Feste IP durch VPS und WireGuard-Schnittstelle

[GiGi]

Hi zusammen,

 

bin neu hier und hoffe, ich bin nun im richtigen Channel gelandet. Es geht darum, dass ich meinen kleinen Intel Nuc nun als Homelab nutzen möchte und dazu auch eine feste IP nutzen möchte, damit ich dann auch so Sachen wie Mailserver und Co. mal selbst einrichten kann und vielleicht mal mit Homepages basteln kann und das alles dann im Homelab verwalte. 

 

Was habe ich bisher gemacht? Ich habe mir einen VPS bei Netcup gemietet und dort Debian 11 mit WireGuard installiert. Dann habe ich mir das WireGuard Plugin installiert und beide Server connected. Das geht auch nun soweit und mein Server zeigt die IP des VPS, jedoch kann ich vom VPS keine internen Geräte anpingen. Das Problem besteht vermutlich, weil ich die ip route noch anpassen muss oder?

 

Vielleicht als Info damit ihr versteht, was ich da genau vor habe ... Ich möchte auch von außerhalb mit meinen Geräten auf Wireguard connecten und meine internen Geräte per RDP erreichen und zeitgleich soll die feste IP halt für Mailserver & Homepage usw. erhalten bleiben.

 

Hat jemand sowas von euch eingerichtet? Geht das einfacher als mit WireGuard? Bedarf es nur einem Addon oder sowas?

 

Vielleicht habt ihr ja Tipps für mein Problem.

 

LG,

Daniel

[Ford Prefect]

Ja, ich denke es ist ein Routing-Problem, am Ende des Tages.

 

Wie hast Du Wireguard auf dem VPS eingerichtet und wie auf unraid? Welche Seite ist Wireguard-Client und welche -Server?

 

das Standard unraid Setup ist wohl, das der Server auf unraid-Seite liegt....in Deinem Szenario müsste es aber andersrum sein.

 

VPS = Server (für Zugang externer Clients) und unraid ist Client.

Der Server muss alle IP-Routen kennen und die Route in Dein Heimnetz muss auf das Wireguard Interface des unarid-Clients als Gateway zeigen.

Weiters muss jeder Client im Heimnetz die Route zurück, zum Wireguard-VPS kennen/finden können....also für die IP-Pakete die von weiteren, externen Wireguard-Clients (die am VPS connecten)  kommen.

Hierfür sollte das Gateway das unraid-Interface des Wireguard-Clients auf unraid sein.

 

Am besten machst Du Dir mal einen Plan, mit IP-Netzen, -Routen und -Gateways.

 

Hast Du die Firewall des VPS im Griff? Das ist Deine Verantwortung, nicht die von Netcup.

Da geht es nicht nur um das Einfallstor in Dein Netz.

 

Edit: Alternative: zerotier

Edited July 13, 2021 by Ford Prefect

[GiGi]

Hi,

 

und danke für die rasche Reaktion.

 

5 hours ago, Ford Prefect said:

Wie hast Du Wireguard auf dem VPS eingerichtet und wie auf unraid? Welche Seite ist Wireguard-Client und welche -Server?

das Standard unraid Setup ist wohl, das der Server auf unraid-Seite liegt....in Deinem Szenario müsste es aber andersrum sein.

 

Bei Wireguard gibt es in dem Sinne ja keine Server- Clientconfig, aber ja ich habe Unraid als Peer auf den VPS geschickt.

5 hours ago, Ford Prefect said:

Hast Du die Firewall des VPS im Griff? Das ist Deine Verantwortung, nicht die von Netcup.

Da geht es nicht nur um das Einfallstor in Dein Netz.

Mein Plan ist mit ufw erstmal alles stumpf zu blocken und dann bei Bedarf mit Tests auch benötigte Ports zu öffnen.

Eine andere Idee war auch Opnsense auf dem VPS zu installieren, jedoch weiß ich nicht ob das was sinniges ist oder eher nicht.

 

Tatsächlich weiß ich gerade echt nicht mehr ob meine Idee diesbezüglich so toll ist oder ob das mit meinem Homelab auch anders zu realisieren ist mit Mailserver und Co.

Hatte jetzt zwischenzeitlich auch mal den Gedanken, dass ich einfach meine Dyndns auf meine Domain leite.

 

Gibt es denn niemanden der sowas schon gebaut hat?  Google zeigt diesen Beitrag schon an zweiter stelle

 

Lg,

Daniel

[Ford Prefect]

1 hour ago, GiGi said:

Bei Wireguard gibt es in dem Sinne ja keine Server- Clientconfig, aber ja ich habe Unraid als Peer auf den VPS geschickt.

OK, ich habe wireguard nicht im Einsatz...das ist aber nur der Nebenkriegsschauplatz....für weitere Clients am VPS.

 

Du hast ja im wesentlichen drei Netze.

1. das I-Net mit Deiner öffentlichen IP am VPS (das I-Net zuhause lassen wir erstmal im unraid kontext mal weg...spielt aber auch ne Rolle für Deine Default-Route im Heimnetz).
2. das Transfer-Netz im wireguard "peer"-raum
3. Dein Heimnetz  (evtl. hast Du ja auch VLANs usw...könnten also mehrere sein).

 

das Grundprinzip ist eigentlich einfach.

Du musst vom Konzept her den VPS wie ein zweites WAN betrachten. Die Wireguard Verbindung ist transparent.

Der Wireguard Client in unraid (dessen Heimnetz-IP) ist das Gateway zum VPS und ins dortige I-Net

 

das ist eigentlich schon alles

Du musst nur auch das Routing im Heimnetz hinbekommen.

Hilfsweise könntest Du, wenn der Tunnel steht, in unraid den VPS (also die Wireguard gegenseite) als Default-Gateway, statt deines Routers einsetzen.

 

 

1 hour ago, GiGi said:

Mein Plan ist mit ufw erstmal alles stumpf zu blocken und dann bei Bedarf mit Tests auch benötigte Ports zu öffnen.

Eine andere Idee war auch Opnsense auf dem VPS zu installieren, jedoch weiß ich nicht ob das was sinniges ist oder eher nicht.

Keine Schlechte Idee, nur ist opnsense recht "hungrig"....ist Dein VPS "stark" genug?

Evtl. brauchst Du dann aber kein Wireguard mehr (ist eh transparent, siehe mein Statement oben).

Wenn Du eine opnsense zu Hause hast (zB opensense VM), kannst Du die auch miitels EOIP/GRE koppeln oder auf unraid und opnsense zerotier installieren und einfach lustig Routen definieren.

 

1 hour ago, GiGi said:

Tatsächlich weiß ich gerade echt nicht mehr ob meine Idee diesbezüglich so toll ist oder ob das mit meinem Homelab auch anders zu realisieren ist mit Mailserver und Co.

Hatte jetzt zwischenzeitlich auch mal den Gedanken, dass ich einfach meine Dyndns auf meine Domain leite.

...wenn Du eine echte IPv4 und kein Dualstack-Lite hast geht das schon, mit dyndns-IP und Deinem MX-record in Deiner Domain.

 

1 hour ago, GiGi said:

Gibt es denn niemanden der sowas schon gebaut hat?  Google zeigt diesen Beitrag schon an zweiter stelle

Ich habe sowas Jahrelang genutzt um 2 WANs zu bonden...allerdings mit einem Mikrotik CHR auf nem VPS...der braucht nur 1/10tel der Ressourcen einer opnsense.

Mailserver und Co. zu hosten habe ich mir aber gespart....war mir zu fummelig.

[GiGi]

@Ford Prefect Danke danke. Du scheinst echt Plan zu haben, jedoch bekommt man das wahrscheinlich auch mit dem Thread hier nicht geregelt

 

 

4 hours ago, Ford Prefect said:

Keine Schlechte Idee, nur ist opnsense recht "hungrig"....ist Dein VPS "stark" genug?

Evtl. brauchst Du dann aber kein Wireguard mehr (ist eh transparent, siehe mein Statement oben).

Wenn Du eine opnsense zu Hause hast (zB opensense VM), kannst Du die auch miitels EOIP/GRE koppeln oder auf unraid und opnsense zerotier installieren und einfach lustig Routen definieren.

Habe vorhin zwei bis drei mal Opnsense installiert, aber ich muss sagen das ist mir too much, weil man da quasi alles machen kann. Ein Klick ohne Plan und du kommst nicht mehr auf den VPS, deshalb auch die zwei bis drei mal Neuinstallation.

 

Möchte mich ja langsam in das Thema einarbeiten, daher ist das jetzt generell erstmal eine Informationsflut.

 

4 hours ago, Ford Prefect said:

..wenn Du eine echte IPv4 und kein Dualstack-Lite hast geht das schon, mit dyndns-IP und Deinem MX-record in Deiner Domain

 

Ein VPS ist da aber der "sauberere" weg oder?

 

Eine Frage hat sich aber noch ergeben. Wenn ich nun zwei Geräte mit einer IP betreibe, dann kann ich auch von beiden dann Tools hosten und an meine Domain leiten oder geht das garnicht?

 

Wenn ich dir mal eine PN senden dürfte, wäre das echt gut. Kannst ja mal sagen, ob ich darf

 

LG,

Daniel

[Ford Prefect]

16 minutes ago, GiGi said:

@Ford Prefect Danke danke. Du scheinst echt Plan zu haben, jedoch bekommt man das wahrscheinlich auch mit dem Thread hier nicht geregelt

...bei Netzwerk-Dingen kenne ich mich gut aus. Allerdings Mailserver, DNS-recotds usw. ist nicht so meines.

16 minutes ago, GiGi said:

Möchte mich ja langsam in das Thema einarbeiten, daher ist das jetzt generell erstmal eine Informationsflut.

Du musst Dir mal überlegen, was Du erreichen willst.

Dann am besten ein Bild dazu malen, mit den wichtigsten Parametern...gibt schöne Tools, wie draw.io.

 

16 minutes ago, GiGi said:

Ein VPS ist da aber der "sauberere" weg oder?

Der Vorteil des VPS ist ganz klar die Verfügbarkeit.

Ein Mailserver muss grundsätzlich, einfach immer erreichbar sein....wenn, trotz MX-Record der Server nicht antwortet könnte das jemand auch übel nehmen.

 

Wie gesagt, überlege was Du willst.

Originär hiess es ja "feste IP durch VPS und Wireguard"...das ist ein "Problem" des Netzwerk-Aufbaus. Der VPS wird zum Brückenkopf/WAN-Port...da müsste dann am besten ein Router drauf.

Aber eigentlich willst Du ja vielleicht Services hosten, zB Mailserver....dann kannst Du diese auch auf dem VPS selbst hosten, statt auf Deinem unRaid.

Auch auf einem VPS kann man Docker installieren. Aber denke an die Härtung des Systems/Firewall...in der Regel kommens schon die Einlog-Versuche aus einschlägigen Richtungen, bevor Du Zeit hattest das Admin Passwort Deines neuen Systems weg vom Default zu ändern 

 

16 minutes ago, GiGi said:

 

Eine Frage hat sich aber noch ergeben. Wenn ich nun zwei Geräte mit einer IP betreibe, dann kann ich auch von beiden dann Tools hosten und an meine Domain leiten oder geht das garnicht?

Du kannst nicht zwei Geräte mit einer IP betreiben...nicht in einem Netz.

Ein Gerät/Host, (mindestens) eine IP...was genau meinst Du mit "zwei"...Hosts, Dienste/Apps, ...?

 

16 minutes ago, GiGi said:

Wenn ich dir mal eine PN senden dürfte, wäre das echt gut. Kannst ja mal sagen, ob ich darf

...kannst Du gerne machen...ich sag Dir dann schon, wann Schluss ist