Probleem SSL cert aanvraag Synology achter Tailscale

[SuperCrisz]

Oude situatie:

• Ik heb een aantal jaren een Synology NAS met custom domein via Strato. Heb ook een aantal subdomeinen actief.
• Via Freedns dynamic DNS ingeregeld die verwijst naar mijn public ip van Ziggo
• Via de NAS zijn SSL certificaten geconfigureerd via Lets Encrypt voor alle (sub)domeinen
• De subdomeinen heb ik aan reverse proxy hangen die 443 verwijst naar specifieke poort van de app (192.168.xxx.xx:portnummer)

So far so good.

Nieuwe situatie

• Ik heb nu tailscale draaien voor extra beveiliging, zodat alleen de clients die tailscale client hebben draaien met actieve connectie, bij de Synology komen. Dit werkt zowel binnen als buiten mijn LAN
• Subnet routes advertising en exit node is actief op de NAS
• tailscale outbound is ook actief (/var/packages/Tailscale/target/bin/tailscale configure-host; synosystemctl restart pkgctl-Tailscale.service)
• Ik heb nu de DNS van strato gebruikt met A-records dat verwijst naar het tailscale IP adres van de nas
• De reverse proxy heb ik aangepast naar hetzelfde tailscale doel-IP adres van de NAS

Probleem
Dit werkt dus prima voor de bestaande (sub)domeinen. Nu maak ik een nieuw subdomein aan en op dezelfde manier geconfigureerd (DNS settings, reverse proxy) als de overige... maar als ik nu een SSL certificaat aanvraag geeft hij een foutmelding: Het betreft een ongeldig domein, zorg dat het een openbaar IP adres is (oid. kan de fout nu niet reproduceren omdat ik aan de max zit qua aanvragen).

Wat heb ik al geprobeerd
• Poort 443 en 80 even opengezet op de router. Las dat dit ook een issue kan zijn.
• Firewall op de NAS uitgezet
• reverse proxy doeladres zowel geprobeerd om 192.168.xxx.xx adres alsook het tailscale IP adres als doeladres te gebruiken

SSL certificaten kan ik dus niet aanvragen, maar bestaande (sub)domeinen werken gewoon naar behoren bij actief tailscale connectie. Met identieke reverse proxy instelling.

Wat zou ik nog meer kunnen proberen om wel een SSL certificaat te kunnen aanvragen?

[MasterL]

Gokje..Kan Lets Encrypt jouw webserver/reverse proxy wel bereiken? Als je dit exclusief toestaat voor clients binnen tailscale lijkt me dit wellicht een probleem. Wellicht werkt certbot (oid) niet meer?
Dat het nu nog werkt voor bestaande subdomains is dan ook gelijk wat minder raar aangezien deze waarschijnlijk nu nog geldig zijn.

[SuperCrisz]

MasterL schreef op vrijdag 11 oktober 2024 @ 11:45:
Gokje..Kan Lets Encrypt jouw webserver/reverse proxy wel bereiken? Als je dit exclusief toestaat voor clients binnen tailscale lijkt me dit wellicht een probleem. Wellicht werkt certbot (oid) niet meer?
Dat het nu nog werkt voor bestaande subdomains is dan ook gelijk wat minder raar aangezien deze waarschijnlijk nu nog geldig zijn.

Grappig hoe zo'n wedervraag kan leiden tot een "OJA" moment. Ik had port 80 en 443 al open staan om het certificaat aan te vragen, maar ik moest natuurlijk wél in DNS het subdomein naar mijn openbare IP adres laten leiden, en niet naar de tailscale IP omdat die zonder client niet bereikbaar is. Heb dit even aangepast, en toen werkte het wél. Na aanvragen certificaat weer omgezet naar tailscale... en voila!

Merci voor jouw checkvraag

[MasterL]

Ik had al z'n vermoedde maar mooi dat het is opgelost!

[ResuCigam]

Is het nu niet zo dat dit probleem terug komt zodra Lets Encrypt je certificaten probeert te vernieuwen?

[SuperCrisz]

ResuCigam schreef op vrijdag 11 oktober 2024 @ 14:12:
Is het nu niet zo dat dit probleem terug komt zodra Lets Encrypt je certificaten probeert te vernieuwen?

Ik gok van wel, maar dat moet ik dan maar even inplannen.

[Audiowaste]

SuperCrisz schreef op vrijdag 11 oktober 2024 @ 14:57:
[...]


Ik gok van wel, maar dat moet ik dan maar even inplannen.

Ik ben afgelopen dagen tegen hetzelfde probleem aangelopen. Mijn setup is vrijwel hetzelfde als die van jou:

• Synology NAS
• Custom domein bij Transip
• Verschillende applicaties die op mijn NAS in Docker draaien.
• Tailscale geïnstalleerd op NAS (niet in Docker).
• Ik maak gebruik van NextDNS als Private DNS.
• Poorten 80 en 443 staan open in router. 443 vanwege https en 80 moet openstaan voor Lets Encrypt.

In mijn use case wilde ik bepaalde apps openstellen via internet en bepaalde apps alleen via VPN (bijvoorbeeld Vaultwarden).

Dit heb ik als volgt opgelost:

• Bij Transip alleen een A record naar het externe IP van mijn NAS, dus geen A record naar Tailscale IP van NAS.
• Via Reverse Proxy had ik al ingesteld dat https://vaultwarden.ditismijndomein.nl moet verwijzen naar http://localhost met poort 3050. Niet naar het interne IP adres.
• In Tailscale heb ik mijn persoonlijke NextDNS ingesteld als Global Nameserver en Override Local DNS enabled.
• In NextDNS voeg ik een rewrite toe van vaultwarden.ditismijndomein.nl naar 100.x.x.x (Tailscale IP adres van NAS).

Op deze manier kan ik via NextDNS eenvoudig instellen welke apps wel via VPN moeten verlopen door een rewrite in te stellen naar Tailscale IP van mijn NAS.

Bovendien kan ik gewoon certificaten aanvragen via Lets Encrypt en automatisch vernieuwen zonder dat ik iets in mijn instellingen hoef te wijzigen.