Gedanken zu Netzsicherheit

Schritt für Schritt nehme ich mir vor meine Container sicherer zu machen.
Damit meine ich zu allererst das schliessen von unnötiger Weltoffenheit.
Gerade beim wikijs hatte ich es mit firewall Regeln probiert, musste aber erkennen, dass das zumindestens bei meinem Setup, Debian mit ISPConfig.

Die bessere Variante beschreibe ich hier.
Eigentlich kein Ding, der Weg dorthin war aber steinig, weil man für das Ergebnis jedesmall einen neustart des Contsainers machen muss.

Wikijs

der Default Eintrag ist

• Ports 3000:3000
  implizit ist immer 0.0.0.0 vor eingestellt.

die Variante, die ich verwende ist die Angabe des hosts.
Es muss übrigens eine IP Adresse sein, kein Hostname
Also

• Ports 127.0.0.1:3000:3000

Ausschnitt aus meiner docker-compose.yml ich habe Port 2999, aber das Prinzip sollte klar sein

    ports:
      - 127.0.0.1:2999:2999
    volumes:
      - /docker/wikijs/config:/config
      - /docker/wikijs/data:/data

Den Container stoppen und starten, Restart reicht nicht! Wenigstens nicht, wenn man das mit dockge macht.

Kontrolle

docker-compose ps
 Name    Command   State                 Ports               
-------------------------------------------------------------
wikijs   /init     Up      127.0.0.1:2999->2999/tcp, 3000/tcp

nmap ip-des-servers -p2999
...
PORT     STATE  SERVICE
2999/tcp closed remoteware-un

Das Ergebnis ist nun ein wikijs, dass nurch via localhost über die Domain errechbar ist, in der in der Apache Config der proxy Eintrag gemacht wurde.

ProxyPreserveHost On
# Ausnahme für /Shaarli und Unterseiten
ProxyPass /Shaarli !


ProxyPass /sitemap.xml http://localhost:3012/sitemap.xml
ProxyPassReverse /sitemap.xml http://localhost:3012/sitemap.xml

ProxyPass / http://localhost:2999/
ProxyPassReverse / http://localhost:2999/