DNS och brandvägg

Gör det här innan du kör installationen. Let's Encrypt-certifikaten utfärdas först när namnen pekar på servern och port 80 och 443 nås från internet.

Exemplen använder domänen example.se och den publika adressen 203.0.113.10.

DNS-poster

Alla namn är A-poster till serverns publika IPv4-adress.

Namn	Behövs	Används till
app.example.se	Alltid	Appen
api.example.se	Alltid	API:t som appen och adminportalen använder, samt SSO-inloggningens återanrop
admin.example.se	Alltid	Adminportalen och Grafana (/grafana)
meet.example.se	Alltid	Möteslänkar och gäster
turn.example.se	Om features.video är på (standard)	TURN/STUN-servern för samtal. Klienterna får adressen turn.example.se:3478.
office.example.se	Om features.office är på	Dokumentredigering (Collabora)
grafana.example.se	Om monitoring.grafana_public: true	Grafana på eget namn

app.example.se.     IN A  203.0.113.10
api.example.se.     IN A  203.0.113.10
admin.example.se.   IN A  203.0.113.10
meet.example.se.    IN A  203.0.113.10
turn.example.se.    IN A  203.0.113.10
office.example.se.  IN A  203.0.113.10

Kontrollera innan du installerar

for h in app api admin meet turn; do dig +short $h.example.se; done

Alla rader ska visa serverns publika adress.

Behåll standardnamnen

Adminportalen räknar ut adresserna till API:t och appen genom att byta admin. mot api. och app.. Ändra därför inte app, api och admin under subdomains i konfigurationen.

Ett namn

Med routing: single och hostname: eurion.example.se (se Konfigurationsfilen) behövs bara en A-post och ett certifikat:

eurion.example.se.  IN A  203.0.113.10

Samtalens TURN-server nås på samma namn, port 3478. Portarna är desamma som nedan. Använder ni e-post i Eurion (features.mail) behöver e-postservern ett eget namn i mail.hostname, med MX-post.

Inkommande portar

Det här ska vara öppet från internet till servern, i en extern brandvägg eller som portvidarebefordran i routern.

Port	Protokoll	Behövs	Till
80	TCP	Alltid	Traefik: Let's Encrypt-validering och omdirigering till HTTPS
443	TCP	Alltid	Traefik: all webbtrafik (app, API, admin, möten, Office)
3478	TCP och UDP	Om features.video är på	TURN/STUN (coturn)
49152–65535	UDP	Om features.video är på	TURN-reläade mediaströmmar (coturn)
10000–10100	UDP	Om features.video är på	Mediaströmmar direkt till mötesservern (mediasoup)
22	TCP	För administration	SSH. Begränsa gärna till era egna adresser.

Alla andra tjänster (PostgreSQL, Redis, Kafka, MinIO, sök, Grafana, Prometheus och tjänsternas egna portar) lyssnar bara på 127.0.0.1 eller i Dockers interna nätverk och ska inte öppnas.

Serverns egen brandvägg

Kitet ställer in ufw (eller firewalld) med 22, 80, 443, 3478 TCP/UDP, 5349 TCP och 49152–65535 UDP. Portarna 10000–10100 UDP publiceras av Docker, som släpper igenom dem förbi ufw. I en extern brandvägg måste du öppna dem själv, annars fungerar samtal sämre eller inte alls.

Varför 5349 inte står i tabellen

Kitet öppnar 5349 (TURN över TLS) i serverns brandvägg, men i 1.6.4 får TURN-servern inget certifikat för den porten. Klienterna använder 3478. Du behöver inte öppna 5349 i en extern brandvägg.

Server bakom NAT

Om servern har en privat adress och nås via portvidarebefordran:

• server.host i konfigurationen är serverns privata adress och server.public_ip den publika. TURN-servern och mötesservern annonserar den publika adressen till klienterna.
• Vidarebefordra alla portar i tabellen ovan, med samma portnummer, till serverns privata adress.
• Användare på det interna nätet måste kunna nå app.example.se och de andra namnen. Använd intern DNS som pekar på den privata adressen, eller NAT-reflektion i routern.

Utgående trafik

Servern behöver kunna nå följande via HTTPS:

Vad	När
Ubuntu/Debian-paketförråd och download.docker.com	Installationen
Docker Hub och ghcr.io (tredjepartsavbildningar)	Installationen, och uppdateringar som lägger till en ny tredjepartstjänst
Let's Encrypt	Certifikat utfärdas och förnyas
updates.eurion.se	Kontroll och hämtning av uppdateringar (kan stängas av, se Uppdateringar)
ClamAV:s signaturdatabas	Virussökningen hämtar nya signaturer (om features.virus_scan är på)
registry.ollama.ai	Språkmodeller för AI (om features.ai är på)
huggingface.co	Talmodell för transkribering (om features.transcription är på)
Er SMTP-server	Utgående e-post, se Utgående e-post
Microsofts inloggning	Om ni använder Microsoft Entra ID

Checklista

• [ ] A-poster för app, api, admin, meet (och turn, office om de används) pekar på den publika adressen
• [ ] 80/TCP och 443/TCP öppna från internet
• [ ] 3478/TCP+UDP, 49152–65535/UDP och 10000–10100/UDP öppna (samtal)
• [ ] SSH öppet bara för era administratörer
• [ ] Servern når internet utgående
• [ ] SMTP-uppgifter klara