Domain-HTTPS realisieren mittels Cloudflare und öffentlicher IP-Adresse (Heimanschluss)

## Einleitung

Für viele Nutzer mit einem Heim-Breitbandanschluss und einer öffentlichen IP-Adresse ist der Aufbau einer persönlichen Website, eines Blogs oder verschiedener Dienste eine aufregende Angelegenheit. Ein weit verbreitetes Problem ist jedoch, dass Heim-Breitbandanschlüsse in der Regel die Ports 80 und 443 deaktivieren. Das bedeutet, dass Sie Dienste nicht direkt über die Standard-HTTP- (Port 80) oder HTTPS-Ports (Port 443) bereitstellen können. Obwohl der Zugriff über einen nicht standardmäßigen Port (z. B. `yourdomain.com:8443`) möglich ist, ist dies nicht nur unschön, sondern beeinträchtigt auch das "nahtlose" HTTPS-Erlebnis.

Dieser Artikel beschreibt detailliert, wie Sie die Proxy-Regeln von Cloudflare in Kombination mit dem Port-Rewriting des Ursprungsserver-Proxys geschickt nutzen können, um den HTTPS-Zugriff auf Ihre Domain über eine öffentliche Heim-Breitband-IP zu ermöglichen. So erscheinen Ihre Dienste für die Nutzer weiterhin als standardmäßiges, sicheres `https://yourdomain.com`.

## Die Herausforderung der öffentlichen Heim-Breitband-IP: 80/443 Portbeschränkungen

Zunächst ist es **Voraussetzung**, um das in diesem Artikel beschriebene Schema umzusetzen, **eine öffentliche IP-Adresse über den Heim-Breitbandanschluss zu besitzen**. Wenn Sie sich nicht sicher sind, ob Sie eine öffentliche IP-Adresse haben, können Sie sich an Ihren Internetanbieter wenden.

Selbst mit einer öffentlichen IP-Adresse sind die Ports 80 und 443 aufgrund der Strategien der nationalen Anbieter in der Regel deaktiviert. Das bedeutet:

1.  **Kein direktes Abhören von Port 80 möglich**: Nutzer können nicht direkt über `http://yourdomain.com` auf Ihren Dienst zugreifen.
2.  **Kein direktes Abhören von Port 443 möglich**: Nutzer können nicht direkt über `https://yourdomain.com` auf Ihren Dienst zugreifen.

Die traditionelle Lösung besteht darin, den Server einen nicht standardmäßigen Port wie 8080 oder 8443 abhören zu lassen und dann über `yourdomain.com:8080` oder `yourdomain.com:8443` darauf zuzugreifen. Obwohl dieser Ansatz praktikabel ist, müssen Nutzer die Portnummer merken und eingeben, was die Benutzerfreundlichkeit erheblich beeinträchtigt und den Bedarf an "nahtlosem" HTTPS nicht erfüllt.

## Cloudflare's Lösung: Proxy und Port-Umschreibung

Cloudflare, als weltweit führender Anbieter von CDN- und Sicherheitsdiensten, ist mit seiner leistungsstarken Reverse-Proxy-Funktion der Schlüssel zur Lösung dieses Problems.

### Kernprinzip

Die Lösung von Cloudflare lässt sich wie folgt zusammenfassen:

1.  **Cloudflare als Zwischen-Proxy**: Alle Benutzeranfragen werden zunächst an die globalen Cloudflare-Knoten gesendet.
2.  **Standard-Port-Abhörung**: Die Cloudflare-Knoten hören den Standard-Port 443 ab und verarbeiten die HTTPS-Anfragen der Benutzer.
3.  **Port-Umschreibung des Ursprungsserver-Proxys**: Wenn Cloudflare die Anfrage an Ihren Heim-Breitband-Server weiterleitet, versucht es nicht, sich mit Port 443 zu verbinden, sondern mit einem von Ihnen im Voraus festgelegten, vom Anbieter nicht deaktivierten **anderen Port** (z. B. 8443).
4.  **Nahtloses Erlebnis**: Für den Endbenutzer erfolgt der Zugriff immer über `https://yourdomain.com`, ohne sich um die dahinterliegende Port-Konvertierung kümmern zu müssen.

### Cloudflare Konfigurationsschritte

1.  **Domain zu Cloudflare hinzufügen**:
    Wenn Sie noch kein Cloudflare-Konto haben, registrieren Sie sich bitte zuerst und melden Sie sich an. Fügen Sie Ihre Domain zu Cloudflare hinzu und ändern Sie die DNS-Server Ihrer Domain gemäß den Anweisungen auf die von Cloudflare bereitgestellten DNS-Server.

2.  **DNS-Eintrag konfigurieren und Proxy aktivieren**:
    Fügen Sie auf der DNS-Verwaltungsseite von Cloudflare einen A-Eintrag hinzu, der Ihre Domain (z. B. `yourdomain.com` oder `www.yourdomain.com`) auf Ihre öffentliche Heim-Breitband-IP-Adresse verweist. **Wichtiger Schritt**: Stellen Sie sicher, dass das "Proxy-Status"-Symbol dieses DNS-Eintrags eine **orangefarbene Wolke** ist (d. h. "Proxied"-Status). Dies ist entscheidend für die Port-Umschreibung und HTTPS.

3.  **Cloudflare SSL/TLS-Modus auswählen**:
    Gehen Sie im Cloudflare-Kontrollpanel zu "SSL/TLS" -> "Übersicht". Es wird empfohlen, den Modus **"Vollständig (strikt)" (Full (strict))** zu wählen. Dies bedeutet, dass Cloudflare und der Benutzer HTTPS verwenden und Cloudflare und Ihr Ursprungsserver ebenfalls HTTPS verwenden, wobei Cloudflare die Gültigkeit des SSL-Zertifikats Ihres Ursprungsservers überprüft.

4.  **Cloudflare Ursprungsserver-Zertifikat nutzen (optional, aber dringend empfohlen)**:
    Auf der Seite "SSL/TLS" -> "Ursprungsserver" können Sie ein von Cloudflare bereitgestelltes **Ursprungsserver-Zertifikat** generieren. Dieses Zertifikat ist 15 Jahre lang gültig und erspart Ihnen den Aufwand, alle drei Monate kostenlose Zertifikate wie Let's Encrypt zu erneuern. Speichern Sie nach der Generierung des Zertifikats den privaten Schlüssel und den Zertifikatsinhalt gut ab, da diese später für Ihre Nginx-Serverkonfiguration verwendet werden.

### Server-Konfigurationsbeispiel: Nginx

Am Beispiel von Nginx muss Ihr Server lediglich einen **vom Anbieter nicht deaktivierten** Port abhören und SSL korrekt konfigurieren.

1.  **Nginx installieren**: Stellen Sie sicher, dass Nginx auf Ihrem Server installiert ist.
2.  **SSL-Zertifikat konfigurieren**: Laden Sie das zuvor von Cloudflare erhaltene 15-Jahres-Ursprungsserver-Zertifikat (`yourdomain.com.pem`) und den privaten Schlüssel (`yourdomain.com.key`) auf Ihren Server hoch, z. B. in das Verzeichnis `/etc/nginx/ssl/`.
3.  **Nginx-Konfigurationsbeispiel**:

    ```nginx
    server {
        # Einen nicht standardmäßigen Port abhören, z. B. 8443
        listen 8443 ssl;
        listen [::]:8443 ssl; # IPv6-Unterstützung

        server_name yourdomain.com www.yourdomain.com; # Durch Ihre Domain ersetzen
        # Andere Konfigurationen weglassen
    }
    ```

    **Kernpunkt**: `listen 8443 ssl;`: Nginx hört auf Port 8443, nicht auf 443.

### Router Port-Weiterleitung

Schließlich müssen Sie in der Verwaltungsoberfläche Ihres Heimrouters eine Port-Weiterleitungsregel einrichten: Leiten Sie den TCP-Verkehr des **externen Ports** (z. B. 8443) an die **interne IP-Adresse Ihres Servers** auf den **internen Port** (z. B. 8443) weiter.

Stellen Sie sicher, dass die Firewall auch den Datenverkehr auf diesem Port zulässt.

## Zusammenfassung der Implementierungsschritte

1.  **Öffentliche Heim-Breitband-IP erhalten**: Bestätigen Sie, dass Ihr Heim-Breitband eine öffentliche IP-Adresse hat.
2.  **Router Port-Weiterleitung**: Richten Sie im Router eine Port-Weiterleitung ein, die einen externen benutzerdefinierten Port (z. B. 8443) an den internen benutzerdefinierten Port des Servers (z. B. 8443) weiterleitet.
3.  **Cloudflare Domain-Konfiguration**: Fügen Sie die Domain zu Cloudflare hinzu, konfigurieren Sie den A-Eintrag, der auf die öffentliche IP-Adresse zeigt, und stellen Sie sicher, dass der Proxy aktiviert ist (orangefarbene Wolke).
4.  **Cloudflare SSL/TLS-Modus auswählen**: Wählen Sie in Cloudflare den SSL/TLS-Modus "Vollständig (strikt)".
5.  **Cloudflare Ursprungsserver-Zertifikat**: Generieren Sie in Cloudflare ein 15-Jahres-Ursprungsserver-Zertifikat und konfigurieren Sie es auf Ihrem Nginx- oder anderen Server.
6.  **Nginx oder andere Server-Konfiguration**: Lassen Sie Ihren Webserver (z. B. Nginx) den von Ihnen angegebenen benutzerdefinierten Port (z. B. 8443) abhören und konfigurieren Sie SSL mit dem Cloudflare Ursprungsserver-Zertifikat.

## Vorteile und Hinweise

### Vorteile

*   **Nahtloser HTTPS-Zugriff**: Benutzer greifen einfach über `https://yourdomain.com` zu, ohne eine Portnummer eingeben zu müssen, was einem professionellen Servererlebnis gleicht.
*   **Umgehung von ISP-Portbeschränkungen**: Umgeht perfekt die Deaktivierung der Ports 80 und 443 durch den Anbieter.
*   **Cloudflare CDN-Beschleunigung und Sicherheitsschutz**: Ihr Dienst profitiert von Cloudflares globaler CDN-Beschleunigung, DDoS-Schutz, WAF und anderen Sicherheitsfunktionen.
*   **15-Jahres-Ursprungsserver-Zertifikat**: Erspart den häufigen Austausch von SSL-Zertifikaten und senkt die Wartungskosten erheblich.
*   **Einfache Konfiguration**: Serverseitig müssen nur der Abhörport und der Zertifikatspfad geändert werden, andere Konfigurationen bleiben unverändert.

### Hinweise

*   **Öffentliche IP-Adresse ist Voraussetzung**: Diese Lösung ist zwingend auf eine vom Heim-Breitband bereitgestellte öffentliche IP-Adresse angewiesen.
*   **Router Port-Weiterleitung**: Stellen Sie sicher, dass die Port-Weiterleitung des Routers korrekt konfiguriert ist und die Firewall nicht blockiert.
*   **Echte Client-IP**: Aufgrund des Cloudflare-Proxys erhält Ihr Server direkt die IP-Adresse von Cloudflare. Wenn Sie die echte Client-IP-Adresse benötigen, müssen Nginx oder andere Server zusätzliche Module wie `real_ip_header` konfigurieren.
*   **Cloudflare Dienststabilität**: Obwohl Cloudflare sehr stabil ist, hängt Ihr Dienst von der Verfügbarkeit von Cloudflare ab.
*   **Leistungsüberlegungen**: Die kostenlose Stufe von Cloudflare hat ihre Einschränkungen; für Dienste mit hohem Datenverkehr kann ein Upgrade des Plans erforderlich sein.