Nextcloud - probleme bei zugriff im Lan !

[Stefan 0815]

Hallo liebes Forum,
ich hoffe ich finde hier am ehesten jemanden, der mir bei meinem Problem weiterhelfen kann.

Seit langem habe ich auf meinem Server die Nextcloud laufen und eigentlich wenig Probleme:
- Letsencrypt sorgt für ein gültiges Zertifikat der xxx.duckdns.org Seite
- Die Fritzbox meldet sich bei Duckdns.org an, sodass eine Weiterleitung erfolgt
- Die Fritzbox hat auf IPV4 und IPV6 eine Weiterleitung auf den Nextcloudserver konfiguriert

Ein tracert sieht von Außen dann so aus:

  1    <1 ms    <1 ms     1 ms  fritz.box [2a02:8109:9cc0:44f4:2e3a:xxxx:fea0:68a1]
  2     8 ms     9 ms   228 ms  xxxx:8109:8001:39::1
  3     *        *        *     Zeitüberschreitung der Anforderung.
  4     *        *        *     Zeitüberschreitung der Anforderung.
  5    13 ms    10 ms   211 ms  2a02:8100:6:2::6:689
  6    43 ms    10 ms    11 ms  2a02:8100:6:2::103:2cc
  7    30 ms    17 ms   216 ms  2a02:8109:8000:6d:78c6:878a:e4ae:xxxx

Von Außen gibt es also keine Probleme!

Wenn ich jedoch innerhalb des Netzwerkes die Seite aufrufe meldet sich Firefox mit dem folgenden Fehler:

 SEC_ERROR_INADEQUATE_KEY_USAGE

Folgendes gibt tracert aus:

  1    <1 ms    <1 ms    <1 ms  2a02:8109:8000:6d:78c6:878a:e4ae:xxxx

Wenn ich über die Interne IP Adresse auf dem Server zugreife funktioniert er zwar (sofern ich die Zertifikatssicherheit ignoriere), aber alle generierten Links zum Teilen funktionieren extern nicht. Außerdem ist mein Notebook mal extern, mal intern verwendet.

Optimal wäre natürlich, wenn das Endgerät erkennen würde, wenn es im internen Netz ist (dann wäre die Synchronisation schneller) ich bin aber schon zufrieden, wenn alles "extern" ablaufen würde.

Was passiert hier eigentlich? Und vor allem welche Lösungsansätze oder Schlagwörter könnt ihr mir empfehlen zum Beheben des Problems?

 

[katzenhai]

Du musst auf deinen intern abgefragten DNS Server den Nextcloud Server mit seiner Internen Adresse anlegen. Alternative auf jeden Rechner die Host Tabelle mit dem Nextcloud Server ergänzen.

 

[Stefan 0815]

Ich vermute, dass bei der Fritzbox es nicht möglich ist den DNS Server zu ändern?
Die Hosttabellen an allen Rechner zu verändern wäre nur eine Notlösung.

 

[ccgx]

Unter "Heimnetz" - "Netzwerk" - "Netzwerkeinstellungen" findest du ganz unten ne Box "DNS-Rebind-Schutz" für URLs. Da musste ich damals meine URLs eintragen, damit ich im LAN Zugriff hatte. Kann sein dass das mittlerweile nicht mehr möglich ist, ich hab aber immer brav eingetragen...

 

[Weltherrscher]

Sieht nach ner Voodoofone IPv6 aus.
Der DNS-Rebind-Schutz funktioniert so nicht, ab und an bekommt man bei Vodafone doch mal nen neues IPv6-Präfixzugewiesen, dann sind alle eingetrageneen IPv6-Adressen für die Katz, deshalb hab ich mir ne feste geholt (ok, auch wegen dem Mailserver =) ).
Um von außen auf den Server zuzugreifen muss in die Firewall der Fritzbox trotz IPv6 ein Loch rein, sprich, es muss der Port für das Gerät geöffnet werden (Internet/Freigaben).
Wer lesen kann...
Kann es sein, dass die CA in Firefox nicht vertrauenswürdig ist?
Hast mal nen anderen Browser probiert?

Ich verstehe auch nicht, wieso tracert nochmal aus der Fritzbox raus geht, bevor es den Nextcloud-Server findet.
Von wo testest du "außerhalb"?

//edith:
Wie rufst du von außerhalb die Seite auf, mit DNS-Name oder IP?
Versuch doch mal nen Raspi mit PiHole anzustöpseln und den als DNS zu verwenden (oder irgend ein enderes Gerät als DNS verwenden).
Dort kannst du dann definitv den DNS-Namen zur IP ändern.
In der Fritz kannst in den IPv6-Einstellungen dann die IP des Raspi als DNS-Server eintragen und unten in den DHCPv6-Einstellungen diesen dann advertisen.

 

[Stefan 0815]

Hallo, es tut mir leid, dass ich mich erstmal nicht weiter gemeldet habe!

1. DNS Rebind funktioniert wie von Weltherrscher vorhergesagt nicht
2. Im Interschrottexplodierer werde ich auf die Seite der Fritzbox weitergeleitet
3. Ein Pihole wäre nur vorrübergehend eine Lösung, denn bei einem Ausfall wäre das erstmal doof für alle Mitbewohner
4. Außerhalb rufe ich die Seite per Name xxxx.duckdns.org auf

Ich verstehe auch nicht, wieso tracert nochmal aus der Fritzbox raus geht, bevor es den Nextcloud-Server findet. Von wo testest du "außerhalb"?

Also wenn ich das richtig verstehe, geht Tracert eben nicht aus der Fritzbox raus, sondern wird durch die Box selbst beantwortet. Das ist dann auch kein Wunder, weshalb das Zertifikat nicht passt?
Außerhalb heißt in dem Fall z.B. aus dem Netzwerk meiner Firma oder über den mobilen Datentarif meines kleinen Begleiters.

 

[Weltherrscher]

Moinsen,

ich denke, das wird ohne zweiten (internen) DNS nicht klappen, sieht man eigentlich schon an deiner Aussage, dass von innen mit IP alles klappt, mit DNS aber nicht.

Wenn du vom Intranet die URL eingibst, sucht erstmal der DNS der Fritzbox danach.
Der findet sie auch (seine eigene externe IP), fängt damit aber das zicken an...

Ich habe insgesamt drei DNSn, der erste läuft auf dem Mikrotik (hier sind die DNS-Namen aller internen Geräte mit interner IP eingetragen) und wird nur an die anderen beiden weiter gegeben.
Die anderen beiden sind PiHoles (Redundanz um unschöne Internetausfälle zu unterbinden =) ) und leiten die Suche bei fehlende DNS-Namen direkt an den Mikrotik weiter, diese beiden werden auch über DHCP verteilt.
Somit kann ich auf "wolke.meine.domain" von innen als auch von außen zugreifen.
Von innen über den Mikrotik-DNS und von außen über die ganz normalen DNSn und ein paar FW-Rules.

 

[Stefan 0815]

Ich habe jetzt Pihole zum Laufen gebracht.
Verzeihe mir die vielleicht Dumme Frage, aber wo trage ich da die Weiterleitung in der GUI ein?
Beste Grüße

 

[Weltherrscher]

Ups, sorry für die späte Antwort.
Du ballerst deine IPs und die dazugehörigen DNS-Namen einfach in die /etc/hosts des PiHole.
Dnsmasq erledigt dann den Rest für dich. =)

 

[Stefan 0815]

Danke für die Rückmeldung! Dann werde ich mich mal der Komandozeile bemühen. Hatte gehofft es ginge über die GUI.

 

[MisterY]

Geht es auch mit dem neu erschienenen PiHole 5

 

[Weltherrscher]

Tatsächlich. =)
Das ist mal ne Verbesserung, die CORS-Fehler beim Einstellungen bestätigen habe ich aber auch in PH5 noch... =(