[Tuto] Installer SWAG en Docker ( Reverse Proxy )

[Cruchot]

@MilesTEG
Bon apparemment la liste city inclue la liste country donc pas besoin de la country. On peux régler la fréquence de mise à jour dans maxmind.conf donc je ne voie plus d'avantage, a part que pour moi si je veux que ça fonctionne il me faut geoipupdate
Quand je vois les issues du mod sur github je suis pas le seul à avoir "tar: short read" sans geoipupdate, ça rassure...

 

[MilesTEG]

@MilesTEG
Bon apparemment la liste city inclue la liste country donc pas besoin de la country. On peux régler la fréquence de mise à jour dans maxmind.conf donc je ne voie plus d'avantage, a part que pour moi si je veux que ça fonctionne il me faut geoipupdate
Quand je vois les issues du mod sur github je suis pas le seul à avoir "tar: short read" sans geoipupdate, ça rassure...

Oué, les images et mods linuxserver c’est la plaie quand ça marche pas , niveau support c’est vraiment pas ça…

 

[Cruchot]

Je suis pas trop à l'aise avec les scripts mais c'est celui qui s'occupe d'extraire la db. Et je comprend pas comment il peut renseigner le edition_id=${EDITION_ID avec juste la clé? car a aucun moment on renseigne le ID du compte si c'est bien ça qu'il renseigne.
Pourquoi le container geoipupdate a besoin de l'ID du compte maxmind pour recuperer la db et pas le mod de swag, elle est forte celle la!

#!/bin/sh

. /etc/libmaxminddb.cron.conf

set -e

[ -z "$MAXMINDDB_FILES"       ] && MAXMINDDB_FILES="GeoLite2-City.mmdb"
[ -z "$MAXMINDDB_URL"         ] && MAXMINDDB_URL="https://download.maxmind.com/app/geoip_download"
[ -z "$MAXMINDDB_LIBDIR"      ] && MAXMINDDB_LIBDIR="/var/lib/libmaxminddb"
[ -z "$MAXMINDDB_LICENSE_KEY" ] && { echo "No MaxMind license key found; exiting. Please enter your license key into /etc/libmaxminddb.cron.conf"; exit 1; }

clean_up() {
    [ -n "$TMPDIR" ] && rm -rf "$TMPDIR"
}
trap clean_up EXIT TERM INT QUIT

TMPDIR="$(mktemp -d)"
for filename in $MAXMINDDB_FILES; do
    EDITION_ID=$(echo "${filename}" | sed 's/\.mmdb$//')
    curl --silent "${MAXMINDDB_URL}?edition_id=${EDITION_ID}&license_key=${MAXMINDDB_LICENSE_KEY}&suffix=tar.gz" -o "$TMPDIR/${filename}.tar.gz"
    tar xf "$TMPDIR/${filename}.tar.gz" -C "$TMPDIR" --strip-components=1
    mv "$TMPDIR/$filename" "$MAXMINDDB_LIBDIR"
done
exit 0

 

[MilesTEG]

Je suis pas trop à l'aise avec les scripts mais c'est celui qui s'occupe d'extraire la db. Et je comprend pas comment il peut renseigner le edition_id=${EDITION_ID avec juste la clé? car a aucun moment on renseigne le ID du compte si c'est bien ça qu'il renseigne.
Pourquoi le container geoipupdate a besoin de l'ID du compte maxmind pour recuperer la db et pas le mod de swag, elle est forte celle la!

Aucune idée…
La de ce que je vois , c’est que swag ne va pas prendre en compte toutes les bdd mais juste la geoip city, non ?

 

[Cruchot]

Aucune idée…
La de ce que je vois , c’est que swag ne va pas prendre en compte toutes les bdd mais juste la geoip city, non ?

Oui swag récupére le liste city (qui contient country et ASN)

 

[MilesTEG]

Hello par ici,
Je m'arrache les cheveux sur SWAG pour le faire fonctionner sur le NUC dans une VM Débian avec Docker.
J'ai tenté tout ce que je pouvais : from scratch, en récupérant les données du SWAG fonctionnel sur le Syno (docker aussi), en partant de 0 puis en copiant les quelques fichiers de conf...
Dans tous les cas, je teste sur un domaine test qui pointe vers Calibre-Web qui ne nécessite pas à priori de configuration particulière...
L'instance Calibre-Web fonctionne bien depuis l'IP, ou via le SWAG du Syno.

Mais dès que je passe sur celui du NUC, patatras... Erreur, connexion refusée.
J'aurais besoin d'aide pour trouver ce qui ne va pas...
PS : j'ai bien fait une réécriture DNS de calibre-test.mon-ndd.ovh dans AdGuardHome, et j'ai aussi créé une redirection du port 443 vers l'IP de la VM Docker-Swag.
J'ai aussi autorisé dans le parefeu du routeur la connexion sur ce port 443 à destination de cette IP.

Mais que je tente depuis le LAN ou depuis la connexion 5G de mon smartphone, même topo : erreur, connexion refusée


Bref, je tourne en bourique, car je ne comprends pas ce qui coince...

Quelqu'un pourrait-il m'aider ?

---

PS : je me suis dit que je pourrais tenter Nginx Proxy Manager, mais la création du certificat ne fonctionne pas pour OVH avec DNS Challenge... il y a une erreur de commande certbot...

 

[Bambusa29]

Hello @MilesTEG,

As tu tester une URL autre que calibre-web comme 'cequetuveux.mon-ndd.ovh' pour voir si au moins tu arrive sur le site par défaut de nginx ?
Si tu as un connexion refused dans ce cas là aussi, c'est que ca bloque en amont de Nginx (Firewall, box...), sinon c'est un problème de config au niveau de Nginx.

PS : J'ai installé Nginx dans un container LXC Debian12 avec une validation DNS de certificat OVH avec acme.sh sans remcontrer de probleme.

 

[MilesTEG]

PS : J'ai installé Nginx dans un container LXC Debian12 avec une validation DNS de certificat OVH avec acme.sh sans remcontrer de probleme.

Je veux bien ta méthode détaillée s’il te plaît
(Un tuto peut être ? )

As tu tester une URL autre que calibre-web comme 'cequetuveux.mon-ndd.ovh' pour voir si au moins tu arrive sur le site par défaut de nginx ?
Si tu as un connexion refused dans ce cas là aussi, c'est que ca bloque en amont de Nginx (Firewall, box...), sinon c'est un problème de config au niveau de Nginx.

Oui j’avais essayé mais quoique je fasse j’avais cette erreur. Je ré-essayerais pour être sûr .
Mais je n’ai pas de pare-feu sur le proxmox… juste sur le routeur .
À la limite si ça bloquait que depuis internet c’est que ce serait le routeur qui bloque mais même quand je change la réécriture dns de mon domaine *.mon-ndd.ovh pour pointer vers l’IP de swag nuc , ça ne fonctionne pas et j’ai aussi cette erreur.

 

[MilesTEG]

@Bambusa29
Alors, test depuis la 5G :

• Redirection de port dans le routeur :
  
• Parefeu du routeur :
  
  On voit qu'il y a eu des connexions donc ça fonctionne

Mais l'accès à un domaine non configuré dans SWAG donne ceci :


Je n'ai même pas la page par défaut de nginx pour un domaine inconnu pour lui...
Bref, je sèche.
Où puis-je regarder pour ce qui bloque ?

 

[Bambusa29]

Je vois un 41 en résultat pour ta règle de pare feu sur ton routeur, donc a priori c'est que cela passe.
Dans les logs de Swag, tu ne vois rien de particulier ? Pas de problème de certificat dans les logs ?

 

[MilesTEG]

@Bambusa29
Je n'ai que deux fichiers log : access.log et error.log
Le dernier est rempli par ceci (et rien d'autre) :

2024/03/03 10:00:58 [error] 626#626: [lua] crowdsec.lua:57: init(): error loading captcha plugin: no recaptcha site key provided, can't use recaptcha
2024/03/03 10:00:58 [alert] 626#626: [lua] crowdsec_nginx.conf:4):8: [Crowdsec] Initialisation done

Par contre je pense que j'ai un problème de certificat.
Le log de letsencrypt dit ceci :

<------------------------------------------------->
<------------------------------------------------->
cronjob running on Sun Mar  3 02:08:00 CET 2024
Running certbot renew
Saving debug log to /var/log/letsencrypt/letsencrypt.log
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Processing /etc/letsencrypt/renewal/mon_ndd.ovh.conf
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Renewal configuration file /etc/letsencrypt/renewal/mon_ndd.ovh.conf is broken.
The error was: expected /etc/letsencrypt/live/mon_ndd.ovh/cert.pem to be a symlink
Skipping.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
No renewals were attempted.
Additionally, the following renewal configurations were invalid:
  /etc/letsencrypt/renewal/mon_ndd.ovh.conf (parsefail)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
0 renew failure(s), 1 parse failure(s)
Ask for help or search for solutions at https://community.letsencrypt.org. See the logfile /var/log/letsencrypt/letsencrypt.log or re-run Certbot with -v for more details.

 

[MilesTEG]

@Bambusa29
J'ai fini par trouver ce qui n'allait pas...
Purée... un truc tout con...
J'ai conservé une bonne partie du docker-compose de mon install du Syno (en macvlan), or pour le NUC j'ai choisi de faire un network bridge.
et bien sûr je n'ai pas pensé à mettre les ports dans le yml

une fois fait, et bien, boom tout fonctionne comme il faut !
Punaise, tout ce temps perdu pour une connerie d'oubli...

Bon bref, maintenant que tout fonctionne, il me faut trouver une solution pour que le fail2ban de nginx et le crowdsec puisse parser les logs des applications qui ont un parser...

En attendant, mon reverse proxy n'est plus dépendant du Syno, car ça me faisait de plus en plus chier... un reboot du NAS = plus de résolution de ndd...
Un plantage du lien vers le routeur = mon script réactive les interfaces désactivées, et boom plus de résolution du ndd à cause du macvlan et des réseaux liés à l'interface soi-disant KO.

Bref, maintenant, le NAS ne sera plus mon lien faible ^^

 

[Thedear]

Bonjour,
Je sèche, après plusieurs tentatives, je n'arrive toujours pas à obtenir une page avec *.mondomaine.duckdns.org (page d'accueil SWAG ou dashboard ou jellyfin)

---
version: "2.1"
services:
  swag:
    image: lscr.io/linuxserver/swag
    container_name: swag
    cap_add:
      - NET_ADMIN
    #network_mode: swag_default
    environment:
      - PUID=1001
      - PGID=989
      - TZ=Europe/Paris
      - URL=mondomaine.duckdns.org
      - SUBDOMAINS=wildcard
      - VALIDATION=duckdns
      - DUCKDNSTOKEN=9999-99999-99999999-9999999
      - DOCKER_MODS=linuxserver/mods:swag-dashboard
      #- DOCKER_MODS=linuxserver/mods:swag-dbip
    volumes:
      - /home/nasdocker/swag/config:/config
    ports:
      - 443:443
      - 81:81

    labels:
      - diun.enable=true
    restart: unless-stopped

Le conteneur semble pourtant fonctionnel.

NAS sous OMV7 + Portainer pour éxécuter mes conteneurs.

 

[Bambusa29]

Salut @Thedear,

Tout es bon en amont ? : redirection du port 443 sur ta box vers le port 443 du NAS ?
As tu une IP fixe ? si non, as tu le container DuckDns pour mettre à jour ton adresse IP sur le site web de "duckdns.org" ou alors un script équivalent ?

 

[Thedear]

Salut @Thedear,

Tout es bon en amont ? : redirection du port 443 sur ta box vers le port 443 du NAS ?
As tu une IP fixe ? si non, as tu le container DuckDns pour mettre à jour ton adresse IP sur le site web de "duckdns.org" ou alors un script équivalent ?

Salut,
Un grand merci . L'ajout d'une règle de NAT sur ma Livebox a résolu mon problème (et oui, j'avais déjà mis en place le conteneur Duckdns pour la mise à jour l'IP dynamique).
J'ai bien accès à mon Jellyfin depuis l'extérieur, mais rien pour la partie dashboard-swag que je souhaite consulter uniquement en LAN : 403 Forbidden. Sais-tu d'où ca peut venir ?

Également sur la partie "7/Activation du HSTS", est-ce toujours d'actualité ? La ligne du fichier ssl.conf est la suivante :

#add_header Strict-Transport-Security "max-age=63072000" always;

Faut-il la remplacer par ?

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

 

[Bambusa29]

Également sur la partie "7/Activation du HSTS", est-ce toujours d'actualité ? La ligne du fichier ssl.conf est la suivante :

#add_header Strict-Transport-Security "max-age=63072000" always;

Faut-il la remplacer par ?

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

Pour avoir installé Swag avec DuckDNS il y a peu chez un client, je n'ai pas souvenir d'avoir eu besoin de dé-commenter cette ligne pour que tout fonctionne correctement.

Pour le DashBoard, je me souviens plus si j'y accédais localement ou via le domaine.

Je n'ai plus de Swag configuré (je l'ai re-installé avec un DuckDNS pour faire des tests mais pas remis la config complète) qui fonctionne chez moi (j'utilise Nginx en barre métal dans ma DMZ avec un domaine OVH).

Si tu n'a pas d'autres réponses d'ici la fin de weekend, je regarderais la semaine prochaine sur mon Swag.

 

[Thedear]

Pour avoir installé Swag avec DuckDNS il y a peu chez un client, je n'ai pas souvenir d'avoir eu besoin de dé-commenter cette ligne pour que tout fonctionne correctement.

Pour le DashBoard, je me souviens plus si j'y accédais localement ou via le domaine.

Je n'ai plus de Swag configuré (je l'ai re-installé avec un DuckDNS pour faire des tests mais pas remis la config complète) qui fonctionne chez moi (j'utilise Nginx en barre métal dans ma DMZ avec un domaine OVH).

Si tu n'a pas d'autres réponses d'ici la fin de weekend, je regarderais la semaine prochaine sur mon Swag.

Salut,
Pour information, j'arrive finalement à accéder au dashboard-swag, mais uniquement via son <IP>/<PORT>. Il doit me manquer quelque chose au niveau DNS.

Merci pour ton aide.

 

[Sebboost]

Bonjour.

J'ai un problème sur la dernière version de linuxserver\swag en docker sur mon NAS Synology que je n'avais pas en 2.7.4.

SWAG 2.7.4:

fail2ban.log :
2024-05-21 14:59:51,451 fail2ban.ipdns [801]: WARNING Unable to find a corresponding IP address for swag: [Errno -2] Name does not resolve

2024-05-21 14:54:26,373 fail2ban.ipdns [458]: WARNING Unable to find a corresponding IP address for swag1: [Errno -2] Name does not resolve
2024-05-21 14:54:26,373 fail2ban.filter [458]: INFO [nginx-unauthorized] Found 80.214.XXX.XXX - 2024-05-21 14:54:26
2024-05-21 14:54:28,375 fail2ban.filter [458]: INFO [nginx-unauthorized] Found 80.214.XXX.XXX - 2024-05-21 14:54:28
2024-05-21 14:54:30,377 fail2ban.filter [458]: INFO [nginx-unauthorized] Found 80.214.XXX.XXX - 2024-05-21 14:54:30
2024-05-21 14:54:32,380 fail2ban.filter [458]: INFO [nginx-unauthorized] Found 80.214.XXX.XXX - 2024-05-21 14:54:32
2024-05-21 14:54:32,514 fail2ban.actions [458]: NOTICE [nginx-unauthorized] Ban 80.214.XXX.XXX

Lastest SWAG:

Avec Drop;
2024-05-21 14:59:51,451 fail2ban.ipdns [801]: WARNING Unable to find a corresponding IP address for swag: [Errno -2] Name does not resolve

2024-05-21 14:59:51,452 fail2ban.filter [801]: INFO [nginx-unauthorized] Found 80.214.XXX.XXX - 2024-05-21 14:59:51
2024-05-21 14:59:54,656 fail2ban.filter [801]: INFO [nginx-unauthorized] Found 80.214.XXX.XXX - 2024-05-21 14:59:54
2024-05-21 14:59:57,259 fail2ban.filter [801]: INFO [nginx-unauthorized] Found 80.214.XXX.XXX - 2024-05-21 14:59:57
2024-05-21 14:59:59,261 fail2ban.filter [801]: INFO [nginx-unauthorized] Found 80.214.XXX.XXX - 2024-05-21 14:59:58
2024-05-21 14:59:59,411 fail2ban.actions [801]: NOTICE [nginx-unauthorized] Ban 80.214.XXX.XXX
2024-05-21 14:59:59,536 fail2ban.utils [801]: ERROR 7fb66764f5d0 -- exec: { iptables -w -C f2b-nginx-unauthorized -j RETURN >/dev/null 2>&1; } || { iptables -w -N f2b-nginx-unauthorized || true; iptables -w -A f2b-nginx-unauthorized -j RETURN; }
for proto in $(echo 'tcp' | sed 's/,/ /g'); do
{ iptables -w -C INPUT -p $proto -j f2b-nginx-unauthorized >/dev/null 2>&1; } || { iptables -w -I INPUT -p $proto -j f2b-nginx-unauthorized; }
done
2024-05-21 14:59:59,536 fail2ban.utils [801]: ERROR 7fb66764f5d0 -- stderr: 'iptables v1.8.10 (nf_tables): Could not fetch rule set generation id: Invalid argument'
2024-05-21 14:59:59,536 fail2ban.utils [801]: ERROR 7fb66764f5d0 -- stderr: 'iptables v1.8.10 (nf_tables): Could not fetch rule set generation id: Invalid argument'
2024-05-21 14:59:59,536 fail2ban.utils [801]: ERROR 7fb66764f5d0 -- stderr: 'iptables v1.8.10 (nf_tables): Could not fetch rule set generation id: Invalid argument'
2024-05-21 14:59:59,536 fail2ban.utils [801]: ERROR 7fb66764f5d0 -- returned 4
2024-05-21 14:59:59,536 fail2ban.actions [801]: ERROR Failed to execute ban jail 'nginx-unauthorized' action 'iptables-allports-modif' info 'ActionInfo({'ip': '80.214.XXX.XXX', 'family': 'inet4', 'fid': <function Actions.ActionInfo.<lambda> at 0x7fb66720a160>, 'raw-ticket': <function Actions.ActionInfo.<lambda> at 0x7fb66720a8e0>})': Error starting action Jail('nginx-unauthorized')/iptables-allports-modif: 'Script error'
2024-05-21 15:00:01,263 fail2ban.filter [801]: INFO [nginx-unauthorized] Found 80.214.XXX.XXX - 2024-05-21 15:00:00
2024-05-21 15:00:02,465 fail2ban.filter [801]: INFO [nginx-unauthorized] Found 80.214.XXX.XXX - 2024-05-21 15:00:02


Avec les fichiers d'origine (REJECT):
2024-05-21 15:35:42,813 fail2ban.actions [798]: ERROR Failed to execute ban jail 'nginx-unauthorized' action 'iptables-allports' info 'ActionInfo({'ip': '80.214.XXX.XXX', 'family': 'inet4', 'fid': <function Actions.ActionInfo.<lambda> at 0x7f64509c6160>, 'raw-ticket': <function Actions.ActionInfo.<lambda> at 0x7f64509c68e0>})': Error starting action Jail('nginx-unauthorized')/iptables-allports: 'Script error'


Du coup le ban échoue apparement à cause de IPTables 1.8.10 .
Pouriez vous m'aider?

Merci d'avance.

 

[Sebboost]

Pour les hosts de swag en BSD comme Synology DSM ou Qnap OS il faut appliquer ceci:

Solution found for Synology DSM 7.2 (and other alternate Linux BSD) .

1. Re-Install Iptables-legacy on your Swag Apline docker:
   Enter this command in terminal:
   apk add iptables-legacy
   (You must repeat this action each update of swag)
2. I copy my file \config\fail2ban\action.d\iptables.conf and rename to iptables-legacy.conf
   I change the content by (All "iptables" are replace by "iptables-legacy" and blocktype is changed by DROP because REJECT use ICMP packet, not allowed by host ) :

# Fail2Ban configuration file
#
# Authors: Sergey G. Brester (sebres), Cyril Jaquier, Daniel Black, 
#          Yaroslav O. Halchenko, Alexander Koeppe et al.
#

[Definition]

# Option:  type
# Notes.:  type of the action.
# Values:  [ oneport | multiport | allports ]  Default: oneport
#
type = oneport

# Option:  actionflush
# Notes.:  command executed once to flush IPS, by shutdown (resp. by stop of the jail or this action)
# Values:  CMD
#
actionflush = <iptables-legacy> -F f2b-<name>

# Option:  actionstart
# Notes.:  command executed on demand at the first ban (or at the start of Fail2Ban if actionstart_on_demand is set to false).
# Values:  CMD
#
actionstart = { <iptables-legacy> -C f2b-<name> -j <returntype> >/dev/null 2>&1; } || { <iptables-legacy> -N f2b-<name> || true; <iptables-legacy> -A f2b-<name> -j <returntype>; }
              <_ipt_add_rules>

# Option:  actionstop
# Notes.:  command executed at the stop of jail (or at the end of Fail2Ban)
# Values:  CMD
#
actionstop = <_ipt_del_rules>
             <actionflush>
             <iptables-legacy> -X f2b-<name>

# Option:  actioncheck
# Notes.:  command executed once before each actionban command
# Values:  CMD
#
actioncheck = <_ipt_check_rules>

# Option:  actionban
# Notes.:  command executed when banning an IP. Take care that the
#          command is executed with Fail2Ban user rights.
# Tags:    See jail.conf(5) man page
# Values:  CMD
#
actionban = <iptables-legacy> -I f2b-<name> 1 -s <ip> -j <blocktype>

# Option:  actionunban
# Notes.:  command executed when unbanning an IP. Take care that the
#          command is executed with Fail2Ban user rights.
# Tags:    See jail.conf(5) man page
# Values:  CMD
#
actionunban = <iptables-legacy> -D f2b-<name> -s <ip> -j <blocktype>

# Option:  pre-rule
# Notes.:  prefix parameter(s) inserted to the begin of rule. No default (empty)
#
pre-rule =

rule-jump = -j <_ipt_rule_target>

# Several capabilities used internaly:

_ipt_for_proto-iter = for proto in $(echo '<protocol>' | sed 's/,/ /g'); do
_ipt_for_proto-done = done

_ipt_add_rules = <_ipt_for_proto-iter>
              { %(_ipt_check_rule)s >/dev/null 2>&1; } || { <iptables-legacy> -I <chain> %(_ipt_chain_rule)s; }
              <_ipt_for_proto-done>

_ipt_del_rules = <_ipt_for_proto-iter>
              <iptables-legacy> -D <chain> %(_ipt_chain_rule)s
              <_ipt_for_proto-done>

_ipt_check_rules = <_ipt_for_proto-iter>
              %(_ipt_check_rule)s
              <_ipt_for_proto-done>

_ipt_chain_rule = <pre-rule><ipt_<type>/_chain_rule>
_ipt_check_rule = <iptables-legacy> -C <chain> %(_ipt_chain_rule)s
_ipt_rule_target = f2b-<name>

[ipt_oneport]

_chain_rule = -p $proto --dport <port> <rule-jump>

[ipt_multiport]

_chain_rule = -p $proto -m multiport --dports <port> <rule-jump>

[ipt_allports]

_chain_rule = -p $proto <rule-jump>


[Init]

# Option:  chain
# Notes    specifies the iptables-legacy chain to which the Fail2Ban rules should be
#          added
# Values:  STRING  Default: INPUT
chain = INPUT

# Default name of the chain
#
name = default

# Option:  port
# Notes.:  specifies port to monitor
# Values:  [ NUM | STRING ]  Default:
#
port = ssh

# Option:  protocol
# Notes.:  internally used by config reader for interpolations.
# Values:  [ tcp | udp | icmp | all ] Default: tcp
#
protocol = tcp

# Option:  blocktype
# Note:    This is what the action does with rules. This can be any jump target
#          as per the iptables-legacy man page (section 8). Common values are DROP
#          REJECT, REJECT --reject-with icmp-port-unreachable
# Values:  STRING
blocktype = DROP

# Option:  returntype
# Note:    This is the default rule on "actionstart". This should be RETURN
#          in all (blocking) actions, except REJECT in allowing actions.
# Values:  STRING
returntype = RETURN

# Option:  lockingopt
# Notes.:  Option was introduced to iptables-legacy to prevent multiple instances from
#          running concurrently and causing irratic behavior.  -w was introduced
#          in iptables-legacy 1.4.20, so might be absent on older systems
#          See https://github.com/fail2ban/fail2ban/issues/1122
# Values:  STRING
lockingopt = -w

# Option:  iptables-legacy
# Notes.:  Actual command to be executed, including common to all calls options
# Values:  STRING
iptables-legacy = iptables-legacy <lockingopt>


[Init?family=inet6]

# Option:  blocktype (ipv6)
# Note:    This is what the action does with rules. This can be any jump target
#          as per the iptables-legacy man page (section 8). Common values are DROP
#          REJECT, REJECT --reject-with icmp6-port-unreachable
# Values:  STRING
blocktype = DROP

# Option:  iptables-legacy (ipv6)
# Notes.:  Actual command to be executed, including common to all calls options
# Values:  STRING
iptables-legacy = ip6tables <lockingopt>

I copy this files: iptables.conf iptables-allports.conf iptables-ipset.conf iptables-ipset-proto4.conf iptables-ipset-proto6.conf iptables-ipset-proto6-allports.conf iptables-multiport.conf iptables-multiport-log.conf iptables-new.conf iptables-xt_recent-echo.conf Rename copy by: iptables-legacy.conf iptables-legacy-allports.conf iptables-legacy-ipset.conf iptables-legacy-ipset-proto4.conf iptables-legacy-ipset-proto6.conf iptables-legacy-ipset-proto6-allports.conf iptables-legacy-multiport.conf iptables-legacy-multiport-log.conf iptables-legacy-new.conf iptables-legacy-xt_recent-echo.conf I must remplace all "iptables" to "iptable-legacy" for coherence on all this new files: iptables-legacy.conf iptables-legacy-allports.conf iptables-legacy-ipset.conf iptables-legacy-ipset-proto4.conf iptables-legacy-ipset-proto6.conf iptables-legacy-ipset-proto6-allports.conf iptables-legacy-multiport.conf iptables-legacy-multiport-log.conf iptables-legacy-new.conf iptables-legacy-xt_recent-echo.conf On jail.local banaction = iptables-legacy-allports.conf And now it work for me with the last swag container version on my Synology dsm 7.2

 

[revamppakrati]

Bonjour,

J'ai respecté toutes les étapes du tutoriel qui m'a bien aidé pour mettre en place SWAG pour mon domaine OVH, j'ai voulu testé avec duplicati.mondomaine.fr mais je n'arrive pas a communiquer avec celui-ci.
Alors que, le compose docker est ok et j'ai bien modifié le ovh.ini pour la configuration du token, j'ai mis le réseau swag_default dans le conteneur duplicati, le port 443 et 80 sont bien ouvert sur ma box Orange, j'ai même testé en DMZ mais rien n'y fait.

Les logs de SWAG m'indique pourtant que tout est bon:

using keys found in /config/keys
Variables set:

0

0
TZ=Europe/Paris
URL=mondomaine.fr
SUBDOMAINS=wildcard
EXTRA_DOMAINS=
ONLY_SUBDOMAINS=false
VALIDATION=dns
CERTPROVIDER=
DNSPLUGIN=ovh
EMAIL=xxxxxx@mondomaine.fr
STAGING=
Using Let's Encrypt as the cert provider
SUBDOMAINS entered, processing
Wildcard cert for mondomaine.fr will be requested
E-mail address entered: xxxxxx@mondomaine.fr
dns validation via ovh plugin is selected
Certificate exists; parameters unchanged; starting nginx
The cert does not expire within the next day. Letting the cron script handle the renewal attempts overnight (2:08am).
[custom-init] No custom files found, skipping...
[ls.io-init] done.

Server ready

J'ai aussi testé avec DuckDNS et là par contre ça fonctionne parfaitement.

Avez-vous une autre solution à me proposer ?

Merci à tous.