NGINX/Reverse Proxy Setup für HomeAssistant, Obico, etc.?

[KurantRubys]

Es ist soweit, ich glaub ich muss mir endlich mal Gedanken um NGINX und co machen Bin mir gerade etwas unschlüssig wie das korrekte Setup am besten aussieht, daher die Suche nach Input. Aktuell sieht das ganze bei mir so aus:

- Proxmox Host mit OPNSense und HomeAssistant als VM
- diverse Container für Bitwarden, PiHole, Paperless, Obico, etc.
- Zugriff auf HA läuft über HTTPS von extern, Zertifikat von Lets Encrypt, Certbot läuft in HA (HA mit 2FA, hatte was das angeht bisher noch keine Probleme)
- IPv4 mit DynDNS über Netcup, wird von der Sense aktualisiert

Zugriff von extern auf HA soll definitiv ohne VPN laufen, ist mir ehrlich gesagt zu umständlich da permament dran zu denken. Ich weiß das da jetzt wieder einige von abraten werden, aber das lief die letzten 3 Jahre bisher auch problemlos. Das schlimmste was passieren kann ist das jemand n Licht anmacht, sollte es denn irgend n Security Bug geben, der dann die 2FA umgeht oder sonst was in der Richtung. Hier geht Komfort tatsächlich etwas über Security. Diskussionen in der Richtung könne wir uns dann bitte sparen

Die Frage ist jetzt, wie setze ich das am besten um, wenn ich noch anderen Kram auch erreichbar haben will. Interessant ist jetzt vor allem Obico für externen Zugriff um mal aufn Drucker zu schauen, bzw. sollte mal wirklich was schief laufen das auch von unterwegs beenden zu können. Ngingx als Plugin auf der Sense oder eigenständig in Proxmox? Zertifikat kümmert/sollte sich ja dann Nginx drum kümmern. Plugin in HA würde ich eigentlich gern vermeiden, das Teil soll HA machen und nicht auch noch Infrastruktur.

Hat das von euch schonmal jemand umgesetzt?

 

[Supaman]

Es wäre sinnvoll, sich vielleicht doch mal mit (Wireguard) VPN zu bschäftigen, das ist kein Hexenwerk - erspart Dir aber viel Ärger bzw komplizierte Setups.

Workarounds wären:
1) RustDesk Zugriff (Teamviever alternative) mit self-hosted Server, das ist ganz einfach umzusetzen
2) oder Portknocking bzw Portknocking per Key Packet (ähnlich wie SSH key File, aber übers Web an einen Port)

 

[Potz]

Wenn die Integration in OPNSense keine besonderen Vorteile hat, auf die ich nicht komme, solltest du den Reverse-Proxy auf jeden Fall in seinen eigenen Proxmox-Container (oder bei Vorliebe eine VM) stecken.

Außerdem solltest du zusehen, dass du es schaffst das gesamte Netz in dem HA arbeitet vollständig von allem anderen zu trennen, sonst ist das Risiko eben nicht nur "man kann Licht an und aus schalten".

 

[KurantRubys]

das ist kein Hexenwerk

Darum gehts mir gar nicht, ich bin ja selber schon lang genug in der IT. Hab ich auch für Zugriff auf anderen Kram. Aber der HA Part soll auch ohne laufen. WAF ist im Moment kein Thema, aber wäre da ein absolutes Nogo gewesen.

 

[toscdesign]

IPv4 mit DynDNS über Netcup, wird von der Sense aktualisiert

Seit wann geht das? Hat netcup nun endlich dyndns?

Ich habe aktuell noch einen Docker Container laufen, welcher über die API bei netcup die IP Adresse aktualisiert.

Ich selbst habe nur über VPN Zugriff von außen, aber trotzdem den Nginx Proxy Manager (npm) in einem Container laufen mit Lets Encrypt (DNS Challenge).

Da viele Sachen intern mit einem Zertifikat viel einfacher funktionieren, bzw. manche Apps ohne sich gar nicht connecten wollen.

 

[toscdesign]

@KurantRubys
Das hier nutze ich für den Update der IPs bei Netcup (dyndns)

b2un0/netcup-dyndns

Docker

 

[julakali]

Als Reverse Proxy empfehle ich Caddy. Kommt mit einer sehr übersichtlichen Konfigurationsdatei aus und managed alles automatisch.