Welche Docker Container nutzt ihr?

Ich denke, ich geb Tirlium und Trinote nochmal eine Chance und teste es nochmal.
Trinote hat nun ein Update bekommen, wo scheinbar Dokumente auch offline verfügbar bleiben.

Quote from Chris1989

Trilium gefällt mir richtig gut,

War auf jedenfall ein guter Tipp , habe es mir auch mal kurz angeschaut. Auf den ersten Blick gefällt es mir auch gut. Jetzt muß ich das bei Gelegenheit erst einmal durchforsten, die Android App habe ich noch nicht installiert, von daher kann ich noch nichts zur App sagen.

Also ich bin echt begeistert von Trilium. Auch der Import von One NOte funktioniert gut.
Einziges Thema ist, dass es keine Native Mobile Apps vom Entwickler gibt. Es gibt aber separate Projekte dazu für Android und iOS.
Habs grad wieder installiert und teste nochmal. Es scheint aber Trinote nun wirklich die Offline Verfügbarkeit zu haben.

Wenn sie nun irgendwann noch die Möglichkeit implementieren mit dem Apple Pencil zu schreiben, dann wäre es wirklich richtig gut.

Hat jemand von euch zuvor Evernote benutzt und jetzt eine der genannten Notizen-Apps im Einsatz? Nutze Evernote seit mehr als 10 Jahren, weshalb mir jeder Umstieg schwer fällt.

Quote from LiniXXus

Finde ich auch, habe heute "Vaultwarden" für mich neu entdeckt und finde ich richtig gut.

Ich hab's jetzt auch endlich geschafft Vaultwarden zum laufen zu bekommen ohne Reverse Proxy und so nen unnötigen Firlefanz. Mega gutes Upgrade für meine IT Landschaft

Quote from Quidam

hab's jetzt auch endlich geschafft Vaultwarden zum laufen zu bekommen ohne Reverse Proxy und so nen unnötigen Firlefanz.

Magst Du vielleicht näher beschreiben, was und wie Du das gemacht hast, ich denke das interessiert neben mir auch andere User.

Ohne https? Das interessiert mich auch sehr. Nicht weil ich es brauche, habe eine funktionierende Umgebung, bin nur neugierig.

quiet86

hat hier einen interessanten Weg für Lets Encrypt https ohne offene Ports in Verbindung mit MacVLan beschrieben.

Thread

[TUT] Lets Encrypt https ohne offene Ports

Lets Encrypt Verschlüsselung für alle Dienste über DNS-01 Challenge und ohne offene Ports! Und nicht von außen erreichbar, außer eben über VPN ins Heimnetzwerk Wireguard

Voraussetzung:

[TUT] Portainer - Installationsanleitung

[TUT] MacVlan konfigurieren - Schritt für Schritt Anleitung

[TUT] Nginx Proxy Manager in Portainer installieren

[TUT] AdguardHome - Werbeblocker

Wenn diese Dienste bei euch eingerichtet und konfiguriert sind können wir nun im Nginx starten:

This image is exclusive to…

quiet86

May 30, 2025 at 9:39 PM

Die Idee kam KI, weil ich keine Lust hatte mich irgendwie für irgendwas irgendwo zu registrieren, das wiederstrebt meinen Gedanken von Inhouse.

Ich habe jetzt mit KI Hilfe eigene Zertifikate erstellt und Vaultwarden hat Rocket als Webframework, das nativ TLS kann. Die Zertifikate habe ich ins Dockerverzeichnis von Vaultwarden gepackt und diese YAML Datei genutzt. Das funktioniert rein Lokal, das war aber auch mein Plan.

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    user: "1001:10"
    ports:
      - "8000:80"  # Keep für Admin-UI (optional), aber nicht nötig wenn nur TLS
      - "8443:443" # TLS auf 443 (im Container)
    volumes:
      - /volume1/docker/vaultwarden/data:/data
      - /volume1/docker/vaultwarden/vaultwarden.crt:/vaultwarden.crt:ro
      - /volume1/docker/vaultwarden/vaultwarden.key:/vaultwarden.key:ro
    environment:
      DOMAIN: https://192.168.178.100:8443
      ROCKET_TLS: "{certs=\"/vaultwarden.crt\",key=\"/vaultwarden.key\"}"
      ROCKET_ADDRESS: 0.0.0.0
      ROCKET_PORT: 443
      ROCKET_LOG_LEVEL: debug
      # Optional für interne Zugriffe:
      ROCKET_CLI_COLORS: "false"

Die Zertifikate müssen dann in Betriebssystem (in meinem Fall Fedora und Android) als Vertrauenswürdig hinterlegt werden, dann läuft alles mit Browserplugin, Android Bitwarden App und Webapp ohne das ich Caddy oder sonst irgendwas zusätzlich brauche.

Edit: Auf Wunsch der Hinweis wie ich das Zertifikat erstellt habe, es war als ich noch mit Caddy getestet habe, welches ich nicht zum laufen bekomme habe. Daher sind die Pfade noch auf Caddy, könnt ihr ja aber anpassen, habe die Zertifikatsdaten händisch verschoben.

sudo docker run --rm -v /volume1/docker/caddy/data/caddy:/certs alpine/openssl req -x509 -nodes -newkey rsa:2048 
-keyout /certs/vaultwarden.key 
-out /certs/vaultwarden.crt 
-days 3650 
-subj "/CN=192.168.178.100" 
-addext "subjectAltName=IP:192.168.178.100"

Keine schlechte Idee

Quote from Quidam

Ich habe jetzt mit KI Hilfe eigene Zertifikate erstellt

Kannst Du vielleicht Deinen Weg hierzu auch noch beifügen, wäre noch eine schöne Ergänzung zum ganzen

Aber DNS-Challenge braucht doch nie offene Ports. Es basiert aber darauf, dass man einen DNS-Provider mit DNS-API hat.

Grundprinzip: Du forderst ein Zertifikat oder eine Verlängerung für z.B. "deinedomain.de" bei LE an. LE sagt: "Beweise erstmal, dass das deine ist. Legt erstmal einen TXT-Record mit folgendem Inhalt an, in ein paar Minuten prüfe ich das". Über die DNS-API wird der TXT-Record angelegt, danach geprüft, du bekommst/verlängerst dein Zertifikat, dann wird der Record wieder gelöscht. Ich praktiziere das seit Jahren mit "netcup" als DNS-Provider und acme.sh als Script auf meiner DS1522+. Allerdings ist die API von netcup etwas lahm, so dass man ein Delay von etwa 10 Minuten zwischen Anlegen und Prüfung einbauen muss. Bei ipv64.net als DNS-Provider geht das wesentlich schneller.

Edit: Auf meinem vServer nutze ist den NGINX-Proxy-Manager als Reverse-Proxy. Der hat den ganzen Mechanismus für die Beantragung/Verlängerung bereits eingebaut.

Respekt Quidam,

für ausschließlich Vaultwarden ist Rocket-TLS natürlich die schlankere Lösung. Ich bleibe trotzdem bei nginx, weil ich damit für weitere Container bereits eine zentrale HTTPS-Schicht habe und das Setup flexibel erweiterbar ist. Viele Wege führen nach Rom – nginx ist deshalb trotzdem kein „unnötiger Firlefanz“. 😉

Quote from Benares

Aber DNS-Challenge braucht doch nie offene Ports. Es basiert aber darauf, dass man einen DNS-Provider mit DNS-API hat.

Ist klar, aber dennoch ist es mehr Config, wieder ein Dienst extern der meine Mail-Adresse will, mehr Container die mehr Arbeit machen usw. Ich brauche keine Domains oder ähnliches. Mir reicht meine IP mit Port.

Die Lösung jetzt ist halt super schlank, ein Container und fertig ist. Die Zertifikate sind auf 10 Jahre Gültigkeit und mehr als ein Doppelklick machen um das Zertifikat zu vertrauen muss ich nicht machen, falls ich mal mein Rechner neu machen.

Quote from igomyway

Respekt Quidam,

für ausschließlich Vaultwarden ist Rocket-TLS natürlich die schlankere Lösung. Ich bleibe trotzdem bei nginx, weil ich damit für weitere Container bereits eine zentrale HTTPS-Schicht habe und das Setup flexibel erweiterbar ist. Viele Wege führen nach Rom – nginx ist deshalb trotzdem kein „unnötiger Firlefanz“. 😉

Für meine Anwendung schon. Generell gebe ich dir Recht, aber ich brauche es faktisch nicht (Stand heute)

Quote from Quidam

Die Lösung jetzt ist halt super schlank, ein Container und fertig ist. Die Zertifikate sind auf 10 Jahre Gültigkeit und mehr als ein Doppelklick machen um das Zertifikat zu vertrauen muss ich nicht machen, falls ich mal mein Rechner neu machen.

Na ja, es liegt ja in der Natur von LE-Zertifikaten, dass man denen nicht auf jedem Gerät extra vertrauen muss. Aus meinen Anfängen habe ich auch noch ein selbstsigniertes Zertifikat, dass 10 Jahre hält und für alle meine damals verwendeten internen Namen gilt. Aber sowas ist halt nur rein lokal machbar.

hmmm funktioniert damit auch Push?
Das Bitwarden-System nutzt ja für Push-Benachrichtigungen (z. B. damit sich der Tresor auf dem Smartphone sofort aktualisiert, wenn du am PC ein Passwort änderst) den Push-Dienst von Google (FCM).

Damit Google weiß, wohin die Nachricht geschickt werden soll, muss dein Vaultwarden-Server mit den zentralen Bitwarden-Servern kommunizieren. Das geht aus zwei Gründen in dieser Konfiguration nicht:

1. Kein Identitätsschlüssel (Push ID): Für den offiziellen Push-Dienst braucht man eine Registrierung und API-Schlüssel von Bitwarden.
2. Die IP-Adresse als Webadresse (192.168.178.100): Globale Push-Dienste akzeptieren keine internen IP-Adressen als Absender- bzw. Rückruf-Adresse.

Ein einfaches Vergleichsbeispiel:

Stell dir vor, du bestellst im Restaurant ein Essen:

• Mit Push (wie es sein sollte): Du bekommst einen Pager auf den Tisch. Sobald das Essen fertig ist, vibriert der Pager automatisch und du weißt sofort Bescheid.
• Ohne Push (dieses Setup): Du hast keinen Pager. Du musst alle 5 Minuten selbst aufstehen und an der Theke nachfragen, ob das Essen fertig ist.

Das bedeutet, Du hast wahrscheinlich das Problem, dass Du keinen automatischen Abgleich im Hintergrund hast. Du musst in der App auf deinem Handy nach unten wischen ("Pull-to-Refresh"), um den Tresor manuell zu synchronisieren.
Wenn die App aber so eingestellt ist, dass sie regelmäßig im Hintergrund nachfragt ("Polling"), verbraucht das auf dem Smartphone unnötig Akku.

Klar wenn man damit leben kann, dass man manuell synchronisiert ist das alles kein Problem, aber gerade das war ein Hauptfeature für mich.

Quote from Quidam

ohne Reverse Proxy und so nen unnötigen Firlefanz.

Krass. Nutzt du das nur lokal?
Oder wie hast du das sonst abgesichert? 🤔

EDIT: Too early (wieso kann man Posts eigentlich nicht selbst löschen? (inb4 Konsistenz/Kontext)

Quidam Vielleicht ergänzt du da "...für meine REIN LOKALE Umgebung". 😉

Quote from steffenglock

hmmm funktioniert damit auch Push?
Das Bitwarden-System nutzt ja für Push-Benachrichtigungen (z. B. damit sich der Tresor auf dem Smartphone sofort aktualisiert, wenn du am PC ein Passwort änderst) den Push-Dienst von Google (FCM).

Kein Plan, bisher habe ich neue Einträge nie vermisst. Immer wenn ich mich authentifiziere sind die Daten auf Stand. Wie das Technisch in Hintergrund läuft, weiß ich aber nicht

Quote from Quidam

Kein Plan, bisher habe ich neue Einträge nie vermisst. Immer wenn ich mich authentifiziere sind die Daten auf Stand. Wie das Technisch in Hintergrund läuft, weiß ich aber nicht

Ich glaube steffenglockgeht davon aus, dass du keinen Bitwarden-Account hast, weil du das ja grundsätzlich vermeiden willst.
Aber entweder hast du den oder du hast dann aber zumindest das Host-Formular ausgefüllt, oder? Weil sonst wäre es wirklich interessant wie das funktionieren soll.

Quote from Quidam

Immer wenn ich mich authentifiziere sind die Daten auf Stand.

Hast du ein VPN auf deinem Handy? Weil sonst dürften die Pushnachrichten zwar funktionieren, wenn du nicht in deinem Netzwerk bist, aber (Daten-)Sync tatsächlich nicht. 🤔

Quote from steffenglock

Globale Push-Dienste akzeptieren keine internen IP-Adressen als Absender- bzw. Rückruf-Adresse.

Das ist in dem Fall tatsächlich nicht nötig. Der Vaultwarden-Server muss nur Zugriff nach außen ins Internet haben und meldet sich dann beim Bitwarden-Relay, welches den Push erzeugt.

Quote from steffenglock

Du musst in der App auf deinem Handy nach unten wischen ("Pull-to-Refresh"), um den Tresor manuell zu synchronisieren.

Der Client synct tatsächlich schon automatisch bei Authentifizierung/Entsperren (aber in dem Fall eben nur, wenn er in seinem Netzwerk ist).

Ich hab in Vaultwarden einen Account eingerichtet, nicht bei Bitwarden. Und ja, mobil nutze ich ggf. VPN punktuell um in mein Netzwerk zu kommen. Mache ich mit allen Diensten, funktioniert perfekt.

Quote from Quidam

Ich hab in Vaultwarden einen Account eingerichtet, nicht bei Bitwarden. Und ja, mobil nutze ich ggf. VPN punktuell um in mein Netzwerk zu kommen. Mache ich mit allen Diensten, funktioniert perfekt.

Dann bekommst du keine Pushnachrichten, dann besteht hier wahrscheinlich ein Wording-/Verständnisproblem. 🙂
Und wie erwähnt: wenn du nicht zu Hause in deinem WLAN bist oder VPN aktiv hast, kannst du eigentlich keine Daten/Sync erhalten.