt)

oder auch

IPv6-Adresse. . . . . . . . . . . : 2001:470:***:1:4c81:245b:16f7:824f(Bevorzugt)
Temporäre IPv6-Adresse. . . . . . : 2001:470:***:1:78d8:2971:429e:8d08(Bevorzugt)

dann siehts gut aus.

Allerdings so ein einsamer Eintrag wie
Verbindungslokale IPv6-Adresse . : fe80::4c81:245b:16f7:824f%3(Bevorzugt)

bringt gar nix. Die funktioniert nur lokal.

Einfach zu merken: fangen die Adressen mit 2000 bis 7FFF an, sind sie global und wir können weiterdenken.

UNRAID kann da auch mitspielen, wenn Du in den Netzwerk Einstellungen als Netzwerkprotokoll "IPV4+IPV6" einstellst und bei IPV6 Adressvergabe "dynamisch", sollten nach Drücken von "anwenden" eventuell auch V6 Adressen angezeigt werden. Aber das dauert länger, ist komplizierter und unterbricht den Betrieb. Also, wenn irgendwo ne Windows Kiste rumhängt, ist das der einfachere Weg.

Paralell kannst Du ja bei Educom betteln gehen (hier klappt das manchmal bei Vodafon Kabel. Wenn man an den Richtigen kommt. Aber garantiert ist da wenig, ausser für "Altkunden")

EricM · September 14, 2022

Hab leider keine IP-V6 Adresse zugewiesen bekommen. Hab aber nach einer erneuten Recherche nun ein Antragsformular für eine öffentlich IP Adresse gefunden das ich Ihnen geschickt habe. Habe auch gleich am nächsten Tag die Bestätigung bekommen das meine öffentliche IP freigeschalten wurde. Laut Router und Modem bekomme ich aber immer noch eine Private IP Adresse und stehe nun schon wieder den 2 Tag in Folge mit dem Kundenservice in Kontakt, die mir aber die ganze Zeit nichts anders sagen als das die IP eh schon freigeschaltet wurde.

Zu früh gefreut als ich nicht mal 24h nach der Einreichung des Antrags schon die Bestätigung bekommen habe das es nun funktioniert.

Hat von euch vielleicht wer eine Ahnung woran das liegen könnte? Irgendeine Router Einstellung zB? (Hab nen TP Link Archer C7). Den APN habe ich schon laut Kundenservice geändert.

mgutt · September 16, 2022

Da wird dir nur der Kundenservice weiterhelfen können, wenn du nicht gerade was über die Suchmaschine findest.

EricM · October 5, 2022

So liebe Leute:

Ich habe nun endlich von meinem Internetanbieter eine öffentliche IP Adresse bekommen, aber jetzt funzt der certbot herum und ich bekomm den Reverse Proxy nicht mehr zum Laufen.

Das sind die Logs von Swag:

cont-init: info: /etc/cont-init.d/10-adduser exited 0
cont-init: info: running /etc/cont-init.d/11-folders
cont-init: info: /etc/cont-init.d/11-folders exited 0
cont-init: info: running /etc/cont-init.d/12-samples
cont-init: info: /etc/cont-init.d/12-samples exited 0
cont-init: info: running /etc/cont-init.d/13-nginx
cont-init: info: /etc/cont-init.d/13-nginx exited 0
cont-init: info: running /etc/cont-init.d/14-php
cont-init: info: /etc/cont-init.d/14-php exited 0
cont-init: info: running /etc/cont-init.d/15-keygen
Generating a RSA private key
...............................+++++
...........................................................+++++
writing new private key to '/config/keys/cert.key'
req: Can't open "/config/keys/cert.key" for writing, No such file or directory
cont-init: info: /etc/cont-init.d/15-keygen exited 1
cont-init: info: running /etc/cont-init.d/20-permissions
cont-init: info: /etc/cont-init.d/20-permissions exited 0
cont-init: info: running /etc/cont-init.d/30-test-run
cont-init: info: /etc/cont-init.d/30-test-run exited 0
cont-init: info: running /etc/cont-init.d/31-require-url
cont-init: info: /etc/cont-init.d/31-require-url exited 0
cont-init: info: running /etc/cont-init.d/40-folders
cont-init: info: /etc/cont-init.d/40-folders exited 0
cont-init: info: running /etc/cont-init.d/41-samples
cont-init: info: /etc/cont-init.d/41-samples exited 0
cont-init: info: running /etc/cont-init.d/42-fail2ban
cont-init: info: /etc/cont-init.d/42-fail2ban exited 0
cont-init: info: running /etc/cont-init.d/43-crontabs
cont-init: info: /etc/cont-init.d/43-crontabs exited 0
cont-init: info: running /etc/cont-init.d/45-nginx
cont-init: info: /etc/cont-init.d/45-nginx exited 0
cont-init: info: running /etc/cont-init.d/50-certbot
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Some challenges have failed.
Ask for help or search for solutions at https://community.letsencrypt.org. See the logfile /var/log/letsencrypt/letsencrypt.log or re-run Certbot with -v for more details.

User uid:    99
User gid:    100
-------------------------------------

generating self-signed keys in /config/keys, you can replace these with your own keys if required
Variables set:
PUID=99
PGID=100
TZ=Europe/Berlin
URL=MEINE.DOMAIN
SUBDOMAINS=nextcloud,onlyoffice,bitwarden,rocketchat,jitsi
EXTRA_DOMAINS=
ONLY_SUBDOMAINS=true
VALIDATION=http
CERTPROVIDER=
DNSPLUGIN=
EMAIL=MEINE.EMAIL
STAGING=false

Using Let's Encrypt as the cert provider
SUBDOMAINS entered, processing
SUBDOMAINS entered, processing
Only subdomains, no URL in cert
Sub-domains processed are:  -d nextcloud.MEINE.DOMAIN -d onlyoffice.MEINE.DOMAIN -d bitwarden.MEINE.DOMAIN -d rocketchat.MEINE.DOMAIN -d jitsi.MEINE.DOMAIN
E-mail address entered: MEINE:EMAIL
http validation is selected
Generating new certificate
Requesting a certificate for nextcloud.MEINE.DOMAIN and 4 more domains

Certbot failed to authenticate some domains (authenticator: standalone). The Certificate Authority reported these problems:
  Domain: bitwarden.MEINE.DOMAIN
  Type:   connection
  Detail: 45.156.XXX.XXX: Fetching http://bitwarden.MEINE.DOMAIN/.well-known/acme-challenge/NhrlnKzcr8l3sHwZ5v8MX0I3UoSxE8Lk6g1g_-h4UuA: Timeout during connect (likely firewall problem)

  Domain: jitsi.MEINE.DOMAIN
  Type:   connection
  Detail: 45.156.XXX.XXX: Fetching http://jitsi.MEINE.DOMAIN/.well-known/acme-challenge/-0gyFgLABuxh-uo-rY1M5WXfY3T7tEK3F69lMDz0jyE: Timeout during connect (likely firewall problem)

  Domain: nextcloud.MEINE.DOMAIN
  Type:   connection
  Detail: 45.156.XXX.XXX: Fetching http://nextcloud.MEINE.DOMAIN/.well-known/acme-challenge/uiI0az2NIRqTSIjwosRhfFXzOTqa9nGVksPHLcVUs1w: Timeout during connect (likely firewall problem)

  Domain: onlyoffice.MEINE.DOMAIN
  Type:   connection
  Detail: 45.156.XXX.XXX: Fetching http://onlyoffice.MEINE.DOMAIN/.well-known/acme-challenge/mpJnzvqhRw8msoqDKvfpjYJafiYuuc-AiqyAnwnykPA: Timeout during connect (likely firewall problem)

  Domain: rocketchat.MEINE.DOMAIN
  Type:   connection
  Detail: 45.156.XXX.XXX: Fetching http://rocketchat.MEINE.DOMAIN/.well-known/acme-challenge/RdR08hUEb7dVpigojZVWxFQ_5sXJYpqKEbNU-r5-qMI: Timeout during connect (likely firewall problem)

Hint: The Certificate Authority failed to download the challenge files from the temporary standalone webserver started by Certbot on port 80. Ensure that the listed domains point to this machine and that it can accept inbound connections from the internet.

ERROR: Cert does not exist! Please see the validation error above. The issue may be due to incorrect dns or port forwarding settings. Please fix your settings and recreate the container

mgutt · October 5, 2022

3 hours ago, EricM said:

problems:
  Domain: bitwarden.MEINE.DOMAIN
  Type:   connection
  Detail: 45.156.XXX.XXX: Fetching http://bitwarden.MEINE.DOMAIN/.well-known/acme-challenge/NhrlnKzcr8l3sHwZ5v8MX0I3UoSxE8Lk6g1g_-h4UuA: Timeout during connect (likely firewall problem)

Naja da steht ja das Problem. Der Cert Server kann die URL nicht aufrufen. Also Port 80 evtl zu? Stimmt überhaupt die IP?

EricM · October 5, 2022

9 hours ago, mgutt said:

Naja da steht ja das Problem. Der Cert Server kann die URL nicht aufrufen. Also Port 80 evtl zu? Stimmt überhaupt die IP?

Die IP stimmt ja. Wird mir im Modem, im Router und bei DuckDNS angezeigt.

Im Router sind auch die Ports weitergeleitet. Wenn ich aber z.B. online so einen Portchecker nutze zeigt mir der an das die Ports geschlossen sind...

mgutt · October 5, 2022

22 minutes ago, EricM said:

Im Router sind auch die Ports weitergeleitet. Wenn ich aber z.B. online so einen Portchecker nutze zeigt mir der an das die Ports geschlossen sind...

Also Port 80 ist im Router offen. Wohin leitet er denn? Hast du beim Port-Check die IPv4 verwendet oder die Domain? Nicht, dass bei DuckDNS eine IPv6 hinterlegt ist, die gar nicht auf den Proxy verweist und er stattdessen das prüft.

EricM · October 5, 2022

3 minutes ago, mgutt said:

Also Port 80 ist im Router offen. Wohin leitet er denn? Hast du beim Port-Check die IPv4 verwendet oder die Domain? Nicht, dass bei DuckDNS eine IPv6 hinterlegt ist, die gar nicht auf den Proxy verweist und er stattdessen das prüft.

Port 80 und 443 sind offen und zeigen je auf 1880 und 18443 auf die IP meines Servers. Beim Portchecker hab ich die WAN IP verwendet. Ich bekomme von meinem ISP gar keine IPv6 Adresse und habe IPv6 in meinem Netzwerk komplett deaktiviert.

Hätte auch schon bei meinen Domain Einstellungen geschaut, alle Subdomains zeigen aber mittels cname auf die DuckDNS Domain. Und so hats ja funktioniert bis ich meinen Internetanbieter gewechselt hab. Und ich könnt mich nicht erinnern irgendetwas deaktiviert zu haben oder sonstiges

mgutt · October 5, 2022

Und hast du jetzt die IPv4 getestet oder die Domain und ist bei DuckDNS wirklich nur die IPv4 hinterlegt?

EricM · October 6, 2022

Ich hab die IPv4 getestet, nicht die Domain. Und bei DuckDNS wird mir bei IPv6 auch nichts angezeigt, nur die IPv4

Patty92 · October 6, 2022

On 10/5/2022 at 8:48 AM, EricM said:

Das sind die Logs von Swag:

Hey @EricM

ich habe seit dem letzten Update vom swag auch Probleme, hatte aber noch keine Zeit das ganze zu prüfen.

Auf der Seite gibt es auch ein Hinweis zu dem neuen Update:

“05.10.22: - Use certbot file hooks instead of command line hooks“

https://docs.linuxserver.io/images/docker-swag

Probleme mit Reverse Proxy

Recommended Posts

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Link to comment

Join the conversation