Messages

196

German - Deutsch / Re: HAProxy für Weiterleitung auf "Unterverzeichnis"

« on: January 07, 2020, 11:26:02 am »

Oh...  ... ich befürchte, das wird nix:
Es scheint mir so, als könne ich nicht einmal auf eine bestimmte Site zugreifen, denn der HAProxy nutzt wohl nicht meinen internen DNS-Server, sondern ich muss unter "reale Server" feste IPs eintragen. Kann das sein?

197

German - Deutsch / [HAProxy] Weiterleitung auf "Unterverzeichnis"

« on: January 07, 2020, 11:21:16 am »

Ich habe auf einem intern laufenden Apache eine "Untersite" eingerichtet, die nun auf der Adresse

Code: [Select]

http://derServer/dasVerzeichniserreichbar ist. Diese möchte ich nun von außen zugänglich machen.
Ist das mit HAProxy möglich? Ich kenne bisher nur die Möglichkeit, auf einen "Server" weiterzuleiten, nicht aber auf eine bestimmte URL.

Natürlich könnte ich auf dem Apache eine weitere Site einrichten, wüsste aber, ob es auch "ohne" geht?

198

German - Deutsch / Re: OPNsense Usertreffen 2020

« on: December 17, 2019, 09:15:37 am »

Auf alle Fälle eine interessante Idee.
Ich selbst habe meine zwei Standorte mit opnSense/IPSec vernetzt, ganz frisch externe OpenVPN-Zugänge eingerichtet, an beiden Standorten laufen iRedMail, Webserver sowie RDP-Server in DMZ. Ich setze die opnSense seit eineinhalb Jahren ein - bin aber immer noch Newbie...

199

German - Deutsch / Re: OpenVPN: tun vs tap, wie klappt es?

« on: December 16, 2019, 11:56:45 am »

Edit: Mein Problem hat sich nun "mehr oder weniger erledigt".

Hauptproblem war - wieder mal - das Verhalten von Windows: die WAN-Karte hatte "automatisch" die niedrigere Metrik, so dass immer der WAN-DNS verwendet wurde und nicht der im LAN. Nach Änderung der Adaptermetrik (OpenVPN < WAN) klappt es auch mit dem DNS und den Netzwerkfreigaben.

Ich war außerdem sehr verwirrt darüber, dass ich als Tunnelnetzwerk zwar die 192.168.5.0/24 eingetragen habe, jeder Client aber eine (die einzig "freie") Adresse aus einem Netz mit 30er-Maske erhält (vier Adressen: Netz=0, opnSense/OpenVPN=1, <Client>=2, Broadcast=3). Das scheint aber die "Philosophie" des Systems zu sein.

Jetzt muss ich "nur" noch herausfinden, die ein OpenVPN-Client durch meinen IPSec-Tunnel auf meinen zweiten Standort zugreifen kann... aber das soll wohl klappen.

Danke für Eure Hilfe und Eure Tipps bis hier!

200

German - Deutsch / Re: OpenVPN: tun vs tap, wie klappt es?

« on: December 13, 2019, 11:40:45 am »

Edit: Ja, danke, aber den Link habe ich oben auch zitiert... funktioniert "ein bisschen", aber eben nicht so, wie ich das gern möchte.

201

German - Deutsch / Re: OpenVPN: tun vs tap, wie klappt es?

« on: December 12, 2019, 10:09:41 pm »

Probiere ich morgen früh gern mal aus...
... aber der Link zum Thomas-Krenn-Wiki funzt bei Dir nicht? Seltsam.

202

German - Deutsch / [Gelöst] OpenVPN: wie klappt es?

« on: December 12, 2019, 03:43:08 pm »

Ich habe nun endlich meinen OpenVPN-Server für den Zugriff "von außen" eingerichtet, und "prinzipiell" klappt das wohl auch. Ich bin nach der Beschreibung https://www.thomas-krenn.com/de/wiki/OPNsense_OpenVPN_f%C3%BCr_Road_Warrior_einrichten vorgegangen und habe dann versucht, ein Win10 als Client zu verbinden.
"Natürlich" hat das mit Win-10-Bordmitteln erst einmal nicht funktioniert, ging dann aber, nachdem ich den Client installiert hatte.

Doch danach komme ich nicht so richtig weiter:

• Ich muss mein internes Netz auf dem Server eintragen als "Lokales IPv4-Netzwerk". Passt.
• Auf Netzwerke, die von dort nur über einen Tunnel erreichbar sind, kann ich nicht zugreifen, was vermutlich an der Firewall liegt.
• Ich kann per RDP einen anderen lokalen Rechner nur dann erreichen, wenn ich seine IP eingebe, denn ein lokaler DNS ist für den Client nicht verfügbar.
• Wo könnte ich den DNS und Gateway überhaupt eintragen? Irgendwie finde ich nichts, was ich einstellen kann außer der Netzwerknummer
• Auf Windows-Freigaben im Netz scheine ich gar nicht zugreifen zu können.

Langer Rede kurzer Sinn, ich dachte mir nun, dass vielleicht TAP statt TUN für mich der geeignetere Modus ist.
Ein einfaches Umstellen auf dem Server scheint jedoch nicht zu reichen.
Gibt es irgendwo eine Beschreibung, wie ich einen Open-VPN Server im TAP-Mode einrichten kann?

203

German - Deutsch / HAProxy für Sub-Seite!

« on: September 26, 2019, 09:07:31 pm »

Tatsächlich ist die Installation von iRedMail zusammen mit SOGo gar nicht so schwierig... :-)

Jetzt aber würde ich gern eingehende Anfragen auf die interne SOGo-URL weiterleiten.
Da muss ich wohl http_request_redirect in die Regel schreiben.

204

German - Deutsch / Re: opnSense und iRedMail

« on: September 23, 2019, 05:22:58 pm »

Hmm, ist wieder etwas komplizierter, als ich gehofft habe...

Wollte gerade "mal eben" den Webmail-Zugang einrichten und habe deshalb die Einstellungen, die ich hier für mein Exchange-OWA habe, in den entfernten HAProxy kopiert:
- Realer Server: "mailsrv" (seine interne IP), SSL an, keine Zertifikatsüberprüfung
- Backend-Pool: "mailpool" enthält "mailsrv"
- Bedingung "mail": Host enthält "mail.mydyndom.de"
- Regel: IF "mail" dann nutze den Pool "mailpool"

Wenn ich dann die Seite http://mail.mydyndom.de ansteuere, klappt das nicht.
Wenn ich stattdessen https://mail.mydyndom.de eingebe, warnt der Feuerfuchs mich wegen des Zertifikats - welches übrigens natürlich ein anderes ist, als wenn ich den Server intern mit https://interneadresse ansteuere...
Aber auch wenn ich die Warnung akzeptiere erhalte ich ein "503 Service Unavailable - No server is available to handle this request." Liegt das daran, dass nun zwei verschiedene Zertifikate verwendet werden? Oder route ich mich da intern noch falsch? Ich bin nicht sicher, aber 503 hat doch nichts mit Zertifikaten zu tun, oder?
Oder heißt Service unavailabe, dass auf meinem Mailserver etwas nicht läuft?

Wie bekomme ich die Kuh vom Eis? Extern in Zertifikat beantragen und dieses dann in den iRedMail eintragen?

205

German - Deutsch / Re: opnSense und iRedMail

« on: September 23, 2019, 04:49:52 pm »

@Port:
Ürgh! Natürlich Vier-SECHS-Fünf, war aber ein Vertipper... eeehrlich!

@Zertifikat:
Ja, mangels fundierter Kenntnisse habe ich den Weg per Installer gewählt (kennte ich mich besser aus, hätte ich vermutlich Postfix, Dovecot & Co manuell installiert, aber da bin ich noch weit weg von). Ja, es gibt ein "Zertifikat", aber eben ein selbsterstelltes. Habe mich nur gewundert dass das durchging, denn posteo.de kenne ich als sehr streng. Ich muss nochmal gucken, wie ich das bei meinem Exchange gemacht habe... die opnSense unterstützt ja die Zertifikatholung bei LetsEncrypt sehr komfortabel, dann mache ich das für iRedMail genauso. ("acme.sh" und "symlink magic" sagen mir nicht viel, aber ich denke das war diese Geschichte mit automatischer Antwort auf Zertifikatsverifizierung... oder so.)

@Nachbrenner:
Noch ein Wunsch, der aber vermutlich unerfüllt bleiben wird... kann ich das Problem mit der dynmischen IP irgendwie lösen? Wäre ja schön, wenn ich meine privaten Mails auf dem Server mit der DynIP lassen könnte und nur meine dienstlichen hier auf der festen IP verwalte... muss nicht unbedingt sein, wäre aber schön... und man darf ja wohl noch träumen... 

206

German - Deutsch / Re: opnSense und iRedMail

« on: September 23, 2019, 12:41:33 pm »

> Ist mydom.dyndns.org ein A Record oder wie bei vielen Dyn Diensten ein CNAME?
Ist natürlich auch beim Klassiker nur ein CNAME (nehme ich zumindest an, ja, bin sehr sicher).
Ist aber nicht schlimm, da dies ja sowieso nur meine Testlösung ist, und sobald alles läuft biege ich ja auf meine feste IP um.

> Zertifikat
Muss ich mir mal ansehen: eventuell nutzt iRedMail ohne mein Zutun schon ein Zertifikat (und eine Mail an POSTEO kam dort wohl auch ohne Warnung an). Prüfe ich.

> Port-Forwarding 25 und 587
Ok, ich leite also 485 zusätzlich noch weiter.

> 1. Senden an GMX
... ist ja nur so lange ein Problem, bis ich fertig getestet habe und umgezogen bin. Header sehe ich mir mal an.

Danke bis hier!

207

German - Deutsch / Re: opnSense und iRedMail

« on: September 20, 2019, 02:20:06 pm »

Jau, danke, und ich bin jetzt schon wieder weiter:
Vermutlich war ich nur zu ungeduldig, und mein alter MX-Eintrag, der auf meine feste IP zeigt, war teilweise noch gecachet.

Auf der opnSense musste ich fürs reine Empfangen jetzt doch nichts mehr machen, Port-Forwarding 25 und 587 reicht erstmal. (Dabei gehe ich aber davon aus, dass ich noch kein Zertifikat habe... muss ich mal überprüfen. Kann ich, wenn ja wie, überprüfen, ob Mails sicher reinkommen oder unsicher?) ((MXTOOLBOX.COM sieht jedenfalls ganz gut aus.))

Die Weiterleitung für die Webmail werde ich wohl hinbekommen. Aber warum sollte ich ein Port-Forwarding brauchen? Das geht doch über HAProxy mit Hilfe de Hostnames, oder?

Was jetzt noch nicht geht:
1. Senden an GMX (weil die vermutlich die IP blocken - kann ich das verifizieren?).
2. Senden von meinem Exchange (aber das ist klar, ich Blödel, die Domäne steht ja noch auf dem Exchange...)

Ich teste weiter und werde berichten. Danke bis hier!

208

German - Deutsch / opnSense und iRedMail

« on: September 20, 2019, 11:03:02 am »

Ich wieder...
bin nicht sicher, ob hier die richtige Stelle ist oder ob ich eher bei iRedMail nachfragen müsste, aber nach meinen bisher sehr guten Erfahrungen hier versuche ich es einfach mal... 

Ich habe nun intern hinter meiner opnSense ein komplettes iRedMail installiert.
Allerdings funktioniert längst noch nicht alles, und ich habe auch noch viele Wissenslücken:

- Wie ist das jetzt mit dem MX-Eintrag? Meine Domäne heißt mydom.de, der Server (bzw. die opnSense) ist auf einer dynamischen IP zu erreichen (ich weiß, dass das nicht gut ist, ist ja auch nur für die Tests, später nutze ich die feste IP!). In den MX-Eintrag von mydom.de habe ich deshalb eingetragen mydom.dyndns.org. Passt das?

- Ich kann senden (zumindest extern an meine "echte" externe Adresse). Ich kann NICHT senden an meine GMX-Adresse. Kann es sein, dass das an der dynamischen IP als Absender liegt? (Oder müsste die Mail dann "nur" in meinem GMX-Spam-Ordner landen?) Oder brauche ich zum Senden grundsätzlich ein Zertifikat? Wie bekomme ich denn ein LetsEncrypt-Zertifikat? So wie auch für meine Website? OT: Reicht das auf der opnSense, oder muss das Zertifikat auch "ins iRedMail"?

- Ich kann noch nicht empfangen, habe aber die Ports 25 und 587 bereits auf den Mailserver weitergeleitet. Reicht das etwa nicht? (Für meinen Exchange hier habe ich doch auch nicht mehr getan...)

- Für die Webmail kann ich mit HAProxy eine entsprechende Regel etc. einrichten, wie ich das hier auch für mein Exchange-OWA habe, nehme ich an?

Danke für Eure Tips! 

209

German - Deutsch / Re: VPN-zugriff von außen erlauben

« on: September 19, 2019, 05:08:46 pm »

Ok, das ist einleuchtend. Mein Ipsec-Tunnel steht ja auch zwischen meinen beiden opnSense.
Dann ist es eben OpenVPN. Danke für die Erklärung.

210

German - Deutsch / Re: Postfix für die Mail-Verteilung

« on: September 19, 2019, 03:34:37 pm »

Ja, ist aber trotzdem ein bisschen seltsam, zumindest für mich erstmal nicht so einfach zu erklären.

Da ich in der Endkonfiguration den Postfix nicht brauche und mirdas Offline-Sein zu heikel ist, werde ich meinen Alternativplan umsetzen, indem ich auf meinem entfernten Server/Netz den Spiel-Mailserver aufsetze.

Danke bis hier! Wenn es klemmt, frage ich aber wieder nach...