Was ist das Problem bei einem DS-lite Anschluss

Ein DS-Lite-Anschluss (Dual-Stack Lite) ist eine Technologie, die von Internet Service Providern (ISPs) verwendet wird, um die Übergangsphase vom alten IPv4-Protokoll zum neuen IPv6-Protokoll zu erleichtern. Diese Technologie wird vor allem bei privaten Internetanschlüssen eingesetzt, bei denen die ISPs den IPv4-Adressmangel umgehen müssen.

Wie funktioniert DS-Lite?

Bei DS-Lite erhaltetihr eine native IPv6-Adresse für euer Heimnetzwerk. Eure Geräte kommunizieren primär über IPv6. Da das Internet jedoch noch nicht vollständig auf IPv6 umgestellt ist und viele Dienste noch auf IPv4 basieren, benötigen eure Geräte weiterhin Zugriff auf IPv4. Dafür wird bei DS-Lite ein sogenannter „AFTR“ (Address Family Transition Router) verwendet. Dieser Router übernimmt die Übersetzung und leitet den IPv4-Verkehr über eine gemeinsame IPv4-Adresse, die von mehreren Kunden gleichzeitig genutzt wird (Carrier-Grade NAT, CGNAT).

Problem: Keine öffentliche IPv4-Adresse

Das Hauptproblem bei DS-Lite ist, dass ihr keine eigene, öffentliche IPv4-Adresse erhaltet. Stattdessen teilt ihr euch eine IPv4-Adresse mit vielen anderen Kunden eures ISPs. Dies führt zu folgenden Einschränkungen:

1. Kein direktes Port Forwarding:
   Da ihr keine eigene öffentliche IPv4-Adresse habt, könnt ihr keine eingehenden Verbindungen direkt zu eurem Heimnetzwerk weiterleiten. Das bedeutet, dass ihr keine Server oder Dienste (wie einen Webserver, FTP-Server oder VPN-Server) direkt im Internet verfügbar machen könnt.
2. Schwierigkeiten bei der Erreichbarkeit:
   Da die IPv4-Adresse, die ihr nutzt, nicht exklusiv ist, können keine eingehenden Verbindungen direkt zu eurem Anschluss geroutet werden. Wenn ihr beispielsweise einen Webserver betreiben möchtet, kann niemand von außen auf diesen zugreifen, weil euer Router keinen direkten IPv4-Zugang hat.
3. CGNAT (Carrier-Grade NAT):
   Bei DS-Lite befindet sich dein Heimnetzwerk hinter einem CGNAT, der von eurem ISP verwaltet wird. CGNAT ist eine große NAT-Instanz, die den IPv4-Verkehr von vielen Kunden gleichzeitig verarbeitet. Dies bedeutet, dass alle eingehenden Verbindungen an dieselbe IPv4-Adresse gehen, und es gibt keinen Mechanismus, um sie an euren spezifischen Router weiterzuleiten.

Warum sind Dienste im Internet nicht aussetzbar?

Wenn ihr einen Dienst (wie einen Webserver oder eine VPN-Verbindung) öffentlich zugänglich machen möchtet, muss dieser Dienst über das Internet erreichbar sein. Dafür benötigt ihr eine öffentliche IP-Adresse, die speziell eurem Router zugewiesen ist. Bei DS-Lite ist dies nicht der Fall, da:

• Nur IPv6 öffentlich erreichbar: euer Heimnetzwerk erhält eine öffentlich erreichbare IPv6-Adresse, aber viele Dienste und Nutzer im Internet verwenden noch IPv4 und können daher nicht ohne Weiteres auf euren Dienst zugreifen.
• Eingehende IPv4-Verbindungen sind blockiert: Ohne eine öffentliche IPv4-Adresse können keine Verbindungen von außen über IPv4 zu eurem Netzwerk hergestellt werden. Selbst wenn ein IPv6-Dienst öffentlich erreichbar ist, könnten Nutzer, die nur über IPv4 erreichbar sind, diesen Dienst nicht nutzen.

Wir schauen uns jetzt eine Möglichkeit an, wie ihr trotz DS-Lite Anschluss, eure Dienste dem Internet zugänglich machen könnt!

Voraussetzungen um Dienste hinter DS-Lite Anschlüssen verfügbar zu machen

1. VPS mit öffentlicher IPv4-Adresse: Ein externer Server mit einer öffentlichen IPv4-Adresse (z.B. bei Hetzner, Ionos, DigitalOcean).
2. Portfreigabe auf dem VPS: Der Wireguard Port 51820 und der Httpsport 443 muss in den Firewalleinstellungen des Servers freigegeben werden.
3. Dienst im Heimnetzwerk: Zum Beispiel ein Webserver oder Nextcloud, der über das lokale Netzwerk läuft. Ein ein SSL Zertifikat ist auf dem lokalen Server nicht notwendig. Dieser Dienst muss auch über einen Webserver auf einen Port 80 lauschen.

Schritt 1: Wireguard auf dem öffentlichen Server installieren

Leider können wir WG-Easy aus diesem Tutorial nicht verwenden, da es aus irgendeinem Grund einfach nicht funktionieren will, die Clients vom Host aus zu erreichen, deshalb wählen wir eine andere Installationsmethode, die aber genau so einfach ist. Wir installieren uns den Wireguard Road-Warrior Installer, der uns Wireguard komplett installiert, und auch in der Lage ist, Clients einzurichten. Den Link zum Road Warrior Installer gibts es hier.

Erstellt euch einen Ordner für den Download des Scripts und wechselt in den Ordner:

mkdir ~/wireguard-installer
cd wireguard-installer

Ladet euch den Installer herunter mit:

wget https://git.io/wireguard -O wireguard-install.sh

Ausführen könnt ihr den Installer mit

bash wireguad-install.sh

Die Installation startet, und ihr werdet nach der IP-Adresse gefragt, nehmt natürlich die öffentliche IP Adresse des Servers, meisstens ist das die 1:

Als nächstes werdet ihr nach dem Port gefragt, bestätigt einfach mit Enter um den Standard Wireguard Port zu verwenden 51820:

Als nächstes könnt ihr bereits einen ersten Client einrichten, hier könnt ihr bereits eine Konfiguration für einen Dienst eurer Wahl erstellen und danach den DNS Server für die Namensauflösung festlegen. AdGuard ist hier eine gute Wahl:

Der Wireguard Server wird installiert, und ihr erhaltet zugleich den QR Code für euren ersten Client (z.B für ein Smartphone) und auch eine Konfigurationsdatei, welche im angegebenen Pfad gespeichert wird:

Weitere WireGuard-Clients konfigurieren

Führt den Script einfach erneut aus, und wählt Add Client:

Schritt 2: Heimserver (Dienst) mit WireGuard verbinden

WireGuard auf dem Heimserver installieren

Zuerst müsst ihr natürlich Wireguard auch auf dem Webserver installieren:

Für Debian/Ubuntu:

sudo apt update && sudo apt install wireguard -y

Konfigurationsdatei einrichten

Erstellt eine neue Konfigurationsdatei auf dem Heimserver, die könnt ihr je nach Dienst benennen wie ihr wollt:

sudo nano /etc/wireguard/webserver.conf

Füge den Inhalt der Konfigurationsdatei ein, den ihr vom Wireguard Installer erhalten habt.

Beispiel:

[Interface] PrivateKey = <Dein_Privatkey> 
Address = x.x.x.x/24 

[Peer] 
PublicKey = <Öffentlicher_Schlüssel_von_wg-easy> 
Endpoint = <DEINE_SERVER_IP>:51820 
AllowedIPs = 0.0.0.0/0, ::/0 
PersistentKeepalive = 25

Speichert die Datei mit strg+o und beendet mit strg+x

WireGuard starten

Aktiviert und startet den Wireguard-Tunnel. Es reicht wenn ihr den Anfang der Konfigurationsdatei angebt:

sudo wg-quick up webserver 

sudo systemctl enable wg-quick@example-webserver

Teste die Verbindung, indem ihr z.B. das Gateway des externen Server anpingt:

ping 10.8.0.1

Habt ihr einen Ping, seid ihr erfolgreich verbunden:

Schritt 3: Nginx als Reverse Proxy auf dem VPN-Server einrichten

Nginx installieren (falls noch nicht geschehen):

sudo apt install nginx -y

Nginx konfigurieren:

Erstelle eine neue Nginx-Konfigurationsdatei für deinen Dienst: sudo nano /etc/nginx/sites-available/dein-dienst

Beispielkonfiguration für einen HTTPS-Proxy:

server {
    listen 80;
    server_name deine-domain.de;

    location / {
        proxy_pass http://10.8.0.2:80;  # IP des Dienstes im Heimnetzwerk
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Ersetzt deine-domain.de durch euren Domainnamen und die IP-Adresse 10.8.0.2 durch die IP des Heimservers im VPN-Netzwerk. Diese findet ihr auch in der Client-Konfigurationsdatei.

Nginx aktivieren:

Aktiviert die neue Konfiguration:

sudo ln -s /etc/nginx/sites-available/dein-dienst /etc/nginx/sites-enabled/

Testet die Konfiguration:

sudo nginx -t

Startet Nginx neu:

sudo systemctl restart nginx

Jetzt installieren wir uns noch Certbot, für die Anforderung, und Verwaltung der SSL Zertifikate:

sudo apt install certbot python3-certbot-nginx -y

Danach beantragt ihr ein Zertifikat mit dem Befehl:

sudo certbot --nginx -d deine-domain.de

Ersetzt deine-domain.ch mit eurer tatsächlichen Domain!

Schritt 4: Firewall-Regeln konfigurieren (optional)

Falls erforderlich, könnt ihr mit iptables sicherstellen, dass der Traffic zwischen mehreren Clients (also einem Webserver, und einem anderem Dienst auf einem anderen Server im Wireguard Netzwerk) nicht möglich ist, das geht mit folgendem Befehl:

iptables -I FORWARD -i wg0 -o wg0 -j REJECT

Das stellt sicher, dass der Traffic zwischen euren Servern unterbunden wird, und die Dienste somit zueinander isoliert sind.

Firewall-Regeln sichern:

Installiert zuerst die das Programm um iptable Konfigurationen zu sichern:

sudo apt-get install iptables-persistent

und speichert die Regel mit:

sudo netfilter-persistent save

Damit bleiben die hinzugefügten Regeln auch nach einem Neustart aktiv.

Schritt 5: Zugriff testen

Dienst aufrufen

Ruft von einem externen Gerät die Domain auf, die auf den Nginx-Server zeigt (https://deine-domain.de). Der Verkehr sollte nun über den Wireguard-Server an den Heimdienst weitergeleitet werden wobei der Reverse Proxy Config auf dem Wireguard Server die SSL Terminierung vornimmt, und den Traffic über Port 80 an den Client weiterleitet.

Fehlerbehebung

Wenn der Zugriff nicht funktioniert, überprüft die WireGuard-Verbindung (sudo wg show), oder die Nginx-Logs (/var/log/nginx/error.log), und eure Firewall-Einstellungen.

Pingt vom Wireguard-Server die Clients an, die müssen auch eine Antwort liefern:

#auf dem Wireguard Server:

ping 10.8.0.2

Fazit

Mit diesem Setup habt ihr einen Webdienst oder einen Webserver, der hinter einem DS-Lite-Anschluss läuft, über das Internet verfügbar gemacht. Das externe VPS fungiert als Brücke und leitet den Verkehr sicher über WireGuard und Nginx an euer Heimnetzwerk weiter.

The post Webdienste hinter DS Lite verfügbar machen mit Wireguard appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Was ist Wireguard

WireGuard ist eine moderne VPN (Virtual Private Network) Software, die für ihre Einfachheit, hohe Sicherheitsstandards und schnelle Performance bekannt ist. Im Vergleich zu anderen VPN-Protokollen wie OpenVPN oder IPSec, setzt WireGuard auf einen schlankeren Ansatz, was sowohl die Implementierung als auch die Wartung vereinfacht.

Das Protokoll zielt darauf ab, VPN-Technologien zu vereinfachen und zu beschleunigen. Es wurde ursprünglich für den Linux-Kernel entwickelt, ist aber mittlerweile für die meisten Betriebssysteme verfügbar, einschließlich Windows, macOS, BSD, iOS und Android. WireGuard verwendet moderne Kryptografie-Techniken und bietet eine sichere Ende-zu-Ende-Verschlüsselung.

Vorteile von Wireguard gegenüber openVPN und ipSec

Einfachheit und Benutzerfreundlichkeit: Eines der Hauptziele von WireGuard ist es, einfacher zu konfigurieren und zu verwenden zu sein als andere VPN-Lösungen. Die Konfigurationsdateien sind für Menschen lesbar und leicht verständlich, was die Einrichtung und Wartung erheblich vereinfacht.

Sicherheit: WireGuard verwendet state-of-the-art Kryptografie-Protokolle und -Algorithmen, wie zum Beispiel Curve25519 für Schlüsselaustausch, ChaCha20 für Verschlüsselung, Poly1305 für Authentifizierung und BLAKE2s für Hashing. Diese Auswahl an modernen, sicheren Technologien hilft, potenzielle Sicherheitslücken zu minimieren.

Leistung und Effizienz: WireGuard ist für seine hohe Performance und geringen Latenzzeiten bekannt. Es ist deutlich schneller als ältere VPN-Protokolle, vor allem aufgrund seines minimalistischen Designs und der effizienten Verschlüsselungsmethoden. Dies macht es besonders vorteilhaft für mobile Anwendungen, wo Ressourcen begrenzt sind.

Cross-Plattform-Unterstützung: Wie bereits erwähnt, unterstützt WireGuard eine Vielzahl von Betriebssystemen, was es zu einer flexiblen Lösung für unterschiedliche Geräte und Anwendungen macht.

IP-Routing und Roaming: WireGuard unterstützt nahtloses Roaming zwischen verschiedenen Netzwerkverbindungen. Das bedeutet, dass zum Beispiel ein Mobiltelefon, das von einer Wi-Fi-Verbindung zu einer mobilen Datenverbindung wechselt, die VPN-Verbindung nicht verliert. Dies ist besonders nützlich für Nutzer, die ständig unterwegs sind.

Transparenz und Open Source: Da WireGuard Open Source ist, kann der Code von jedem eingesehen, überprüft und verbessert werden. Dies fördert Transparenz und Sicherheit durch eine breite Community-Unterstützung

Vorausetzungen

Ihr benötigt zuerstmal einen Rechner, das kann ein Linux Rechner zuhause sein, der läuft und online bleibt, wenn ihr unterwegs seid, oder auch ein kleiner Server in einem Rechenzentrum z.B bei Ionos oder Hetzner sein. Wichtig ist dass ein einigermassen aktuelles Debian in der Version 11/12, oder ein Ubuntu ab der Version 20.04 bis 22.04 auf dem Server läuft. In einem Rechenzentrum könnt ihr die günstigere Versionen mit 2 CPU Kernen und 4GB RAM nehmen. Verschiedene Angebote könnt ihr euch z.B hier bei IONOS anschauen:

https://www.ionos.de/server/vps

Wie bereits erwähnt, reicht ein Server dieser grösse aus, damit sich ihr und eure Familienmitlieder oder Freunde sich mit eurem eigenen VPN verbinden können, und da die Server bei IONOS, oder in Rechenzentrem allgemein an sehr schnelle Interverbindungen angebunden sind, müsst ihr euch auch keine Sorgen, z.B beim Streaming machen.

Bei einem Rechner zuhause sollte dieser auch mindestens über 2 CPU Kerne verfügen, 4GB RAM besitzen, benötigt jedoch praktischen keinen Festplattenspeicher. Zuhause seid ihr an die Internetgeschwindigkeit eurer Leitung gebunden, heisst also wenn ihr eine Bambusleitung habt, ist unterwegs auch nicht mit viel Geschwindkeit zu rechnen, da der gesammte Datenverkehr zu euch nach hause getunnelt wird, und dann auch WLAN oder 5G Geschwindkeiten deutlich ausgebremst werden.

Server im Rechenzentrum

Das vorgehen einen VPS Server zu mieten ist wirklich einfach. Die meissten Provider führen euch bei einem mit wenigen Klicks durch die Bestellung und die Konfiguration (Betriebssystem Ubuntu 20.04/22.04 oder Debian 11/12 nehmen) Ihr benötigt keinen anderen Schmarn abwählen keine Addons, und keine zusätzlichen Optionen, einfach registrieren und Kreditkartendaten angeben, konfigurieren, IP Adresse ausindig machen, und sich mit dem gegebenen Daten per SSH verbinden.

Der Login geschieht über die öffentliche IP des Servers, z.B mit Putty von einem Windows Rechner aus, oder normal über das Terminal eures Linux Rechners.

Die Logindaten eures Servers findet ihr meisst auch auf der Server-Übersicht.

Firewall Konfiguration

Damit der Wireguard VPN Server funktioniert, müsst ihr in den Firewall Einstellungen eures Servers den entsprechenden Port freigeben, über der Wireguard kommuniziert. Dieser Port ist 51820 UDP.

Für eine verschlüsselte Verbindung zum Userinterface, die wir nachher einrichten, benötigen wir zudem noch den Port 443 TCP.

Die Firewall-Einstellungen findet ihr meisst im Bereich Netzwerk/Firewall-Richtlinien. Bei Ionos sieht das z.B so aus:

Stellt sicher das der Port 51820 als UDP konfiguriert ist. Die Einstellungen im Rechenzentrum sind bereits schon abgeschlossen. Stellt sicher das ihr eure öffentliche IP, und das Passwort notiert habt:

Betrieb zuhause

Habt ihr keine fixe IP Adresse, wäre eine Domain bei einem DynDNS Provider sinnvoll, da es sein kann, das die IP Adresse sich bei einem kurzen Verbindungsabruchs des Modems, oder ein unerwarteter Neustart, sich eure öffentliche IP Adresse ändern könnte. In diesem Tutorial erfahrt ihr, wie ehr euch eine DynDNS Adresse einrichtet, um bei einem Wechsel der IP Adresse trotzdem den VPN weiter verwenden könnt. Da die Gefahr aber relativ gering ist, dass ihr eine neue IP Adresse bekommt, kann das bei einem kurzen Trip eher vernachlässigt werden. Ist ein Ausfall nicht unbedingt kritisch, könnt ihr die öffentliche IP Adresse eures Heimanschluss bei der Installation von Wireguard verwenden.

Beim Betrieb zuhause, muss der Linux Rechner einfach online bleiben, bis ihr wieder zuhause seid. Stellt also sicher dass der Schlafmodus deaktiviert ist. Da der Rechner zuhause eine LAN IP hat, müssen wir ein Portfowarding erstellen. Wie das funktioniert, erfahrt Ihr in diesem Beitrag hier! Stellt sicher, dass Ihr den Port 52180 UDP an die entsprechende interne IP des Rechners, auf dem Wireguard läuft, weitergeleitet wird. Habt ihr eine Firewall auf dem Linux Rechner am laufen, stellt sicher das der benannte Port ebenso freigegeben worden ist.

Den Port 52181 müsst ihr zuhause ebenso nicht weiterleiten, da ihr euch lokal und intern mit eurem Wireguard Server verbinden könnt und somit Zugriff auf euer lokales Netzwerk habt.

Wireguard Installation

Loggt euch auf eurer VPS via SSH ein, oder öffnet euer Terminal auf eurem lokalen Rechner, falls ihr den Wireguard Server zuhause betreibt. Die Installation ist sehr simple. Wir verwenden ein fertiges Docker-Image, welches alles fertig einrichtet. Nur die IP Adressen müssen wir anpassen.

Zuerst installieren wir uns Docker. Docker ist eine Plattform für das Containerisieren von Anwendungen, wodurch diese mit ihren Abhängigkeiten in Containern verpackt und leicht zwischen Umgebungen portiert werden können. Es vereinfacht die Entwicklung, den Versand und die Ausführung von Software. Es bringt quasi alles mit, was den Betrieb von Wireguard notwendig macht und wird entsprechend konfiguriert abgeliefert.

Wir updaten unser System mit apt update und installieren Docker mit apt install docker.io

Nun kommt ein grössere Befehl, welche wir uns vorher anpassen müssen:

docker run -d \
  --name=wg-easy \
  -e WG_HOST=<DEINE_SERVER_IP> \
  -e PASSWORD=<DEIN_ADMIN_PASSWORT> \
  -v ~/.wg-easy:/etc/wireguard \
  -p 51820:51820/udp \
  -p 51821:51821/tcp \
  --cap-add=NET_ADMIN \
  --cap-add=SYS_MODULE \
  --sysctl="net.ipv4.conf.all.src_valid_mark=1" \
  --sysctl="net.ipv4.ip_forward=1" \
  --restart unless-stopped \
  weejewel/wg-easy

Beim Server im Rechenzentrum nehmt ihr die öffentliche IP des Servers, beim Betrieb zuhause nehmt Ihr entweder die öffentliche IP Adresse eures Routers, oder die DynDNS Domain, falls ihr eine erstellt habt. Bitte stellt sicher, dass ihr ein ausreichend starkes Passwort verwendet.

Danach kopiert ihr den ganzen angepassten Absatz in eure Konsole und schickt den Befehl einmal ab. Docker installiert nun den Container mit Wireguard und konfiguriert euch eurer Gerät entsprechend für die Nutzung und erledigt alle entsprechenden Netzwerkeinstellungen. Mit dem Befehl docker ps könnt ihr überprüfen, ob der Container nun auch bereits läuft:

Webzugriff Absichern und Konfiguration der Clients

Webzugriff auf dem öffentlichen Server mit SSL Zertifkat absichern

Damit wir sicher auf das Web-UI zugreifen können, sichern wie die Verbindung zuerst noch mit Nginx, und einem selbstsignierten Zertifikat ab.

Wir installieren uns Nginx zuerst mit:

sudo apt install nginx

und erstellen uns einen Ordner für unsere selbstsignierten Zertifikate:

sudo mkdir -p /etc/nginx/ssl

Danach erstellen wir uns das Zertifikat und einen zusätzlichen Diffie-Hellmann Schlüssel für den sicheren Schlüsselaustausch:

# Erstellen des Zertifikates:

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /etc/nginx/ssl/selfsigned.key \
  -out /etc/nginx/ssl/selfsigned.crt

# Erstellen des Diffie-Hellmann Schlüssels:

sudo openssl dhparam -out /etc/nginx/ssl/dhparam.pem 2048

Jetzt erstellen wir eine Nginx Konfiguration, damit die Anfrage über unser SSL Zertifikat an das WebUI gesendet werden kann:

sudo nano /etc/nginx/sites-available/wg-easy.conf

und platzieren darin folgenden Inhalt:

server {
    listen 443 ssl;
    server_name _;

    ssl_certificate /etc/nginx/ssl/selfsigned.crt;
    ssl_certificate_key /etc/nginx/ssl/selfsigned.key;
    ssl_dhparam /etc/nginx/ssl/dhparam.pem;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

    location / {
        proxy_pass http://127.0.0.1:51821;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    error_page 497 https://$host$request_uri;
}

server {
    listen 80;
    server_name _;

    return 301 https://$host$request_uri;
}

Wir speichern die Datei mit strg+o und beenden mit strg+x. Jetzt platzieren wir noch einen Link in den Ordner sites-enabled:

sudo ln -s /etc/nginx/sites-available/wg-easy.conf /etc/nginx/sites-enabled/

Die Konfiguration können wir testen mit:

sudo nginx -t

und wenn keine Fehler ausgegeben werden, starten wir Nginx neu mit:

sudo systemctl reload nginx

Jetzt können wir im Browser https://1.2.3.4 (IP mit eurer Server-IP ersetzen) eingeben, und landen auf der Web-UI mit einer verschlüsselten Verbindung:

Webzugriff auf dem Wireguard Server zuhause absichern

Müsst ihr nicht, da ihr euch direkt mit Wireguard in euer Netzwerk Tunnel könnt, und danach auf das Web-UI zugreifen könnt.

Die Profile richtet ihr euch am besten direkt zuhause auf dem Wireguard Home Server ein. Dazu gebt ihr direkt auf dem Server im Browser http://localhost:51821 ein und landet auf dem Web Interface. Falls ihr auf einem anderen Rechner im LAN auf das Wireguard Interface zugreifen wollt, gebt ihr http://ip_des_wireguardservers:51821 ein.

Zugänge auf dem Wireguard Interface einrichten

Loggt euch mit eurem Passwort ein. Dann seid ihr auch schon auf der ziemlich übersichtlichen und einfach gehaltenen Bedienungszentrale, die eigentlich nur aus einer Seite besteht.

Hier könnt ihr ganz einfach mehrere Konten anlegen, die ihr euren Geräten zuteilt. Wichtig ist, dass ein Profil nur einmal verwendet werden kann, es also nicht mit anderen Benutzern geteilt werden kann. Das liegt daran dass sich ein Endgerät über eine Public/Privatekey am Server registriert, und die Verbindung damit sichert. Ein Profil kann also nicht auf 2 Geräten verwendet werden. Ihr könnt aber beinahe unbegrenzt Konten erstellen wie ihr Lustig seid. Klickt dazu einfach auf New Client, gebt dem Gerät einen Namen, und wiederhollt das solange wie ihr Accounts benötigt:

In der Übersicht seht ihr danach eure Clients. Rechts findet ihr Optionen wie das aktivieren/deaktivieren des Profils, die QR Anzeige, Möglichkeiten den Client wieder zu entfernen oder diese manuelle Konfiguration für den Client herunterzuladen. Wichtig hierbei ist der QR Code für das Smartphone und die Konfigurationsdatei für den Laptop falls ihr damit Unterwegs seid.

Smartphone, Windows und Linux Client einrichten

Smartphone Client

Für euer Android oder iPhone benötigt ihr nichts anderes als die App WG Tunnel von F-Droid oder die App Wireguard von Aurora. Diese installiert ihr wie gewohnt, und gebt der App Netzwerkberechtigungen falls Ihr CalyxOS oder GrapheneOS verwendet. Beim ersten öffnen erlaubt ihr der App als VPN agieren zu dürfen.

Alles was ihr tun müsst, ist mit dem plus Symbole einen neuen Tunnel zu erstellen, und den QR Code eures Profils abzufotografieren:

Mit der App Wireguard verhält es sich genau gleich, die iPhone App ist ähnlich einfach zu bedienen. Am Schluss müsst ihr nur mit dem Schieberregler oben den VPN aktivieren oder wieder deaktiveren.

Linux Client

Auf dem Linux Laptop, geht die Einrichtung von Wireguard einfach via Konsole am schnellsten. Öffnet eure Konsole und installiert Wireguard mit sudo apt install wireguard, danach startet ihr schnell euren Rechner neu. Als nächstes öffnet ihr eurer Terminal erneut, und legt mit sudo nano /etc/wireguard/laptop.conf eine neue Konfiguration an. Der Name Laptop kann hierbei geändert werden, je nach euren Geräten. Ladet euch die Wireguard Konfiguration herunter, öffnet sie, und platziert den kompletten Inhalt in diese Datei. Speichert sie mit STRG+o und beendet mit STRG+x

Die Verbindung stellt ihr ganz einfach mit folgendem Befehl her, wobei Laptop auf den Namen eurer Konfigurationsdatei anzupassen ist.

wg-quick up laptop

Wireguard stellt die Verbindung dann super schnell her, und ihr seid mit eurem VPN verbunden. Mit

wg-quick down laptop

Beendet ihr die Verbindung wieder.

Windows Client

Ladet euch den Windows Client hier herunter und installiert diesen auf eurem Rechner. Startet anschliessend das Programm. Ihr findet links unten den Button Tunnel hinzufügen oder Add Tunnel . Klickt diesen und wählt anschliessend Tunnel aus Datei hinzufügen. Wählt die Konfigurations-Datei aus, die ihr vom Wireguard Server heruntergeladen habt.

Anschliessend bekommt ihr rechts eine Übersicht der Verbindung. Klickt auf Aktivieren oder Activate, und der Windows Rechner wird sich mit eurem Wireguard Server verbinden.

WG-Easy Server updaten

Falls ihr eine Update Benachrichtigung bekommt, könnt ihr auf dem Server folgende Befehle ausführen:

docker stop wg-easy
docker rm wg-easy
docker pull weejewel/wg-easy

Danach führt ihr den Docker Run Befehl mit der Konfiguration von oben wieder aus und seid wieder am Start.

Abschluss

Wir haben nun endlich unseren eigenen VPN Server in Betrieb und können gewisse Geolokale Einschränkungen umgehen, uns sicher in fremden WLANs, zum Beisiel in öffentlichen Bereichen, aufhalten und vielen Schnüfflern erfolgreich verbergen, and welchem Ort wir gerade unterwegs sind. Wir haben auch ein Tutorial geschrieben wie man einen eigen openVPN Server bei sich zuhaue betreibt. Wer lieber openVPN verwendet, kann dieses Tutorial auch auf einer VPS in einen Rechenzentrum anwenden.

Lest doch noch unseren Artikel, wie man einen VPN richtig verwenden sollte, und auf was zu achten ist, falls ihr euch mehr über das Thema informieren wollt.

The post Schnell und einfach einen Wireguard VPN betreiben appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Was ist ein VPN

Ein Virtual Private Network (VPN) ist ein Netzwerktool, das eine verschlüsselte Verbindung zwischen einem Benutzergerät und einem VPN-Server herstellt. Diese Verschlüsselung schützt die Daten des Benutzers vor neugierigen Blicken und ermöglicht es, im Internet zu surfen, als ob man sich physisch am Standort des VPN-Servers befindet.

Ein VPN arbeitet durch die Einrichtung eines sicheren Tunnels und leitet den Internetverkehr des Benutzers durch diesen verschlüsselten Tunnel, was Euch in erster Linie erstmal nur einen zusätzlichen Schutz bietet. Es ist jedoch wichtig zu wissen, dass VPNs alleine nicht vor allen Online-Bedrohungen schützen können und am besten in Kombination mit anderen Sicherheitsmaßnahmen verwendet werden sollten.

Warum die Benutzung eines VPNs keine Garant für Anonymität ist

VPNs bieten zwar einen zusätzlichen Datenschutzschicht, garantieren aber keine absolute Anonymität.

Erstens können einige VPN-Anbieter Protokolle über Benutzeraktivitäten führen und diese unter bestimmten Umständen offenlegen.

Zweitens, obwohl VPNs die IP-Adresse des Benutzers verbergen, können andere Techniken wie Browser- und Device-Fingerprinting verwendet werden, um individuelle Profile von Benutzern zu erstellen. Diese Techniken sammeln einzigartige Merkmale von Browsern und Geräten, um Benutzer über verschiedene Websites hinweg zu verfolgen. Auf detailiertere Erklärungen kommen wir dann weiter unten des Artikels.

Drittens könnten fortgeschrittene Netzwerkanalysetechniken in der Lage sein, VPN-Verkehr zu erkennen und möglicherweise zu korrelieren. Um ganz genau zu zu sein, die IP Adresse spielt heutzutage sogar eine eher untergeordnete Rolle. Der Datenverkehr ist zwar von Eurem Gerät und den Server des VPN Anbieters verschlüsselt und somit nicht einsehbar, jedoch kann der VPN Anbieter z.B. selbst all Eure Daten auf dem Server und nach der VPN Entschlüsselung einsehen, analyisieren und verarbeiten.

Damit ist es dann auch schon aus mit der sogenannten Anonymität: Sollte der Datenverkehr für Werbezwecke, Analysen und gar Ermittlungen für Behörden relevant werden, liegt man vor diesen Instanzen wie ein offenes Buch auf dem Schreibtisch.

Anonymität bei bestimmten VPN Diensten

NordVPN zum Beispiel ist immer wieder in diverse Skandale verwickelt, speichert Eure Emails, verkauft diese an Werbe und Analyse Unternehmen, und stopft die eigene App voll mit Trackern. Der Anbieter jedoch schwelgt sich in Unschuld, gibt nicht zu dass er Eure Daten verkauft und verspricht Euch weiter vollmündig dass Eure Privatsspähre ihnen wichtig ist.

Die Suchfunktion bietet Euch da viele Quellen wie es um die Anonymität der VPN Anbieter wirklich steht.

Browser und Geräte Fingerprinting

Warum VPNs alleine nicht für Anonymität sorgen: Ein detailierter Blick

Ein Virtual Private Network (VPN) wird oft als Mittel zur Erhöhung der Anonymität und des Datenschutzes im Internet angepriesen. Während VPNs zweifelsohne hilfreich sind, indem sie den Internetverkehr zusätzlich verschlüsseln und die IP-Adresse des Benutzers verschleiern, garantieren sie alleine noch keine Anonymität. Browser- und Device-Fingerprinting spielen dabei die entscheidende Rolle.

Grenzen von VPNs

VPNs verbergen zwar Eure tatsächliche IP-Adresse, sie können jedoch nicht verhindern, dass Websites und Dritte andere eindeutige Merkmale und Daten sammeln, die Eure Online-Aktivitäten zugeordnet werden können. Einige VPN-Dienste können auch Protokolle führen oder unter bestimmten Umständen Informationen offenlegen, insbesondere wenn sie rechtlichen Anforderungen unterliegen.

Browser-Fingerprinting

Browser-Fingerprinting ist eine Methode, bei der Informationen über Euren Browser (z.B. Version, installierte Plugins, Schriftarten, Bildschirmauflösung) erfasst werden, um einen einzigartigen "Fingerabdruck" zu erstellen. Dieser Fingerabdruck ist oft spezifisch genug, um Benutzer über verschiedene Websites hinweg zu verfolgen, selbst wenn sie VPNs verwenden. So können Werbenetzwerke und Tracking-Unternehmen ein Profil Eurer Online-Aktivitäten erstellen, unabhängig davon, ob Eure IP-Adresse durch ein VPN verdeckt wird. Mehr zum Thema Fingerprinting könnt Ihr hier lesen.

Device-Fingerprinting

Ähnlich wie beim Browser-Fingerprinting sammelt das Device-Fingerprinting Daten über Euer Gerät, wie Betriebssystem, Hardware-Spezifikationen und sogar Akkustatus. Diese Daten können dann kombiniert werden, um ein individuelles Profil Eures Geräts zu erstellen. Selbst wenn Ihr regelmäßig Eure IP-Adresse ändert, kann dieses eindeutige Geräteprofil dazu beitragen, Euch im Web zu identifizieren.

Kombination von Techniken

In der Praxis kombinieren viele Tracking-Unternehmen sowohl Browser- als auch Device-Fingerprinting, um noch genauere Benutzerprofile zu erstellen. Wenn Ihr eine Website besucht, können Skripte im Hintergrund laufen, die eine Vielzahl von Daten erfassen. Diese Daten können dann aggregiert werden, um ein umfassendes Bild Eurer Online-Identität zu erstellen, welches weit über die von einem VPN verborgene IP-Adresse hinausgeht.

Die Richtige Anwendung eines VPN

Der Sinn und Zweck zur Nutzung eines VPNs sollte sowieso ein anderer sein, den VPN wurde eigentlich dazu entwickelt, Mitarbeitern von Geschäften einen sicheren Zugang in das eigene Firmennetz zu ermöglichen, und somit interne Dienste, Geräte, Datenbanken und etc von extern zu nutzen oder bzw. damit zu arbeiten.

Deshalb sollte die Nutzung eines VPNs eigentlich auch für Private Anwender prioritär auf dieser Basis geschehen. Nutzt Ihr  einen externen VPN Anbieter, kann dieser mit Euren Daten theoretisch machen was er will!

Auf Eurem Router einen VPN Client einzurichten, der ständig mit einem VPN Dienst verbunden ist, ist also Unsinn und trägt praktisch nichts zur Privatsspäre bei. Ein sinnvoller verwendungszweck wäre z.B ein VPN Client auf einem Router, der sich mit Eurem Firmennetzwerk verbindet und Ihr agieren könnt, als wärt Ihr in der Firma selbt.

Empfehlung

Um die Anonymität von VPN Diensten steht es also nicht so gut wie gedacht. Deshalb empfehlen wir VPNs eigentlich nur für den eigentlich entwickelten Zweck, Zugriff auf Euer Netzwerk, und Schutz vor Hackern in öffentlichen WLANs zum Beispiel im Ausland. Ausserdem können damit bestimmte Zensurtechniken, die auf Geolocations basieren, umgangen werden. Weitere Anwendungsszenarien sind auch der Zugriff auf geoeingeschränkte Dienste, um z.B auf eine Mediathek zuzugreifen die in anderen Ländern nicht angesehen werden kann. Einen eigenen VPN Server aufzusetzen ist garnicht mal so schwierig! Wie man sich auf einem eigenen Gerät, auf Basis von Linux, einen eigenen VPN Server mit OpnVPN als Client konfiguriert, erfahrt Ihr in diesem Artikel!

Dafür benötigt Ihr keinen Privacy Router der Eure IP Adresse hinter einem VPN versteckt, da dies praktisch nichts der versprochenen Anonymität beiträgt, und der Sinn und Zweck dahinter ist, Euch das Geld aus der Tasche zu ziehen. Ausserdem könnt Ihr wie gesagt einen VPN, mit ein wenig Geduld und etwas Interesse auch selber auf einem Linux Rechner Eurer Wahl installieren.

Ich möchte Euch mit solchen Themen oder Klarstellungen nicht verunsichern, jedoch ist es mir eine wichtige Angelegenheit falsche und Irreführende Aussagen, die vor allem aktuell bei prvcy.world kursieren, zu wiederlegen. Nur ein gut informierter Benutzer ist ein sicherer Nutzer!

Habt Ihr Fragen? Hat Euch der Artikel "Bin Ich mit einem VPN anonym?" gefallen? Wollt Ihr weitere Infos zu anderen Themen? Schreibt es in die Kommentare!

The post Bin Ich mit einem VPN anonym? appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Vorbereitungen

Um uns mit unserem VPN Server zu verbinden brauchen wir unter Android die App Open VPN. Ladet Euch dazu den OpenVPN Client in Aurora Store , F-Droid oder Google Play Store herrunter. Installiet die App und öffnet sie.

Anwendung

Nachdem Ihr die App gestart habt, klickt auf das Plus Symbol unten links auf Eurem Bildschirm

Im Nächsten Fenster wählt Ihr "File" und sucht Euch auf Eurem Smartphone die herruntergeladene OpenVPN Konfiguration von Eurem Synology VPN Server.

Habt Ihr die Konfiguration erfolgreich importiert, taucht das Profil anschliessend im Hauptmenü in der Übersicht auf. Klickt neben dem Profil und gebt Euren Synology Bentzernamen an. Wenn Ihr wollt, könnt Ihr bereits jetzt schon Euer Passwort hinterlegen. Ich empfehle immer Passwörter, vor allem bei Dingen bei denen es um Vollzugriffe geht, manuel bei jedem Login einzugeben.

Alle anderen Einstellungen könnt Ihr so lassen wie sie sind.

Habt Ihr alles richtig eingestellt, solltet Ihr Euch nun mit Eurem VPN Server verbinden können. Nun könnt Ihr ganz einfach in den Webbrowser die LAN IP Eurer Geräte eingeben und Euch damit verbinden. Die Verbindung läuft verschlüsselt, und keiner kann da irgendwelche Sachen mitlauschen oder Daten abgreifen.

Sollte die Verbindung nicht klappen, überprüft Eure Portweiterleitungsregeln, die Synology Firewall und Eure Einstellungen im VPN Server der Synology NAS so wie es im Artikel Synology VPN Server konfigurieren beschrieben worden ist. Viel Spass und Erfolg!

Habt Ihr Fragen zum Thema Android mit Synology VPN verbinden? Stellt sie gerne in die Kommentare!

The post Android mit Synology VPN verbinden appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Vorbereitungen

Öffnet euer Terminal und installiert OpenVPN mit dem nachfolgendem Befehl. In den meissten Distros ist OpenVPN bereits installiert. Versucht also zuerst mal das importieren der VPN Datei weiter unten, sollte das klappen, müsst Ihr nichts weiter installieren

sudo apt install openvpn network-manager-openvpn

VPN einrichten und verbinden

Öffnet als nächstes eure Linux Systemeinstellungen und geht in die Einstellungen "Netzwerk" und wählt Verbindungen aus. In der Mitte seht ihr die aktuellen Verbindungseinstellungen, fügt eine neue hinzu indem ihr unten in der Mitte auf das Plus Zeichen drückt. Wählt anschliessend "VPN-Verbindung importieren" aus.

Bestätigt den Import eventueller Zertifkate. Ist die Konfiguration erfolgreich importiert worden, habt ihr nun einen neuen Eintrag unter der Kategorie VPN (openVPN)

Öffnet den Eintrag und gebt euer Benutzername und Passwort ein. Lasst ihr es leer, werdet ihr einfach beim verbinden nach Benutzername und Passwort gefragt. Gebt hier die Anmeldedaten euer Synology NAS ein.

Diese Verbindung wird euch auch in der Netzwerkübersicht in der Symbolleiste angezeigt. Seid ihr nun in eine fremden WLAN unterwegs, könnt ihr euch nun zusätzlich mit dem VPN verbinden. Gebt dazu einfach wieder euer Synology Benutzername und euer Passwort ein. Hat alles geklappt, seid ihr nun mit eurem eigenen VPN Server verbunden.

Nun könnt Ihr ganz einfach in den Webbrowser die LAN IP eurer Geräte eingeben und euch damit verbinden. Die Verbindung läuft verschlüsselt, und keiner kann da irgendwelche Sachen abgreifen oder beschnüffeln.

Sollte die Verbindung nicht klappen, überprüft eure Portweiterleitungsregeln, die Synology Firewall und eure Einstellungen auf dem VPN Server der Synology NAS so wie es im Artikel Synology VPN Server konfigurieren beschrieben worden ist. Viel Spass und Erfolg!

Habt ihr Fragen zum Thema Linux mit Synology VPN verbinden? Stellt sie gerne in die Kommentare!

The post Linux mit Synology VPN Server verbinden appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Vorbereitungen

Um uns mit unserem VPN Server zu verbinden brauchen wir unter Windows eine App. Ladet Euch dazu den OpenVPN Client z.B hier herrunter und installiert das Programm auf Eurem Rechner.

VPN einrichten und verbinden

Habt Ihr das getan startet das Programm. Erstmal wird noch nicht viel passieren, aber in Eurer Symbolleiste unten rechts läuft bereits OpenVPN. Damit dass Tool sich verbinden kann, öffnet erstmal mit einem Rechtsklick darauf die Einstellungen und wählt "Import" und danach "Datei importieren" Wählt nun aus die herruntergeladene Konfigurationsdatei aus.

Habt Ihr dass, könnt Ihr auf das OpenVPN Symbol doppelklicken und die App öffnen.

Gebt Euer Synology Benutzer und Passwort Daten ein und klickt auf OK. Habt Ihr alles richtig eingestellt, solltet Ihr Euch nun mit euerem VPN Server verbinden können. Nun könnt Ihr ganz einfach in den Webbrowser die LAN IP Eurer Geräte eingeben und Euch damit verbinden. Die Verbindung läuft verschlüsselt, und keiner kann da irgendwelche Sachen mitlauschen oder Daten abgreifen.

Euer Windows Rechner zeigt Euch jetzt eine Verbindung via LAN an, das ist soweit normal und macht Euch darrüber keine Sorgen.

Sollte die Verbindung nicht klappen, überprüft Eure Portweiterleitungsregeln, die Synology Firewall und Eure Einstellungen im VPN Server der Synology NAS so wie es im Artikel Synology VPN Server konfigurieren beschrieben worden ist. Viel Spass und Erfolg!

Habt Ihr Fragen zum Thema Windows mit Synology VPN verbinden? Stellt sie gerne in die Kommentare!

The post Windows mit Synology VPN verbinden appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Wie Ihr in diesem Artikel bereits gelesen habt, sind die Werbeversprechen einiger VPN Anbieter teilweise eine freche Lüge. Der Kuketz Blog hat dazu ebenso einige interessante Details aufgedeckt. Nord-VPN zum Beispiel wirbt mit vollständiger Anonymität, verkauft aber eure Email Adressen und trackt euch sogar mit der Smartphone App. Grotesker geht es garnicht. Deshalb möchte ich euch zeigen wie Ihr mit eurer Synology einen eigenen VPN Server einrichten könnt, mit dem ihr euch mit eurem Smartphone, Windows oder Linux Rechner ganz einfach verbinden könnt.

Für was brauche ich eigentlich einen eigenen VPN Server

Dafür gibt es verschiedene Szenarien. Der eigene VPN Server dient vorrangig dazu, euch mit euren eigenen Dienste oder Geräten zuhause auf eine sichere Art und Weise zu verbinden. Wollt ihr euch mit eurer NAS verbinden, den Status checken, oder unterwegs etwas konfigurieren, geht das am besten mit einem VPN Zugang. Ihr könnt euch natürlich mit den Hersteller-eigenen Zugangsportalen verbinden, diese schliesse ich persönlich jedoch immer als erstes, weil es quasi weitere unnötige Eintrittspforten in euer System darstellt. Hacker und Angreife spezialisieren sich meisst auf diese Tore und Portale, und sie stellen ein unnötiges Sicherheitsrisiko da, welches man ganz einfach verhindern kann, in dem an diese Eintrittspforten einfach schliesst.

Die VPN Verbindung ist verschlüsselt und nicht manipulierbar. Sitzt ihr in einem Internet Cafe oder in einem WLAN vom Hotel aus, und loggt euch über öffentliche WLANs in euer Heimnetz ein, ist dies eine deutlich sicherer als direkt Verbindungen via SSH auf einen Server.

Vorbereitungen

Zu aller erst müssen wir natürlich wieder eine Portweiterleitung für euren zukünftigen VPN Server erstellen. Wie das geht, habt Ihr bereits in diesem Artikel erfahren.
VPN benutzt den Port 1194 auf dem Protokol UDP, welchen ihr an eure Synology NAS weiterleiten müsst. Die Synology NAS muss auch über eine feste IP Adresse verfügen. Das geht entweder über das Synology NAS Interface, oder über euren Router.

Firewalleinstellungen

Geht als nächstes in eure Synology Firewall und fügt eine neue Regel hinzu, Ihr könnt eine einfach eine eigene Regel erstellen. Öffnet die Firewall wie im Screenshot unter Sicherheit/Firewall -> Regeln bearbeiten. Klickt auf Benutzerdefiniert und erstellt euch wie im Screenshot eine Erlaubnis für den Port 1194 auf dem Protokoll UDP

Bestätigt alles mit OK und klickt am Schluss auf Übernehmen.

Einrichtung dynamische DNS Adresse

Als nächstes müssen wir eine dynamische DNS Adresse erstellen. Das brauchen wir, da Privatanwender zuhause meisst keine fixe IP Adresse besitzen. Sollte sich die IP Adresse eures Routers ändern, habt, Ihr später keinen Zugriff mehr auf eurem Server zuhause. Deshalb erstellen wir uns eine dynamische DNS Adresse welche sich automatisch aktuallsiert und die Dienste an die veränderte IP Adresse schickt.

Geht dazu auf in den Synology Systemeinstellungen links auf den Reiter "Externer Zugriff", danach auf DDNS und klickt auf hinzufügen. Wählt als Serviceanbieter Synology und wählt euch eine Domain aus. Als Subdomain könnt ihr einen Namen Eurer Wahl hinterlegen. Beispielsweise "vpnAccessLAN". Es ist möglich dass einige Namen nicht funktionieren da möglicherweise schon besetzt. Falls die Einrichtung fehlschlägt, benutzt einfach einen andere Subdomain.

Verknüpft das ganze mit eurem Synology Konto, und entfernt den Haken bei Zertifikat bei Letsencrypt erhalten und als Standard festlegen. Heartbeat aktivieren könnt ihr ebenso weg lassen. Diese brauchen wir bei einer VPN Verbindung nicht.

Falls ihr die Domain auf verwenden wollt, um eure Synology vom Internet zuzugreifen, setzt den Haken für das Letsencrypt Zertifikat erhalten. Damit dies klappt, muss ein Portfowarding von eurem Router eingerichtet sind, und Port 80, muss auf die Synology IP zeigen.

Testet vorher die Verbindung und schaut ob die Adresse frei ist. Danach könnt Ihr auf OK bestätigen. Die Einrichtung kann eine kurze Zeit dauern. Falls sie fehlschlägt, testet wie bereits eine andere Subdomain. Habt Ihr eine gültige Adresse bekommen, notiert euch diese Adresse. Diese brauchen wir später zur Konfiguration.

Installation und Einrichtung VPN Server

Ladet euch als nächstes auf eurer Synology den VPN Server herunter, den findet Ihr im Packet Zentrum. Sucht nach VPN und installiert euch den VPN Server.

Nachdem ihr dem Server installiert habt, könnt ihr in auch gleich öffnen. Alle Vorbereitungen sind soweit bereits getroffen.

Konfiguration des eigenen VPN Servers

Wir benutzen für unseren Zugang das Protokoll OpenVPN, Das Protokoll ist kompatibel mit den gängigsten Apps, und die Profile können nachher ganz einfach in euer Smartphone, oder euren Linux bzw, Windows Rechner importiert werden.

Klickt also auf OpenVPN im in der linken Spalte und aktiviert zu aller erst mal den Dienst.

Hier können wir erst mal ein paar Einstellung überprüfen. Die Dynamische IP Adresse stellt das virtuelle Netzwerk da, welches der VPN Server in eurem Netzwerk erstellt. Ihr bekommt also eine IP Adresse aus diesem Bereich zugeteilt und könnt von diesem virtuellen Netzwerk auf euer LAN Netzwerk zugreifen. Lasst die Einstellung hier am besten wie sie sind. Ihr könnt natürlich auch einen anderen Adressraum benutzen. Der Adressraum sollte sich einfach nicht mit eurem eigenen LAN Netzwerk überschneiden.

Die Maximale Anzahlung Verbindung könnt Ihr ebenso festlegen wie, die Anzahl gleichzeitiger Verbindungen mit einem Konto. Stellt sicher, das Port 1194 und das Protokol UDP ausgewählt sind. Die Sicherheits- und Verschlüsslungseinstellungen könnt Ihr belassen wie sie sind. Stellt zudem sicher, dass Ihr den Haken bei "Clients den Server-Lan Zugriff erlauben" setzt, ansonsten habt ihr keinen Zugriff auf die anderen Geräte in eurem LAN Netzwerk.

Die Einstellung sind soweit erledigt. Als nächstes klickt Ihr auf Übernehmen. Danach findet Ihr an unterster Stelle den Button Konfigurationsdateien exportieren. Diese benötigen wir für die Konfiguration des Clients.

Konfiguration der OpenVPN Verbindung

Ladet euch die Datei runter, entpackt sie und öffnet sie mit einem gängig Texteditor. Hier müssen wir ein paar Einstellungen vornehmen.

Ersetzt als erstes den Eintrag unter "remote" mit der Domain die ihr euch oben via DDNS erstellt habt. Achtet auf eine korrekte schreibweisse. Dahinter muss der Port 1194 stehen.

ihr könnt theoretisch euren gesamten Datenverkehr eurer VPN Verbindung über euren Server leiten. Das bietet sich zum Beispiel an, wenn ihr mit der IP eures Heimanschlusses ins Netz gehen wollt, oder einfach dem WLAN mit dem ihr euch verbindet habt, nicht traut. Wählt Ihr diese Option, sieht es auch für euren Internetprovider, und alle anderen die euch tracken so aus, als würdet ihr zuhause sein. Bedenkt allerdings dass dies eure Verbindung verlangsamen kann, da wie gesagt, der gesamte Datenverkehr eures Clients über den VPN Server geleitet wird. Um die Funktion zu aktivieren, kommentiert den Eintrag einfach aus und entfernt das Raute/Doppelkreuz Symbol vor redirect-gateway def1. Ihr könnt zudem noch einen eigenen DNS Server angeben, falls ihr zuhause einen eigenen DNS Server betreibt.

Ihr müsst dann den Eintrag dhcp-option DNS auch auskommentieren und hinter DNS, die IP eures gewünschten DNS Servers einsetzen.

Das waren erst mal alle Einstellungen in der VPN Konfigurationsdatei. Speichert die Datei ab und schickt sie an das Gerät auf dem ihr die VPN Verbindung eingehen wollt.

Clients mit Synology VPN verbinden

Damit der Beitrag nicht zu lang wird, findet Ihr demnächst in den Kategorien Linux, Windows und Android eigene Beiträge, wie ihr euch mit den entsprechenden Geräten mit dem VPN Server verbindet. Wir sind hier erst einmal fertig 🙂

Habt ihr Fragen? Stellt sie gerne in die Kommentare!

The post Eigenen VPN Server mit Synology einrichten appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.