Docker Container vom lokalen Netzwerk isolieren aber Internetzugriff erlauben

Custom Network + iptables sollte es regeln, aber wofür brauchst du das?

https://riptutorial.com/docker/example…custom-network-

Kann man machen, aber wozu dann den Zugriff aus dem LAN sperren?

Den Zugriff auf die API kannst du ja einfach mit nem Reverse Proxy bereitstellen.

Ich hoffe das deine Familie im LAN sitzt und du nicht wirklich vorhast die API im Internet freizugeben.
Wenn du da was falsch konfigurierst und das jemand mitkriegt dann hast du ein derbes Problem.

Wenn deine Familie im LAN sitzt dann macht das was du vorhast überhaupt keinen Sinn.

Ehrlich gesagt macht es meiner Meinung nach keinen Sinn den Lan Zugriff des Containers zu beschränken. Vor allem nicht wenn alle Leute die Zugriff haben vertrauenswürdig sind. Oder wofür fürchtest du dich.

Ich würde mir an deiner Stelle eher Gedanken um einen vernünftigen Zugriffsschutz machen. Ich glaube nämlich kaum das Telerising mit dem Gedanken programmiert wurde frei uns Netz gestellt zu werden. Und nein ein DDNS Name den "keiner" kennt das ist kein guter Zugriffsschutz.

Wäre eh egal, die Chinesen (hrhr), Russen und die USA scannen eh alle IPs durch

Zitat von SkyBird1980

Wäre eh egal, die Chinesen (hrhr), Russen und die USA scannen eh alle IPs durch

nanana, am Geburtstag mal nicht so rassistisch sein

Wie sieht denn die Infrasturktur des Netzwerks bei dir so aus?

Ich würde das Thema komplett von einer anderen Seite aus angehen:
Als erstes eine entsprechende Firewall (z.B. OPNsense) einrichten und dort dann je nach Bedarf verschiedene VLANs konfigurieren.
Die zu separierenden Elemente dann jeweils in ein eigenes Subnetz/VLAN packen und per Firewallregeln festlegen, wer auf was welchen Zugriff haben darf.
Die Haushalte an den entfernten Standorten kann man dann via VPN anbinden.

Wäre meiner Ansicht nach der sauberste Weg.

Läuft bei nem Portforwarding nicht auch der gesamte Traffic über dich?

man kann ein VPN auch so bauen, dass nur der LAN Traffic zu dir kommt.

z.b. Anfragen zu 192.168.180.x im VPN, der Rest direkt (Split VPN).

Das geht z.b. mit Wireguard, oder auch normal mit den Fritzboxen über IKEv1

@tavoc du hast schon den Post gelesen wo @talentfrei das hier geschrieben hat: "Also ich hab da grundsätzlich nicht so viel Ahnung davon"

Und du schlägst ihm jetzt ein Split VPN vor. Selbst wenn er es mit deiner Hilfe eingerichtet bekommt, meinst du er kann es auch warten?
Sorry soll jetzt nicht abwertend gemeint sein, aber vor allem wenn ich irgendwas ins Internet hänge dann sollte ich doch bei den Techniken bleiben die ich komplett verstehe.

Die Idee ist ja es nicht ins Internet zu hängen, sondern die Kommunikation im priavaten Netz zu lassen.
Verbindet man z.b. zwei Fritzboxen, so ist das die Standardeinstellung. Das kann man im Webinterface durch klicken von weiter konfigurieren.

Einzige Einschränkung. Die Netze müssen verschieden sein.

Aus meiner Sicht ist es viel gefährlicher ohne Wissen einen Dienst durch Portforwarding oder irgendwie anders ins Internet zu lassen.

Ohne wissen irgendetwas aktiv von Aussen zugänglich zu machen ist schon eine mindergute Idee.

Ich kann den Grundgedanken schon gut nachvollziehen.

Egal was jetzt wie veröffentlicht wurde oder so, es ist schon nicht verkehrt, die Docker Container die sich nicht gegenseitig sehen müssen, bzw. die Ressourcen der anderen Container oder des Hosts nicht brauchen, in separate Netze zu stellen. Zumindest wäre das eine weiter Hürde wenn eine Sicherheitslücke ausgenutzt wird oder sich ne Art Trojaner durchfräst.

Zitat von talentfrei

Also VPN wäre glaube ich tödlich, das würde wahrscheinlich meine Leitung lahmlegen wenn der gesamte Traffic darüber läuft.

Mit "Anbindung via VPN" meinte ich erstmal nur, dass es einen verschlüsselten Tunnel gibt, der zwei entfernte, jeweils lokale Subnetze, miteinander verbindet.
Das einzige was dann effektiv darüber geroutet werden muss sind die Zugriffe auf die Telerising-API.

Zitat von talentfrei

Das ist sicher nicht die sauberste Lösung (das ist mir klar!) aber aktuell wäre ich damit zufrieden wenn es läuft

Was du vorhast ist grundsätzlich halt schon etwas komplexer als das was die an "Laien" gerichteten 08/15-Anleitungen im Internet so hergeben.
Natürlich kann man dann einfach irgendwas so lange hinpfuschen bis es halt mehr oder weniger wie gewünscht funktionioniert. Aber gerade wenn es um Freigabe ins Internet / Zugriff von außen geht birgt das eben auch viele Gefahren mit der du dein Netzwerk angreifbar machst und dann effektiv anstatt dem erhofften Mehr an Sicherheit auf einmal gravierende zusätzliche Sicherheitslücken hast.
tavoc und darkside40 haben das ja auch schon angedeutet.

Ich denke für gewisse Vorhaben ist es einfach unabdinglich etwas Grundkenntnis von dem zu haben was man da bewerkstelligen möchte. Und wenn diese Kenntnisse nicht vorhanden sind, dann hilft nur sich diese anzueignen.
Es gibt ja nicht grundlos Fachleute die das beruflich machen. Eben weil nicht jeder die dazu notwendigen Kenntnisse mal eben so erlangt.