Mailcow hinter Caddy Reverse-Proxy auf getrennten Servern

cRemE-fReSh

Hallo,
ich habe eine Frage, zu der ich bisher keine Lösung gefunden habe.
Ich hoffe, dass die Community mir helfen kann.

Ich betreibe bereits verschiedene Dienste auf lokalen Server(n). Diese sind alle hinter einem zentralen Caddy Reverse Proxy nach außen hin zugänglich gemacht. Die Zuordnung der Zugriffe, bzw. Auflösung erfolgt über die verschiedenen, vergebenen Subdomains (Domains sind bei externem Anbieter mit DNS A Einträgen, die auf meine feste IP4 verweisen.

Aktuell versuche ich, einen alten Mailserver durch Mailwoc zu ersetzen. Mailcow ist auf einer separaten Debian VM installiert. Caddy läuft auf einer anderen VM im Docker.

Ich habe nun aber keine Lösung gefunden, wie ich Mailcow hinter dem separat laufenden Caddy Service anbinden kann. Dabei geht es mir vor allem um die Port 443/80, der auch von anderen Diensten genutzt wird. Sonstige Ports (SMTP, IMAP, etc.) können direkt an die Mailcow VM forwarded werden. An Caddy vorbei.

Caddy erstellt automatisch ein Zertifikat für die Subdomain. Soweit so gut. Gemäß der Doku (https://docs.mailcow.email/de/post_installation/reverse-proxy/r_p-caddy2/) könnte ich nun die Zertifikate auf den Mailcow Server syncen und Mailcow keine eigenen Zertifikate erstellen lassen.

Mein Problem stellt sich nun aber in der Verbindung zwischen Caddy und Mailcow. Wie kann ich bei dieser Verbindung auch die Zertifikate nutzen, bzw. diese sicher gestalten. Es handelt sich zwar um eine interne Kommunikation, aber auch da sollten keine Daten unverschlüsselt übertragen werden.
Kann mir hier jemand einen Tip geben?

Eventuell bin ich auch mit der Lösung auf dem Holzweg und es gibt eine bessere Variante?

Und ja, es gäbe die Möglichkeit Caddy auf die Mailcow VM umzuziehen. Allerdings baue ich ungern Monolithen auf und würde die Trennung der verschiedenen Diensten gerne beibehalten.
Caddy läuft immer und verteilt die Anfragen. Unabhängig, was die einzelnen VMs der Dienste gerade tun.

Vielen Dank
CF

cRemE-fReSh

Solved.

Becker884

Magst deine Lösung erzählen?
ich verfahre ähnlich, außer:

Mein Problem stellt sich nun aber in der Verbindung zwischen Caddy und Mailcow. Wie kann ich bei dieser Verbindung auch die Zertifikate nutzen, bzw. diese sicher gestalten. Es handelt sich zwar um eine interne Kommunikation, aber auch da sollten keine Daten unverschlüsselt übertragen werden.

ich verwende vom Nginx Reverse Proxy -> Port 80 Mailcow

cRemE-fReSh

Ja, kann ich.
In Mailcow ist http->https aktiviert.
Zudem generiert Mailcow selbst Zertifikate. Werden wg. SMTP etc. benötigt.

Kurz Zusammengefasst: Ich nutze zwischen Caddy und Mailcow so eine so halb sichere Kommunikation. Da die Kommunikation aber rein intern erfolgt, aus meiner Sicht erstmal noch i.O. und immer noch besser als HTTP.

Nachfolgend die Caddy Config mit etwas Kommentaren…

#Port 80 leite ich weiter, damit die ACME Challenge in Mailcow funktioniert. 
meinedomain.com:80 {
    reverse_proxy lokaler_mailcow_name:80
}

#Haupteintrag
meinedomain.com {
  log {
    level INFO
    output file {$LOG_FILE} {
      roll_size 10MB
      roll_keep 10
    }
  }

  tls {
	issuer acme {
	  email {$EMAIL}
	}
  }

  encode gzip

  # Zusätzliche HTTP-Header zur Absicherung
  header {
    Strict-Transport-Security "max-age=31536000;"
    X-XSS-Protection "1; mode=block"
    X-Frame-Options "DENY"
    X-Robots-Tag "none"
    -Server
  }

# Das /admin handle nutze ich, damit man nur mit einer bestimmten (eigenen) IP auf den Adminbereich zugreifen kann und ansonsten der Adminbereich versperrt bleibt.
  handle /admin* {
    @denied not client_ip {$CLIENT_IP}
    abort @denied
    reverse_proxy https://lokaler_mailcow_name{
# Durch den Eintrag wird die Überprüfung des mailcow Serverzertifikats weggelassen. Ja. Ist ein Risiko, aber immer noch besser, als http.
           transport http {
		tls_insecure_skip_verify
	  }
      }
  }
  handle {
    reverse_proxy https://lokaler_mailcow_name{
# Siehe oben.
	  transport http {
		tls_insecure_skip_verify
	  }
	}
  }
}

Viele Grüße