Selfhosting auf cbrueggenolte.de https://cbrueggenolte.de/tags/selfhosting/ Neueste Beiträge in Selfhosting auf cbrueggenolte.de Hugo -- gohugo.io de-DE 96ca5227@cbrueggenolte.de (cbrueggenolte.de) 96ca5227@cbrueggenolte.de (cbrueggenolte.de) 2018-2026 cbrueggenolte Tue, 05 May 2026 11:28:38 +0200 Forgejo SSH hinter UniFi Gateway Ultra & Double-NAT einrichten https://cbrueggenolte.de/forgejo-ssh-hinter-unifi-gateway-ultra-double-nat-einrichten/ Tue, 05 May 2026 11:28:38 +020096ca5227@cbrueggenolte.de (cbrueggenolte.de) https://cbrueggenolte.de/forgejo-ssh-hinter-unifi-gateway-ultra-double-nat-einrichten/ <p>Wer Forgejo (oder Gitea) intern betreibt, steht oft vor der Wahl: Bequemes <strong>SSH</strong> oder universelles <strong>HTTPS</strong>? Während HTTPS über den Nginx Proxy Manager (NPM) leicht zu handhaben ist, bietet SSH via Public-Keys mehr Komfort für Entwickler.</p> <p>In einem <strong>Double-NAT-Setup</strong> (Router -&gt; UniFi Gateway Ultra -&gt; Forgejo) müssen die Ports jedoch präzise kaskadiert werden.</p> <h3 id="das-setup">Das Setup</h3> <p>Der Datenfluss folgt dieser Kette, um den internen Forgejo-SSH-Dienst sicher nach außen zu führen:</p> <ol> <li><strong>Externer Router:</strong> Leitet Port <code>33022</code> (Public) an die WAN-IP des UniFi Gateways weiter.</li> <li><strong>UniFi Gateway Ultra:</strong> Nimmt die Anfrage auf Port <code>33022 </code> entgegen und leitet sie an die interne Server-IP von Forgejo (z.B. <code>192.168.1.201</code>) weiter.</li> <li><strong>Forgejo Instanz:</strong> Nutzt den internen SSH-Server, konfiguriert auf Port <code>33022</code>.</li> </ol> <h3 id="die-lösung-für-verbindungsprobleme">Die Lösung für Verbindungsprobleme</h3> <p>Oft scheitert die Verbindung am Standard-Port 22. Die Lösung: Den internen Forgejo-SSH-Dienst explizit auf den Zielport umstellen (z.B. <code>2222</code>), damit die Port-Weiterleitung der Firewall direkt auf den lauschenden Dienst trifft.</p> Wer Forgejo (oder Gitea) intern betreibt, steht oft vor der Wahl: Bequemes SSH oder universelles HTTPS? Während HTTPS über den Nginx Proxy Manager (NPM) leicht zu handhaben ist, bietet SSH via Public-Keys mehr Komfort für Entwickler.

In einem Double-NAT-Setup (Router -> UniFi Gateway Ultra -> Forgejo) müssen die Ports jedoch präzise kaskadiert werden.

Das Setup

Der Datenfluss folgt dieser Kette, um den internen Forgejo-SSH-Dienst sicher nach außen zu führen:

  1. Externer Router: Leitet Port 33022 (Public) an die WAN-IP des UniFi Gateways weiter.
  2. UniFi Gateway Ultra: Nimmt die Anfrage auf Port 33022 entgegen und leitet sie an die interne Server-IP von Forgejo (z.B. 192.168.1.201) weiter.
  3. Forgejo Instanz: Nutzt den internen SSH-Server, konfiguriert auf Port 33022.

Die Lösung für Verbindungsprobleme

Oft scheitert die Verbindung am Standard-Port 22. Die Lösung: Den internen Forgejo-SSH-Dienst explizit auf den Zielport umstellen (z.B. 2222), damit die Port-Weiterleitung der Firewall direkt auf den lauschenden Dienst trifft.

Wichtige Konfiguration (app.ini)

Damit die Links in der Weboberfläche stimmen, muss die Forgejo-Konfiguration angepasst werden:

  • SSH_LISTEN_PORT = 33022 (Worauf der Dienst lauscht)
  • SSH_PORT = 33022 (Was der User von außen eingeben muss)
  • SSH_DOMAIN = deine.domain.de

Client-Tipp: SSH Config

Um nicht jedes Mal den Port angeben zu müssen, hilft ein Eintrag in der lokalen ~/.ssh/config:

Host mein-git
    HostName deine.domain.de
    Port 33022
    User git

Ein einfaches git clone ssh://git@deine.domain.de:33022/user/repo.git genügt ab jetzt.

Fazit: Durch die Trennung von Web-Traffic (via NPM auf 443) und SSH-Traffic (via Port-Forwarding auf 33022) erhält man ein performantes und sauberes Self-Hosting-Setup.

]]>