Bitwarden_rs niet van buiten benaderbaar icm Traefik

[devino]

Mijn vraag
Het lukt mij niet op mijn bitwarden_rs docker via traefik aan de buitenwereld te koppelen. Mijn traefik werkt wel voor onder andere mijn home assistant container, dus daar verwacht ik niet het probleem.

Relevante software en hardware die ik gebruik
Ik gebruik docker-compose icm traefik 1.7 (ja ik weet dat ik moet updaten naar 2, maar heb nog niet genoeg tijd vrij gemaakt om de verschillen te definieren en daarmee mijn docker-compose file te updaten)

Mijn docker-compose van mijn bitwarden_rs-container is:

YAML:

version: "3.3"
services:
  bitwarden:
    image: bitwardenrs/server
    env_file: /home/rogier/docker/bitwarden/bitwarden.env
    restart: unless-stopped
    ports:
      - 808:808
      - 3012:3012
    volumes:
      - /etc/localtime:/etc/localtime:ro
      - /home/rogier/docker/bitwarden:/data/:rw
    environment:
      WEBSOCKET_ENABLED: 'true' # Required to use websockets
      SIGNUPS_ALLOWED: 'true'   # set to false to disable signups
#      ADMIN_TOKEN: 'xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'
      SMTP_HOST: 'smtp.host.tld'
      SMTP_FROM: '[e-mail]'
      SMTP_PORT: '25'
      SMTP_SSL: 'true'
#      SMTP_USERNAME: '[e-mail]'
#      SMTP_PASSWORD: 'xxxxxxxxxxxxxxxxxxxxxx'
      DOMAIN: 'https://bitwarden.host.tld'
      LOG_FILE: '/data/log'
      EXTENDED_LOGGING: 'true'
      ROCKET_PORT: '808'
      WEBSOCKET_PORT: '3012'
    labels:
      - "traefik.enable=true"
 #     - "traefik.docker.network=traefik_proxy"
      - "traefik.web.frontend.rule=Host:bitwarden.host.tld"
      - "traefik.web.port=808"
      - "traefik.port=808"
      - "traefik.hub.frontend.rule=Host:bitwarden.host.tld;Path:/notifications/hub"
      - "traefik.hub.port=3012"
      - "traefik.hub.protocol=ws"
      - "traefik.frontend.headers.SSLRedirect=true"
      - "traefik.frontend.headers.STSSeconds=315360000"
      - "traefik.frontend.headers.browserXSSFilter=true"
      - "traefik.frontend.headers.contentTypeNosniff=true"
      - "traefik.frontend.headers.forceSTSHeader=true"
      - "traefik.frontend.headers.SSLHost=bitwarden.host.tld"
      - "traefik.frontend.headers.SSLForceHost=true"
      - "traefik.frontend.headers.STSIncludeSubdomains=true"
      - "traefik.frontend.headers.STSPreload=true"
      - "traefik.frontend.headers.customResponseHeaders: X-Robots-Tag:noindex,nofollow,nosnippet,noarchive,notranslate,noimageindex"
      - "traefik.frontend.headers.frameDeny=true"
    networks:
      - traefik_proxy      
      
networks:
  traefik_proxy:
    external:
      name: traefik_proxy

Ik heb al een hoop verschillende opties geprobeerd, en vooral in de labels voor de traefik instellingen. De installatie is wel te bereiken via het interne ipadres op poort 808, dus de container is goed opgestart en functioneerd.
In de logging van traefik kom ik het volgende tegen, wat mij in ieder geval de bevestiging geeft dat de container door traefik wordt opgemerkt.

time="###" level=error msg="Unable to obtain ACME certificate for domains \"bitwarden.host.tld\" detected thanks to rule \"Host:bitwarden.host.tld;Path:/notifications/hub\" : unable to generate a certificate for the domains [bitwarden.host.tld]: acme: Error -> One or more domains had a problem:\n[bitwarden.host.tld] acme: error: 400 :: urn:ietf:params:acme:error:connection :: Fetching http://bitwarden.host.tld...GKVaMTtanzPxll3tdjfzwjaw: Timeout during connect (likely firewall problem), url: \n"

Ik heb bij het aanmaken van eerdere containers niets in de firewall van mijn ubuntu-NUC aangepast, dus het lijkt me sterk dat het daarin zit.Google bied niet voldoende soelaas, wie kan mij de juiste richting in helpen?

[Jivebunny]

Hoe laat je in jou traefik configuratie de ACME challenge gebeuren? DNS of HTTP challenge? Welke ports worden gebruikt om te challengen?

https://docs.traefik.io/v...ation/acme/#httpchallenge
https://docs.traefik.io/v...ration/acme/#dnschallenge

wat mij in ieder geval de bevestiging geeft dat de container door traefik wordt opgemerkt.

Ja, traefik misschien wel, maar lets encrypt komt er niet door. Ik vermoed dat port 808 misschien niet wordt gebruikt voor verificatie, maar een andere?

[ Voor 33% gewijzigd door Jivebunny op 10-04-2020 16:36 ]

[devino]

Ik gebruik de http challenge, deze werkt voor de andere containers ook prima.

YAML:

# Let's Encrypt integratie
[acme]
  acmeLogging = true
  email = "[e-mail]"
  storage = "acme.json"
  entryPoint = "https"
  onHostRule = true
  [acme.httpChallenge]
    entryPoint = "http"

De entryports zijn dus gewoon 80 en 443, maar d 808 is ook alleen intern te benaderen zoals voor home assistant het intern 8123 is.

[ Voor 18% gewijzigd door devino op 10-04-2020 16:38 ]