Docker: ERR_SSL_PROTOCOL_ERROR bei Zugriff über https und LE wildcard Zertifikat

[rucksman]

Für alle, die wie ich stundenlang über diesem Fehler brüten, die Lösung, die zumindest bei mir geholfen hat.

Ausgangspunkt: Ich generiere für meine Domain ein wildcard Zertifikat von Letsencrypt. Mit diesem Zertifikat und einem Proxy (Traefik) laufen mehrere Dienste problemlos (Docker). Nur leider wiollte evcc nicht so recht.

Problem: der Docker Container für evcc läuft mit dem network_mode host. Das ist nötig, weil sonst meine SMA Geräte in evcc nicht funktionieren. Damit ist aber Traefik bei Anfragen aussen vor und damit auch die zentrale Stelle für die Terminierung von SSL. Das ist mir aber erst sehr spät aufgefallen, weil ich anfangs immer gedacht hatte, meine Traefik Labels wären falsch. Daher hatte ich immer wieder versucht, mich per https zu evcc zu verbinden und dabei den oben genannten Fehler bekommen. Gewundert hatte ich mich auch, warum evcc über http erreichbar war, obwohl ich Traefik zu konfiguriert habe, dass http Anfrange automatisch auf https umgebogen werden. Ist ja kein Wunder, wenn Traefik gar nicht ins Spiel kommt ...

Die Lösung, die ich nach ewigen Rumprobieren gefunden habe, ist wie so oft sehr einfach. In der docker-compose.yml von Traefik muss ein Eintrag hinzugefügt werden für eine Verbindung zwischen host und Container:

extra_hosts:
    - host.docker.internal:172.17.0.1

Danach Traefik und evcc neu starten.

[andig]

Danke @rucksman, sehr spannend. Was genau bewirkt jetzt das Setting? Dass evcc auch unter dem Docker Network statt nur Host Network erreichbar und damit über HTTPS sichtbar wird?

[rucksman]

Korrekt. Bei mir kommt als zusätzliche Komplexitätsstufe hinzu, dass ich die Namensauflösung lokal über unbound mache. Funktioniert aber jetzt alles wie es soll. Muss man klarerweise alles nicht unbedingt machen, aber da ich immer gerne neue Sachen lerne, verbuche ich das auch unter "Weiterbildungsmaßnahme". Wobei das mit unbound (für mich) durchaus sinnvoll ist, um im heimischen Netz nicht mit IPs hantieren zu müssen, um die diversen Dienste zu erreichen, sondern ganz normale Domains nutzen kann wie evcc.meinedomain.de, von exotischen Ports (damit meine ich alles ausser 80 und 443) mal ganz zu schweigen. Die entfallen damit auch.