Diagnosis reports issues about HTTP exposure and email

[Moto1987]

What type of hardware are you using: Old laptop or computer
What YunoHost version are you running: 12.1.36
How are you able to access your server: The webadmin
SSH
Are you in a special context or did you perform specific tweaking on your YunoHost instance ?: Yunohost ist behint nginx proxy manager (NPM

Describe your issue

Hello, I set up Yunohost with a nohost domain and added several subdomains. Under Diagnostics, I’m seeing various errors, including that ports 80 and 443 are not open. I have a proxy manager running in front of Yunohost, which forwards all requests to Yunohost (domain name and subdomain names are all configured). I’ve also checked all websites.

Share relevant logs or error messages

=================================

Grundsystem (basesystem)

[INFO] Server Hardware Architektur ist bare-metal amd64

• Das Servermodell ist LENOVO 10AAS3WQ00

[INFO] Server läuft unter Linux-Kernel 6.1.0-41-amd64

[INFO] Server läuft unter Debian 12.12

[INFO] Server läuft YunoHost 12.1.36 (stable)

• yunohost Version: 12.1.36 (stable)
• yunohost-admin Version: 12.1.13 (stable)
• yunohost-portal Version: 12.1.2 (stable)
• moulinette Version: 12.1.3 (stable)
• ssowat Version: 12.1.1 (stable)

=================================

Internetkonnektivität (ip)

[SUCCESS] Domänen-Namens-Auflösung funktioniert!

[SUCCESS] Der Server ist mit dem Internet über IPv4 verbunden!

• Globale IP: xx.xx.xx.xx
• Lokale IP: 192.168.179.207

[SUCCESS] Der Server ist mit dem Internet über IPv6 verbunden!

• Globale IP: xx:xx:xx:xx:xx:xx
• Lokale IP: fe80::dacb:8aff:fe5f:5ebf

=================================

DNS-Einträge (dnsrecords)

[SUCCESS] DNS Einträge korrekt konfiguriert für die Domäne maindomain.tld (Kategorie basic)

[SUCCESS] DNS Einträge korrekt konfiguriert für die Domäne maindomain.tld (Kategorie mail)

[SUCCESS] DNS Einträge korrekt konfiguriert für die Domäne maindomain.tld (Kategorie extra)

=================================

Geöffnete Ports (ports)

[SUCCESS] Port 97 ist von Aussen erreichbar.

• Diesen Port zu öffnen ist nötig, um die Funktionalität des Typs [?] (service ssh) zu gewährleisten

[SUCCESS] Port 587 ist von Aussen erreichbar.

• Diesen Port zu öffnen ist nötig, um die Funktionalität des Typs email (service postfix) zu gewährleisten

[SUCCESS] Port 64738 ist von Aussen erreichbar.

• Diesen Port zu öffnen ist nötig, um die Funktionalität des Typs [?] (service mumbleserver) zu gewährleisten

=================================

Web (web)

[ERROR] Die Domäne maindomain.tld scheint von aussen per HTTP nicht erreichbar zu sein.

• Es sieht so aus als ob ein anderes Gerät (vielleicht dein Router/Modem) anstelle Ihres Servers antwortet.
  1. Der häufigste Grund hierfür ist, dass Port 80 (und 443) nicht korrekt zu deinem Server weiterleiten.
  2. Bei komplexeren Setups: prüfen Sie ob Ihre Firewall oder Reverse-Proxy die Verbindung stören.

[SUCCESS] Die Domäne admin.maindomain.tld ist über HTTP von außerhalb des lokalen Netzwerks erreichbar.

[INFO] Die Domäne admin.maindomain.tld scheint von aussen via HTTP per IPv6 nicht erreichbar zu sein, obwohl es per IPv4 funktioniert.

• Verbindungsfehler: konnte nicht zur angeforderten Domäne verbinden, es ist sehr wahrscheinlich, dass sie nicht erreichbat ist.

[SUCCESS] Die Domäne cloud.maindomain.tld ist über HTTP von außerhalb des lokalen Netzwerks erreichbar.

[INFO] Die Domäne cloud.maindomain.tld scheint von aussen via HTTP per IPv6 nicht erreichbar zu sein, obwohl es per IPv4 funktioniert.

• Verbindungsfehler: konnte nicht zur angeforderten Domäne verbinden, es ist sehr wahrscheinlich, dass sie nicht erreichbat ist.

[SUCCESS] Die Domäne mumble.maindomain.tld ist über HTTP von außerhalb des lokalen Netzwerks erreichbar.

[INFO] Die Domäne mumble.maindomain.tld scheint von aussen via HTTP per IPv6 nicht erreichbar zu sein, obwohl es per IPv4 funktioniert.

• Verbindungsfehler: konnte nicht zur angeforderten Domäne verbinden, es ist sehr wahrscheinlich, dass sie nicht erreichbat ist.

[ERROR] Die Domäne office.maindomain.tld scheint von aussen per HTTP nicht erreichbar zu sein.

• Es sieht so aus als ob ein anderes Gerät (vielleicht dein Router/Modem) anstelle Ihres Servers antwortet.
  1. Der häufigste Grund hierfür ist, dass Port 80 (und 443) nicht korrekt zu deinem Server weiterleiten.
  2. Bei komplexeren Setups: prüfen Sie ob Ihre Firewall oder Reverse-Proxy die Verbindung stören.

[ERROR] Die Domäne opencloud.maindomain.tld scheint von aussen per HTTP nicht erreichbar zu sein.

• Es sieht so aus als ob ein anderes Gerät (vielleicht dein Router/Modem) anstelle Ihres Servers antwortet.
  1. Der häufigste Grund hierfür ist, dass Port 80 (und 443) nicht korrekt zu deinem Server weiterleiten.
  2. Bei komplexeren Setups: prüfen Sie ob Ihre Firewall oder Reverse-Proxy die Verbindung stören.

[ERROR] Die Domäne ortung.maindomain.tld scheint von aussen per HTTP nicht erreichbar zu sein.

• Es sieht so aus als ob ein anderes Gerät (vielleicht dein Router/Modem) anstelle Ihres Servers antwortet.
  1. Der häufigste Grund hierfür ist, dass Port 80 (und 443) nicht korrekt zu deinem Server weiterleiten.
  2. Bei komplexeren Setups: prüfen Sie ob Ihre Firewall oder Reverse-Proxy die Verbindung stören.

[ERROR] Die Domäne zeiterfassung.maindomain.tld scheint von aussen per HTTP nicht erreichbar zu sein.

• Es sieht so aus als ob ein anderes Gerät (vielleicht dein Router/Modem) anstelle Ihres Servers antwortet.
  1. Der häufigste Grund hierfür ist, dass Port 80 (und 443) nicht korrekt zu deinem Server weiterleiten.
  2. Bei komplexeren Setups: prüfen Sie ob Ihre Firewall oder Reverse-Proxy die Verbindung stören.

=================================

E-Mail (mail)

[SUCCESS] Der SMTP-Server ist in der Lage E-Mails zu versenden (der ausgehende Port 25 ist nicht blockiert).

[ERROR] Der SMTP-Server ist von außen nicht erreichbar per IPv4. Er wird nicht in der Lage sein E-Mails zu empfangen.

• Konnte keine Verbindung zu deinem Server auf dem Port 25 herzustellen über IPv4. Er scheint nicht erreichbar zu sein.
  1. Das häufigste Problem ist, dass der Port 25 nicht richtig zu deinem Server weitergeleitet ist.
  2. Du solltest auch sicherstellen, dass der Postfix-Dienst läuft.
  3. In komplexeren Umgebungen: Stelle sicher, daß keine Firewall oder Reverse-Proxy stört.

[ERROR] Der SMTP-Server ist von außen nicht erreichbar per IPv6. Er wird nicht in der Lage sein E-Mails zu empfangen.

• Konnte keine Verbindung zu deinem Server auf dem Port 25 herzustellen über IPv6. Er scheint nicht erreichbar zu sein.
  1. Das häufigste Problem ist, dass der Port 25 nicht richtig zu deinem Server weitergeleitet ist.
  2. Du solltest auch sicherstellen, dass der Postfix-Dienst läuft.
  3. In komplexeren Umgebungen: Stelle sicher, daß keine Firewall oder Reverse-Proxy stört.

[ERROR] Kein Reverse-DNS-Eintrag ist definiert für IPv4. Einige E-Mails könnten eventuell nicht zugestellt oder als Spam markiert werden.

• Sie sollten zuerst versuchen, auf Ihrer Internet-Router-Oberfläche, in Ihrer Internet-Box oder auf Ihrer Hosting-Anbieter-Oberfläche den Reverse-DNS-Eintrag mit maindomain.tldzu konfigurieren. (Gewisse Hosting-Anbieter können möglicherweise verlangen, dass Sie dafür ein Support-Ticket erstellen).
• Einige Provider werden Ihnen nicht erlauben, den Reverse-DNS zu konfigurieren (oder deren Funktionalität ist defekt…). Falls Sie deswegen auf Probleme stossen sollten, ziehen Sie folgende Lösungen in Betracht:
  • Manche ISPs stellen als Alternative die Benutzung eines Mail-Server-Relays zur Verfügung, was jedoch mit sich zieht, dass das Relay Ihren E-Mail-Verkehr ausspionieren könnte.
  • Eine privatsphärenfreundlichere Alternative ist die Benutzung eines VPN mit einer dedizierten öffentlichen IP um Einschränkungen dieser Art zu umgehen. Schauen Sie hier nach https://doc.yunohost.org/vpn_advantage
  • Schließlich ist es auch möglich, zu einem anderen Provider zu wechseln

[ERROR] Kein Reverse-DNS-Eintrag ist definiert für IPv6. Einige E-Mails könnten eventuell nicht zugestellt oder als Spam markiert werden.

• Sie sollten zuerst versuchen, auf Ihrer Internet-Router-Oberfläche, in Ihrer Internet-Box oder auf Ihrer Hosting-Anbieter-Oberfläche den Reverse-DNS-Eintrag mit maindomain.tldzu konfigurieren. (Gewisse Hosting-Anbieter können möglicherweise verlangen, dass Sie dafür ein Support-Ticket erstellen).
• Einige Provider werden es Ihnen vermutlich nicht erlauben, den Reverse-DNS-Eintrag zu konfigurieren (oder vielleicht ist diese Funktion beschädigt…). Falls Sie Ihren Reverse-DNS-Eintrag für IPv4 korrekt konfiguriert haben, können Sie versuchen, die Verwendung von IPv6 für das Versenden von E-Mails auszuschalten, indem Sie den Befehl ‘yunohost settings set email.smtp.smtp_allow_ipv6 -v off’ ausführen. Bemerkung: Die Folge dieser letzten Lösung ist, dass Sie mit Servern, welche nur über IPv6 verfügen, keine E-Mails mehr versenden oder empfangen können.

[SUCCESS] Die IP-Adressen und die Domänen, welche von diesem Server verwendet werden, scheinen nicht auf einer Blacklist zu sein

[SUCCESS] 0 anstehende E-Mails in der Warteschlange

=================================

Dienste-Status (services)

[SUCCESS] Dienst coolwsd läuft!

[SUCCESS] Dienst dnsmasq läuft!

[SUCCESS] Dienst dovecot läuft!

[SUCCESS] Dienst fail2ban läuft!

[SUCCESS] Dienst mumbleserver läuft!

[SUCCESS] Dienst mysql läuft!

[SUCCESS] Dienst nftables läuft!

[SUCCESS] Dienst nginx läuft!

[SUCCESS] Dienst opencloud läuft!

[SUCCESS] Dienst opendkim läuft!

[SUCCESS] Dienst php8.3-fpm läuft!

[SUCCESS] Dienst postfix läuft!

[SUCCESS] Dienst postgresql läuft!

[SUCCESS] Dienst redis-server läuft!

[SUCCESS] Dienst slapd läuft!

[SUCCESS] Dienst ssh läuft!

[SUCCESS] Dienst traccar läuft!

[SUCCESS] Dienst webmin läuft!

[SUCCESS] Dienst yunohost-api läuft!

[SUCCESS] Dienst yunohost-portal-api läuft!

[SUCCESS] Dienst yunomdns läuft!

=================================

Systemressourcen (systemresources)

[SUCCESS] Das System hat noch 13 GiB (88%) RAM von 15 GiB zur Verfügung.

[SUCCESS] Das System hat 976 MiB Swap!

• Bitte wahren Sie Vorsicht und Aufmerksamkeit, dass das Betreiben der Swap-Partition auf einer SD-Karte oder einer SSD die Lebenszeit dieses Geräts drastisch reduzieren kann.

[SUCCESS] Der Speicher / (auf Gerät /dev/sda2) hat immer noch 421 GiB (97.3%) freien Speicherplatz übrig(von insgesamt 433 GiB)!

[SUCCESS] Der Speicher /boot/efi (auf Gerät /dev/sda1) hat immer noch 505 MiB (98.9%) freien Speicherplatz übrig(von insgesamt 511 MiB)!

=================================

Systemkonfiguration (regenconf)

[SUCCESS] Alle Konfigurationsdateien sind in Übereinstimmung mit der empfohlenen Konfiguration!

=================================

Applikationen (apps)

[SUCCESS] Alle installierten Apps berücksichtigen die grundlegenden Paketierungspraktiken

Schau dir mal das Bild an!

Schau dir mal das Bild an!

Schau dir mal das Bild an!

Schau dir mal das Bild an!

Schau dir mal das Bild an!

Schau dir mal das Bild an!

[otm33]

Did you try with the https forward ?

[Moto1987]

what do you mean? forward in the proxy manager?

[otm33]

yes

[Moto1987]

As you can see from the pictures, I have set up the redirect. Otherwise I wouldn’t be able to access the pages on the go. It’s just that the yunohost server says that the pages are not accessible, although this is not true. How does the server test this? Could it be because I reinstalled the server once and use the same main domain again? I used the recovery password for this

[otm33]

Using YunoHost behind an NGINX proxy manager

I was struggeling a bit to use yunohost on a different machine behind the nginx proxy manager of my server. This is how I got it to work: Use the HTTPS forward: [grafik] Request an SSL Ceriticate: [grafik] Set the advanced options: location / { proxy_pass https://10.8.0.2:443; proxy_ssl_verify off; proxy_set_header Host $host; proxy_ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3; } So, if you want to run yunohost behind an nginx reverse proxy, this could b…

[Moto1987]

I think I had already read your post here and actually set it up as you described. To be on the safe side, I asked an ai again how best to set up the constellation and the ai said exactly the same thing as you. Basically, it works, but yunohost diagnostics says sites are just not accessible…

[otm33]

Sorry, I thought you couldn’t reach one of your domains.

Well, I guess Yunohost expects to be directly exposed to the internet, so when it runs its connectivity checks, it expects to get its nginx config and not the NPM‘s one ? As diagnosis says, this is an expected error when running YNH behind RP. Maybe it would be necessary that NPM passthrough traffic to yunohost.

[Moto1987]

Is it possible to adjust this somehow with the NPM?

Or should I leave it as it is, since it runs and is purely visually “disturbing”?

[Pinipon]

It’s NOT a solution, but you can always set to ignore those errors, I’ve used it myself for IPV6 connection because my ISP doesn’t provide IPV6, and I didn’t want to see that “error”