Vaultwarden und das Thema HTTPS

[VK28.01]

53 minutes ago, mgutt said:

Natürlich. Du willst ja die Subdomain lokal mit https aufrufen ohne einen Port öffnen zu müssen. Entsprechend muss die Subdomain bei NetCup die lokale IP von NPM besitzen. Außerdem muss NPM auf den Ports 80 (http) und 443 (https) lauschen.

 

Hinweis: zb die Fritz!Box erlaubt es nicht, wenn eine Domain eine lokale IP besitzt. In dem Fall musst du diese unter Netzwerkeinstellungen DNS Rebind Schutz eintragen (es reicht die Hauptdomain, dann sind auch alle Subdomains freigeschaltet).

Auch hier danke! Da tanke ich mich mal rein...

 

sorry für die Schwerfälligkeit, aber das ist nicht gerade mein Home turf. Aber verstehe mehr...

[VK28.01]

Ich versuche mal den Stand zu beschreiben.

 

Als ich den DNS-Rebind in der Fritz!Box eingetragen hab (war nicht sicher, ob und welche Variation ich brauche), habe ich gesehen, das der NPM auf der 192.168.0.2 läuft.

Der Aufruf der URL führt auf die "Congratulation" Seite des NPM:

Hier die Rebind Einträge; wie schon geschrieben, in Variationen

 

 

In Netcup habe ich dann für "meinedomain.de" die DNS-Einstellungen beim Host "*" und "@"auf die lokale IP-Adresse des NPM gelegt (192.168.0.2)

Ich habe in Netcup keine Möglichkeit gefunden, den DNS nur für die Subdomain "bit.meinedomain.de" zu setzen.

 

 

In NG sieht es dann wie folgt aus, wobei die 192.168.0.125 die Adresse von Vaulwarden inkl. zugehörigem Port ist. Wieder in ein paar Varianten...

 

Das via DNS Challenge (mit den Netcup Daten) erzeugte Zertifikat für "bit.meinedomain.de"

 

und zu guter letzt der PiHole Eintrag von "bit.meinedomain.de" auf die IP des NPM 192.168.0.2

 

In Summe tut sich hier nix. Wo ist der Denkfehler?

 

THX

Edited December 16, 2022 by VK28.01

[Archonw]

wenn du hier auf bit.meinedomain.de klicks was kommt dann?

Erhälst du irgendeine Fehlermeldung im Browser?

[VK28.01]

Uhhhhh, einen Schritt weiter.

Klicke ich im NPM hierauf:

lande ich auf der Seite von Vaultwarden und ich kann einen Tresor anlegen, das Zertifikat wird durchgereicht.

 

Allerdings, rufe ich Vaultwarden über Docker/Webui auf, habe ich wieder eine ungesicherte Verbindung....MY BRAIN HURTS

 

 

[VK28.01]

8 minutes ago, Archonw said:

wenn du hier auf bit.meinedomain.de klicks was kommt dann?

Erhälst du irgendeine Fehlermeldung im Browser?

 

Folgende Fehlermeldung:

[Archonw]

Und wenn du http://192.168.0.125:4743 versuchs aufzurufen?

[VK28.01]

dann komme ich auf den Anmeldebildschirm von Vaultwarden, aber ungesichert.

[Archonw]

Das du über Unraid wieder den https Fehler bekommst ist klar, da du direkt über die ip auf Vaultwarden zugreifst und so nicht über den NPM gehst, der für das Zertifikat zuständig ist.

Wenn dann geht nur der Weg über die domian.

[Archonw]

Da ja www.deinedomain.de zu gehen scheint ist doch das Ziel erricht. Oder irre ich mich?

[VK28.01]

4 minutes ago, Archonw said:

Das du über Unraid wieder den https Fehler bekommst ist klar, da du direkt über die ip auf Vaultwarden zugreifst und so nicht über den NPM gehst, der für das Zertifikat zuständig ist.

Wenn dann geht nur der Weg über die domian.

Ah, macht Sinn klar!

[VK28.01]

4 minutes ago, Archonw said:

Da ja www.deinedomain.de zu gehen scheint ist doch das Ziel erricht. Oder irre ich mich?

Ja, vielleicht schon. Irgendwie traue ich dem Braten nicht so recht. Ich habe am die "www.bit.meinedomain.de" in Chrome gehauen und der moppest, das Zertifikat sei ungültig 😬

[VK28.01]

Da ist wohl noch irgendwo der Wurm drin. Wenn ich nun die Safari-Erweiterung nutzen und mich anmelden will, werde ich trotz korrekter email-Adresse und Masterpasswort abgelehnt, weil angeblich nicht korrekt. Versuche ich eine andere email Adresse, lande ich ganz einfach in der Erweiterung über den offiziellen bitwarden-Account.

 

Würde meinem Sohn sagen: "du bist auf einem guten Weg"...aber irgendwie noch nicht da und so recht verstanden hab ich das verhalten immer noch nicht.

[i-B4se]

1 hour ago, VK28.01 said:

Allerdings, rufe ich Vaultwarden über Docker/Webui auf, habe ich wieder eine ungesicherte Verbindung....MY BRAIN HURTS

Das geht auch nicht.

Dann rufst du ja wieder diene interne IP auf und darüber gibt es kein Zertifikat bzw. https

Wenn du Valtwarden nutzen/verwalten möchtest, dann geht das nur über die Domain.

[VK28.01]

Vielleicht von Interesse.

Die Extension muß auf die selbstgehostete Umgebung eingestellt werden. In meinem Fall muß dort "www.bit.meinedomain.de" eingetragen werden ->Zahnrad oben links bei ausgeklappter Bitwarden Extension.

[VK28.01]

2 minutes ago, i-B4se said:

Das geht auch nicht.

Dann rufst du ja wieder diene interne IP auf und darüber gibt es kein Zertifikat bzw. https

Wenn du Valtwarden nutzen/verwalten möchtest, dann geht das nur über die Domain.

Ja, danke! Zwischenzeitlich löst sich auch der Bodennebel auf. Wald, Bäume und so....

[mgutt]

8 minutes ago, VK28.01 said:

Hier die Rebind Einträge

Wie gesagt reicht die Domain

 

9 minutes ago, VK28.01 said:

Der Aufruf der URL führt auf die "Congratulation" Seite des NPM:

Welche URL?

 

9 minutes ago, VK28.01 said:

In Netcup habe ich dann für "meinedomain.de" die DNS-Einstellungen beim Host "*" und "@"auf die lokale IP-Adresse des NPM gelegt (192.168.0.2)

Ich habe in Netcup keine Möglichkeit gefunden, den DNS nur für die Subdomain "bit.meinedomain.de" zu setzen.

Kannst du keine Einträge hinzufügen? Wäre ein A-Record, aber Stern geht auch.

 

Prüfe mit folgendem Befehl:

 

dig bit.deinedomain.de +short

 

Das muss deine lokale IP von NPM zurückgeben.

 

Bedenke, dass die TTL 86400 Sekunden beträgt. Dh bis zu 24 Stunden braucht die Änderung bis sie greift.

 

2 hours ago, VK28.01 said:

Wieder in ein paar Varianten...

sub.example.com kein https und kein www davor. Außer du willst über www öffnen. Also Rest wieder löschen.

 

 

 

 

[mgutt]

3 minutes ago, VK28.01 said:

www.bit.meinedomain.de

Willst du das so Banane aufmachen? Nein, also weg damit. 

[mgutt]

1 hour ago, VK28.01 said:

und der moppest, das Zertifikat sei ungültig 

Ja weil du das Zertifikat für bit.example.com beantragt hast und nun für eine andere Domain www.bit.example.com benutzt. In deiner Zertifikatsliste gibt es ja schließlich nur ein Zertifikat. Du kannst nicht für "bit.example.com" ein Zertifikat bestellen und das dann für "www.bit.example.com" benutzen. Jede Domain braucht ihr eigenes.

[VK28.01]

11 minutes ago, mgutt said:

2 hours ago, VK28.01 said:

Hier die Rebind Einträge

Wie gesagt reicht die Domain

 

Okay, korrigiert!

 

12 minutes ago, mgutt said:

2 hours ago, VK28.01 said:

Der Aufruf der URL führt auf die "Congratulation" Seite des NPM:

Welche URL?

Sorry, die IP 192.168.0.2.

16 minutes ago, mgutt said:

Prüfe mit folgendem Befehl:

 

dig bit.deinedomain.de +short

Hier kommt noch die 192.168.0.125 (IP des UNRAID) zurück. Die hatte ich bei Netcup eingetragen, bevor ich auf die 192.168.0.2 des NPM gewechselt habe. 

23 minutes ago, mgutt said:

sub.example.com kein https und kein www davor. Außer du willst über www öffnen. Also Rest wieder löschen.

Problem ist: die www-Variante ist die EINZIGE, die gerade funktioniert. Weder die nackte "bit.meinedomain.de" noch die "https" Variante funktionieren.

23 minutes ago, mgutt said:

Willst du das so Banane aufmachen? Nein, also weg damit. 

Nein, nicht, wenn es nicht sein muß. Aber wie gesagt, die "bit.meinedomain.de" geht aktuell nicht!

21 minutes ago, mgutt said:

Ja weil du das Zertifikat für bit.example.com beantragt hast und nun für eine andere Domain www.bit.example.com benutzt. In deiner Zertifikatsliste gibt es ja schließlich nur ein Zertifikat. Du kannst nicht für "bit.example.com" ein Zertifikat bestellen und das dann für "www.bit.example.com" benutzen. Jede Domain braucht ihr eigenes.

Mir war nicht bewußt, dass das nutzen von "www." als eigene Domain behandelt wird. Verstanden.

[mgutt]

1 hour ago, VK28.01 said:

Problem ist: die www-Variante ist die EINZIGE, die gerade funktioniert

Egal. Lösch die Hosts und generiere ein neues Zertifikat für ohne www. Das ist doch Quark einfach irgendwas zu machen, was nachher auch nicht geht, weil das Zertifikat nicht passt.

 

[VK28.01]

14 minutes ago, mgutt said:

Egal. Lösch die Hosts und generiere ein neues Zertifikat für ohne www. Das ist doch Quark einfach irgendwas zu machen, was nachher auch nicht geht, weil das Zertifikat nicht passt.

 

Erledigt. Dann warte ich mal, bis "dig bit.deinedomain.de +short" die lokale IP des NPM ausgibt.

Ich hoffe, es läuft dann.

Schon mal vorab: Danke für den geduldigen Support! 1A!

[mgutt]

10 minutes ago, VK28.01 said:

warte ich mal, bis "dig bit.deinedomain.de +short" die lokale IP des NPM ausgibt.

Ja solange kann das nicht Vaultwarden zeigen. Welche IP bekommst du denn aktuell zurück oder einfach nichts?

 

[VK28.01]

13 minutes ago, mgutt said:

Ja solange kann das nicht Vaultwarden zeigen. Welche IP bekommst du denn aktuell zurück oder einfach nichts?

 

Aktuell bekomme ich die 192.168.0.125 zurück. Die lokale IP des Unraid bzw. Vaulwarden.

[mgutt]

23 minutes ago, VK28.01 said:

Aktuell bekomme ich die 192.168.0.125

OK und die hattest du vermutlich zeitweise auch im DNS hinterlegt? Ich mein du könntest auch die Fritz!Box neu starten. Dann holt der sich die IPs neu. 

[VK28.01]

So, habe die Fritz!Box neu gestartet. 

Nun stellt es sich so dar: 

% dig bit.meinedomain.de +short

192.168.0.2.

 

Zertifikat ist neu und Host ebenso:

 

Puh, geht aber nix.

 

Heißt, klicke ich auf die Source in den Proxy Hosts gibt es folgende URL im Browser:

 

und das Ergebnis:

 

*rolleyes*

 

Ein Hauch von kompletter Ratlosigkeit macht sich breit....