Hallo zusammen.

Seit kurzem betreibe ich nun einen Unraid Server mit vereinzelten Dockern und smb Freigaben. Soweit alles in den Standarteinstellungen.

 

Um von außen auf einzelne Docker zuzugreifen, benutze ich den integrierten WireGuard der FRITZbox.

 

Nun möchte ich gerne Jellyfin und einen minecraftserver von außen erreichbar machen. Dies soll aber nicht wie bisher über die FRITZbox VPN laufen, um Freunden ein einfaches anmelden auf den minecraftserver  zu ermöglichen.

 

Meine Idee ist also npm, welcher die Docker Jellyfin und minecraftserver weiterleitet, aber weiterhin FRITZvpn verwende, wenn es um Anfragen auf nextcloud geht. Allerdings habe ich bedenken zum Thema Netzwerksicherheit.

 

Nun zu meiner Frage

1. Macht der grundsätzliche Gedankengang mit npn für Jellyfin und minecraftserver sinn? Oder sollte ich nun auch noch nextcloud über npn freigeben, für ein ssl Zertifikat. Zuvor benutzte ich netztcloud nur intern bzw. wie oben genannt über WireGuard.

2. Was ist der Unterschied zwischen Bride und Host? Ich habe bisher nur Bridge verwendet. Macht es Sinn die docker umzustellen auf Host, um einzelne IP Adressen zu vergeben. Würde sich dadurch die Sicherheit erhöhen?

3. ich hätte die Möglichkeit eine weitere Netzwerkkarte zu verwenden. Hilft die mir weiter in der oben genannten Problematik?

 

Wie ihr bestimmt an meinen Fragestellungen merkt, bin ich Anfänger was das Thema Netzwerksicherheit und Unraid betrifft. Alles selber beigebracht bzw mit Foreneinträgen und YouTube gelernt. Für Hilfe in jeglicher Art bin wäre ich euch dankbar. 

Ich hoffe ich habe den Eintrag richtig erstellt, ansonsten bitte ins richtige Thema verschieben.

 

Vielen Dank!

Edited December 7, 20232 yr by dersch

17 minutes ago, dersch said:

1. Macht der grundsätzliche Gedankengang mit npn für Jellyfin und minecraftserver sinn? Oder sollte ich nun auch noch nextcloud über npn freigeben, für ein ssl Zertifikat. Zuvor benutzte ich netztcloud nur intern bzw. wie oben genannt über WireGuard.

 

Ganz sicher ist nur Offline ... was erwartest du hier für eine Antwort ... 10 Antworten, 10 Meinungen, deine Entscheidung.

 

Abgesehen davon wird der Minecraftserver nicht per npm gehen da es nicht HTTP only ist ... sprich, der braucht sicher eh separate offene Ports für direkten Zugang.

 

18 minutes ago, dersch said:

2. Was ist der Unterschied zwischen Bride und Host? Ich habe bisher nur Bridge verwendet. Macht es Sinn die docker umzustellen auf Host, um einzelne IP Adressen zu vergeben. Würde sich dadurch die Sicherheit erhöhen?

 

bridge sollte klar sein, host wäre direkt auf Unraid, ACHTUNG, Port Konflikte ... du meinst Custom:.... das jeder Docker ne eigene IP hat ...

 

Nein, macht zum Thema Sicherheit 0 Unterschied.

 

20 minutes ago, dersch said:

Wie ihr bestimmt an meinen Fragestellungen merkt, bin ich Anfänger was das Thema Netzwerksicherheit und Unraid betrifft.

das hat nichts mit Unraid zu tun sondern mit deiner Einstellung zu dem Thema Sicherheit ...

 

Wenn du keine offenen Ports willst, dann lass es, Jelly hat user / pass, NC hat user / pass, Minecraft ... keine Ahnung

 

mit NPM hast du meines Wissens nach auch nicht viele weitere Möglichkeiten, beispielsweise fail2ban, geoblocking, ... da wäre swag die "sicherere" Variante, aber ist halt ohne webui und kein klick & go ... jetzt sind wir bei dem Thema, wieviel Zeit willst du investieren für deine Sicherheit  da gehört dann einiges an Lesen, rantasten, ... dazu.

 

2. Nic, separates Netz einrichten, die betroffenen Docker dann isoliert laufen lassen, wäre auch ne Option ... ich wiederhole  da gehört dann einiges an Lesen, rantasten, ... dazu.

Hi, danke für die schnelle Antwort.
Dass es dort verschiedene Meinungen/Lösungen gibt war mir klar. Ich wollte nur wissen, was es für sonstige Möglichkeiten gibt, oder ob ich mich auf einem Holzweg befinde.

Ich werde mich die Tage mal mit swag beschäftigen. 

Ebenso habe ich einen Eintrag zur zweiten NIC gefunden zur Isolierung von Docker...werde ich auch die Tage mal lesen. 

Danke mal.

 

3 hours ago, dersch said:

Ich wollte nur wissen, was es für sonstige Möglichkeiten gibt, oder ob ich mich auf einem Holzweg befinde.

alles gut und Nein ... NC, Jelly per Reverse Proxy macht Sinn wenn man den "Beteiligten" nicht unbedingt einen VPN Zugang gewähren will, was ich auf keinen Fall weiterleiten würde ... dann einen Reverse Proxy wie NPM (oder swag) und darüber die HTTP Dienste teilen ...

 

dein Minecraft Projekt wird wie gesagt ganz sicher nicht darüber laufen, ein Gameserver braucht in der Regel separate Ports (TCP oder UDP) und sind nicht Http basiert ... daher bringt dir dafür weder NPM, noch swag etwas ... das geht tatsächlich nur per offenen Ports ... aber ich meine die meisten haben zumindest ein Passwort ... was du dann an deine Mitspieler vergibst.

 

Oder du lässt die per VPN zu Dir ... was ich persönlich nicht machen würde ... dann lieber die Ports auf den Gameserver und gut ist