Ich möchte nu, dass diese (nur intern) über https erreichbar sind
Wenn du deine Dienste nur intern aus deinem LAN erreichen willst, brauchst du eigentlich gar keine OPNsesnse - also zumindest nicht dafür.Außer du möchtest deine Dienste intern hinter einer Firewall haben.
Ein Reverse Proxy ist dafür sinnvoll, weil er die Verschlüsselung und die Abbildung von Namen auf IPs / Backends zentral übernimmt.Es gibt zwei Überlegungen, die man dabei anstellen sollte:1. Will man dafür eine "echte" DNS-Domain verwenden? Dann kann man die Erzeugung der Zertifikate per ACME machen, vorzugsweise mit Wildcards. Dadurch benötigt man nur ein einziges Zertifikat, unabhängig vom Namen. Die Alternative ist eine eigene CA - allerdings gehen dabei keine Wildcards, weil neuere Browser Wildcards nicht mehr für *.xyz, sondern nur noch für *.xyz.abc akzeptieren. Jeder neue Name benötigt also ein neues (oder erweitertes) Zertifikat - was man durch entsprechendes Skripting erreichen kann. Andererseits ist der Betrieb einer CA sowieso nicht jedermanns Sache.2. Wo sitzt der Reverse Proxy? Egal, was man dafür verwendet, falls der Proxy auf der OpnSense liegt und gleichzeitig auch "extern" erreichbare Namen bedient, muss man dafür sorgen, dass die "internen" Services nicht aus Versehen exponiert werden.Aus diesem Grund trenne ich die externen Dienste von den internen - letztere laufen über einen Traefik, der auf einem Docker-Host betrieben wird. Das ist auch deshalb praktisch, weil die meisten Services unter Docker laufen und somit nur Annotations brauchen, um mit HTTPS ausgestattet zu werden.
