Portainer-Application templates list

[TschonBo]

All meine Templates werden von der Firewall geblockt, leider gibt es kein Protokoll.
Als Regel habe ich die Anwendung Docker Container gewählt und selbst wenn ich alle Quell-IP zulasse, kriege ich keine Verbindung.
Unter AdGuard sehe ich keine Anfrage.
Failure
Get "https://raw.githubusercontent.com/pi-hosted/pi-hosted/master/template/portainer-v2-amd64.json": dial tcp: lookup raw.githubusercontent.com: i/o timeout
Schallte ich die Firewall ab, läufts.!
Wie ist das bei Euch?

 

[Ulfhednir]

Deine Firewall-Regeln werden am Ende mit einem "Alles Blockieren" enden. Insofern musst du hier eine explizite Ausnahme definieren.
Hast du denn de richtige Quell-IP angegeben? Die IPs des Containers ändern sich hin und wieder schon einmal. Aus diesem Grund habe ich hier auch einen Adressbereich in der Freigabe.

 

[TschonBo]

Hast du denn de richtige Quell-IP angegeben?

Hast Du meinen Beitrag gelesen, oder nur die Themenüberschrift?
Und natürlich ist die letzte Regel, Nein Danke.

 

[Ulfhednir]

Ich frage nicht ohne Grund. Ich frage dann mal anders: WELCHE Quell IP hast du angegeben?
Bitte Screenshot vom Container samt Firewall-Einstellungen liefern.

P.S.: Wenn du natürlich nur wissen willst, wie das bei anderen ist und dafür keine Lösung suchst (dein Beitrag wurde ja initial anders formuliert), gibt es von meiner Warte die Antwort: Natürlich ist das bei mir genauso.

 

[TschonBo]

So siehts aus.

 

[plang.pl]

Du musst das Docker Netz freigeben

 

[Ulfhednir]

Genauso ist es. Und ich bin anfänglich davon ausgegangen, dass man hier wenigstens schon einmal die interne IP aus dem Docker-Netz freigegeben wurde.
Daher auch der Hinweis, dass sich die IPs (im Docker-Netzwerk) beim Recreate des Containers verändern.
Insofern ist das auch meine Empfehlung den kompletten Range freizugeben.

 

[TschonBo]

Es reicht die Adrresse, mal schauen ob die sich ändert.
Der Eingang ist ja der Port, den ich zu meiner lokalen Adresse eingebe.
Dann sah ich noch: Listening on http://0.0.0.0:8000
Die öffnung dieser Ports half nichts: 53,80,443,meinZG-Port,8000
Erst wenn Alle Ports erlaubt, dann geht’s.
Eine gute Firewall würde helfen, oder einfach ein Logbuch der Syno. Schade..
Und wieder ein kleines Randproblemchen weniger.
Danke

 

[TschonBo]

Verständnisfragen:
Bisher dachte ich, das ein Container einen Eingang und einen Ausgang hat und alles was er sonst so macht, läuft intern ab? Das würde erklären warum die oben freigegebenen Ports nicht greifen und mir lediglich der Ausgangsport bisher nicht bekannt ist, den ich in der DS-Firewall aber freigeben müsste.

Ein Revers Proxy (RP) muss als erster hinter meinem Router auf Port 80 & 443 hören und wertet meine Domains/SubDomains aus und verteilt diese an meine ServerAnwendungen.
Muss der RP dafür in einem anderen LAN-Adressbereich arbeiten?
Ich denke nicht, oder kann er seinen Job nur über Routing erledigen?
Wenn dem aber so ist, brauche ich entweder ein VLan mit fester IP, oder über eine zweite LAN Karte (in der DS) die auf den Router hört und dann in mein bestehendes LAN routet?
Oder besser einen separaten konfigurierbaren Router/Switch?

 

[plang.pl]

Muss der RP dafür in einem anderen LAN-Adressbereich arbeiten?

nein

 

[TschonBo]

Danke! Ich liebe klare Aussagen.
Es bleibt noch meine erste Frage. Bzw. stimmst Du mir da zu? Ich hoffe auf ein Ja
Natürlich kann ich alles Freigeben, aber das verbessert nicht mein Verständnis.

 

[Ulfhednir]

Verständnisfragen:
Bisher dachte ich, das ein Container einen Eingang und einen Ausgang hat und alles was er sonst so macht, läuft intern ab?

Der Standard im Bridge-Modus (Host/MCVLAN außer Acht gelassen) lautet: Der Container agiert als eigenständiges Netzwerkgerät, das über NAT in einem separaten Netzwerksegment betrieben wird und die Kommunikation über den Docker-Host abwickelt. Insofern passiert hier das selbe was bei deinem Router von draußen nach drinnen passiert.

 

[TschonBo]

Portainer erreiche ich über 192.168.11.3:9443
Dafür brauche ich keine Freigabe!
Erst um Templates in Portainer abzurufen und mit ihm zu arbeiten, braucht es eine Freigabe.
Dies hatte ich über Freigabe nach Anwendung gemacht. Das reicht aber leider nicht.
Die Adresse des Bridge-LAN hatte ich bereits freigegeben, doch er will auch alle Ports, nicht nur 53,80 & 443.
Vielleicht führt das aber alles auch zu weit und konzentriere mich besser auf mein eigentliches Vorhaben. (Jitsi)