Vaultwarden im Container, nur unsichere Verbindung aus Heimnetz

[alsk1]

Hallo zusammen,

ich habe exakt nach Anleitungen Vaultwarden als Container in Docker auf der Synology am Laufen.

Ich habe eine Subdomain "pass.meinname,net" eingerichtet. Diese Subdomain verweist über einen CName auf "name.synology.me".
Verwendet wird ein Let's Crypt Zertifikat.

Befinde ich mich nun im Heimnetz und rufe https://pass.meinname.net auf, dann öffnet sich zwar Vaultwarden, allerdings als unsichere Verbindung (also über http anstatt https). Befinde ich mich ausserhalb des Heimnetz und rufe https://pass.meinname,net auf, dann kommt eine sichere https Verbindung zustande.

Ich habe nun alles, aber auch wirklich alles ausprobiert und bin mit meinem Latein am Ende.... sogar noch weiter als nur am Ende. Versucht habe ich es mit Let's Crypt Zertifikaten nur auf der pass.meinname.net, dann nur mit dem Zertifikat auf der name,synology.me. Dann mit Zertifikat auf beiden. Portweiterleitungen (443 und 80 sind in der Fritzbox korrekt gesetzt.
Rufe ich https://name.synology.me auf so passiert rein gar nichts. Ich hoffe jemand kann mir hier helfen und mich aufkären, was genau hier schief läuft.

Vielen Dank!

 

[mj084]

ich habe exakt nach Anleitungen Vaultwarden

Da ist schon der erste Fehler...

Man sollte sich an die offizielle Anleitung/Doku halten, ansonsten wird man früher oder später auf Probleme stoßen...

Ich empfehle dir, dich erstmal mit den Grundlagen zu beschäftigen, und dein Szenario nachzustellen, was willst du erreichen usw..

Gerade wenn man einen Passwort-Manager selbst betreiben möchte, sollte man halbwegs in der Lage sein sich selbst zu helfen.

Du hast hier scheinbar wild "rumprobiert" und den Passwort-Manager nach außen erreichbar gemacht - wenn man ihn nicht mit Externen zusammen nutzen möchte, sollte man dies tunlichst vermeiden und eher auf VPN zugreifen, wenn man selbst von Außen zugreifen möchte..

 

[alsk1]

Mittlerweile ist es soweit das gar nichts mehr geht. Vorher kam ich von extern wenigstens gesichert auf die Vaultwarden Oberfläche und intern aus dem Heimnetz ungesichert über http. Jetzt geht gar nichts mehr, weder extern noch intern noch über die IP direkt. Die Lets Crypt Zertifikate kann ich auch nicht mehr erneuern weil das Limit aufgebraucht ist und mir mittlerweile auch die Ideen ausgehen für neue Domain Namen. Bisher habe ich bestimmt schon 50‘Domains bei Lets Crypt verschlissen :-(

 

[alsk1]

Da ist schon der erste Fehler...

Du hast hier scheinbar wild "rumprobiert" und den Passwort-Manager nach außen erreichbar gemacht - wenn man ihn nicht mit Externen zusammen nutzen möchte, sollte man dies tunlichst vermeiden und eher auf VPN zugreifen, wenn man selbst von Außen zugreifen möchte..

Naja was heißt wild herum probiert. Mit den Zertifikaten ja…. Weil das absolut nicht funktioniert. Da sich dieser PW Manager aber auch hervorragend für ein Team eignen soll, müsste ja gerade das perfekt laufen….
Vielleicht habe ich mich da aber auch geirrt und es ist einfach nur als Standalone Lösung sinnvoll nutzbar und somit lokal.
Also meinst Du am besten die Installation in einem Host-Container? Das dürfte ja am unproblematischsten sein.

 

[mj084]

Bisher habe ich bestimmt schon 50‘Domains bei Lets Crypt verschlissen :-(

Naja was heißt wild herum probiert.

Siehe Zitat drüber...

Da sich dieser PW Manager aber auch hervorragend für ein Team eignen soll, müsste ja gerade das perfekt laufen….

Ja, wenn man ihn vernünftig aufsetzt, läuft er auch problemlos - wenn man die Basics nicht hat, sollte man sich einlesen oder lieber Geld ausgeben und das Hosten so einer kritischen Anwendung jemandem überlassen, der sich besser damit auskennt.
Geht sogar auch gratis bei Adminforge

Also meinst Du am besten die Installation in einem Host-Container? Das dürfte ja am unproblematischsten sein.

Host-Container? Keine Ahnung was du sagen willst...

Mein Tipp, entweder in die Basics einlesen oder einen Hoster wie Adminforge nutzen oder direkt Bitwarden offiziell nutzen

 

[alsk1]

Naja, also ich bin nicht jemand der eine komplette Anleitung oder Vorlage bekommen möchte. Aber ein paar Tricks oder Tipps hätte ich mir schon erhofft, gerade von jemandem der es schon am Laufen hat, Da die GUI ja nicht lokal aufrufbar ist, so zumindest das was ich gelesen habe, sondern von extern erfolgen muss, wären hier ein paar Tipps doch nett gewesen.
Nur weil ich den Quellcode von Windows nicht verstehe heisst es ja nicht das ich es nicht nutzen sollte....
Dann kann man sich Foren auch sparen bzw. braucht keine Fragen mehr stellen.

 

[*kw*]

Das ist ein Forum und die Suchmaschine spuckt beim Suchbegriff „Vaultwarden“ genügend Informationen aus. Du bist nicht der erste mit der Fragestellung.

 

[Heimi75]

Mit einer Synology.me-Adresse kannst Du ja bereits Wildcards machen, wie von Dir beschrieben. Vorschlag: nutz den internen Reverse Proxy der Synology und lass so auf den Vaultwarden zeigen. Ist bei mir auch so eingerichtet und funktioniert sowohl intern wie extern problemlos. Dazu muss ich allerdings sagen, dass ich für meine Domain auch den DNS-Server für interne Auflösung der Synology nutze. Es gibt halt viele Möglichkeiten. Sonst nutze die Anleitung für Marius, bzw. den Teil mit der Namensgebung mal. Das klappt in der Regel gut.

 

[mj084]

Aber ein paar Tricks oder Tipps hätte ich mir schon erhofft, gerade von jemandem der es schon am Laufen hat, Da die GUI ja nicht lokal aufrufbar ist, so zumindest das was ich gelesen habe, sondern von extern erfolgen muss, wären hier ein paar Tipps doch nett gewesen.

Mein Tipp, entweder in die Basics einlesen oder einen Hoster wie Adminforge nutzen oder direkt Bitwarden offiziell nutzen

Da hast du Tips bekommen

Die GUI ist sehr wohl intern aufrufbar, benötigt halt nur zwingend eine gesicherte Verbindung via URL...

Nur weil ich den Quellcode von Windows nicht verstehe heisst es ja nicht das ich es nicht nutzen sollte....
Dann kann man sich Foren auch sparen bzw. braucht keine Fragen mehr stellen.

Das hat mir Quellcode von Windows gar nix zu tun, den kann ich übrigens auch nicht verstehen

Wenn jemand Tips ignoriert und dann noch beleidigt reagiert, wird er vermutlich auch keine Hilfe hier erhalten.

Der Hinweis von @Heimi75 mit dem ReverseProxy sollte dich eigentlich schon weiterbringen...

 

[Nackel]

Ich würde es auch nach dieser https://mariushosting.com/synology-install-vaultwarden-with-portainer Anleitung machen. Habe ich vor einem halben Jahr auch gemacht und es hat von Anfang an super funktioniert. Wie es @mj084 schon geschrieben hat, von extern NUR über VPN.

Edit: oder natürlich über diese https://mariushosting.com/how-to-install-vaultwarden-on-your-synology-nas/ Anleitung wenn du kein Portainer nutzt.

 

[stevenfreiburg]

Ich habe nun alles, aber auch wirklich alles ausprobiert

.
Alles – wirklich alles? Hast du Marius’ Anleitung tatsächlich schon ausprobiert?

Ich bin kein Experte; es war mein erster Docker-Container. Trotzdem war ich nach 30 Minuten am Ziel: Vaultwarden lief – intern wie extern erreichbar.

Das war allerdings nur ein Testlauf. So sensible Daten kommen bei mir in eine vDSM, die ausschließlich per VPN zugänglich ist.
Für mich als Nicht-Profi sind Snapshots und das Sichern des gesamten vDSM-Systems ein weiterer großer Pluspunkt.

 

[alsk1]

So ziemlich alles. Genau darum geht es mir ja, das ich von extern nur über VPN drauf kommen möchte. Alles was ich bis jetzt gelesen habe war mit Reverse Proxy. Und sobald ein Reverse Proxy im Spiel ist sollte er von aussen erreichbar sein (was ich nicht möchte). Mit der Wildcard "*" als Hostname erschliesst sich mir nicht. Welche URL rufe ich denn auf wenn ein Sternchen als Hostname eingetragen ist?
Wenn ich etwas finden würde, was plausibel erklärt wie man ausschliesslich einen lokalen Zugriff realisiert, dann wäre ich ja schon mehr als glücklich.

 

[mj084]

Und sobald ein Reverse Proxy im Spiel ist sollte er von aussen erreichbar sein (was ich nicht möchte).

Das ist einfach mal falsch!

Lies dich in die Basics ein bevor du dir noch mehr Stunden den Kopf zerbrichst...

 

[*kw*]

Ich glaube, da fehlen Basics.

Wildcard (*.meinedomain.de) bedeutet, dass du nicht für jede Weiterleitung ein einzelnes Zertifikat benötigst, sondern mit dem Wildcard die Subdomain "pauschal" legalisiert wird.

Für das Sternchen setzt du das ein, was du gern hättest und musst es im Reverse Proxy entsprechend konfigurieren.

https://vaultwarden.meinedomain.de
https://egal.meinedomain.de
https://scheissegal.meinedomain.de

Für alles benötigst du nur ein Wildcard-Cert, was in der DS hinterlegt sein muss.

Und wenn du dich mit VPN, bspw. Wireguard über FritzBox, ins LAN verbindest, muss es nur im LAN funktionieren und es sind keinerlei Portöffnungen notwendig.

Edit

Wenn ich etwas finden würde,

Dann such doch mal nach Vaultwarden! Dann wärst du u.a. hierüber gestolpert. Beachte bitte in #7 die Hinweise, da gab es Änderung, die nicht mehr notwendig sind.

 

[w00dcu11er]

Da hier oftmals von VPN, internen IPs und Vaultwarden die Rede ist:
Vaultwarden benötigt zwingend ein gültiges Zertifikat für die Domain, mit der es aufgerufen wird. Alles andere ist nicht direkt möglich bzw. schränkt die Funktionalitäten des Programms ein.
Zertifikat heißt also NICHT über die IP-Adresse; Vaultwarden über interne IP - mit oder ohne VPN - so aufrufen = nicht wirklich möglich.

Also wie hier schon einige geschrieben über DDNS (Synology zB) - dann Zertifikat automatisch abholen lassen und schlussendlich in Reverse Proxy und gut ist.
Intern auch über DDNS-Adresse aufrufen.

 

[*kw*]

Wie gesagt, er müsste die verlinkten Beiträge durchlesen. Das klärt mit dem Rest alles.

So, die Wochenhöchstzeit im Fremdforum ist aufgebraucht.

 

[alsk1]

Vielen Dank erstmal. Ich werde mir die Beiträge anschauen und lesen.

 

[mj084]

Vaultwarden benötigt zwingend ein gültiges Zertifikat für die Domain, mit der es aufgerufen wird

Wurde doch schon klar genannt, und steht imo auch in der offiziellen Doku von Vaultwarden...

Warum manche Leute meinen, ich bastel mal fix was mit Anleitung xyz zusammen, entzieht sich meiner Kenntnis...

 

[alsk1]

von schnell mal zusammenbasteln kann keine Rede sein. Das die Zertifikate eingebunden waren, das ist klar. Generell hat auch alles recht gut geklappt. Lief auch perfekt (bis auf das es von aussen erreichbar war) und nach einem 3/4 Tag plötzlich nichts mehr ging. Trotz synology.me domain mit eingebundenem Let's Crypt Zertifikat

 

[metalworker]

also mal ein Rat von mir.

Dir fehlen da echt massiv die Grundlagen für .
Nutze doch den Offiziellen Bitwarden Server , oder alternativ was Lokales we Keepass.

Selbst wenn du das hier dann irgendwie zurechtgebogen bekommst. Wenn du das dann aktiv nutzt und es irgend nen Problem gibt.
Kommst nicht mehr an deine Daten und weißt vermutlich nicht wie du das beheben kannst.

Überlege dir gut ob dir das der ganze Aufwand wert ist.