Proxmox interne Server ausschließlich via VPN nutzen

[Tim1]

Hallo Zusammen,

habe mich in den letzten Tagen etwas mit Netzwerken beschäftigt.
Allerdings scheine ich auf dem Schlauch zu stehen.

Folgendes habe ich vor und scheitere noch bei der Umsetzung.

Fritzbox (Wireguard eingerichtet)

Proxmox:

VMs wie z.b. Nextcloud usw. sollen ausschließlich via VPN erreichbar sein.

Jetzt wäre die Frage wie ich dies am elegantesten einstelle... aktuell sieht es so aus.



Vielen Dank für eure Hilfe im vorraus

 

[LnxBil]

Wie ist der Server denn jetzt angebunden? Steht der bei dir daheim oder im Internet (z.B. Hetzner)?

 

[Tim1]

Wie ist der Server denn jetzt angebunden? Steht der bei dir daheim oder im Internet (z.B. Hetzner)?

Hi, er steht bei mir zuhause. Basis ist ein Asrock Deskmini x300 (nur ein Lan Port)

 

[Dunuin]

Dann halt einfach kein Port-Forward in der Fritzbox erstellen. Oder soll der PVE und dessen Gäste etwa auch nicht vom LAN aus erreichabr sein?

 

[Tim1]

Vom Lan aus ist dies kein Problem.

Wenn z.b. Nextcloud über www.mynextcloud.bsp.de erreicht werden soll, geht dies auch nur intern oder dann nur über die IP? (dyndns ist eingerichtet) Aktuell erreich ich diesen auch aus extern.

 

[Dunuin]

Wenn du einen VPN Tunnel nutzt, dann ist das so, als würde sich das Gerät mit dem VPN-Client bei dir daheim im LAN befinden. Zugriff auf die Nextcloud geht dann nur über die lokale IP. Dein DynDNS zeigt ja auf deine öffentliche IP und wenn die Nextcloud dann über die DynDNS erreichabr sein sollte, dann würde es ja wieder öffentlich über das Internet gehen.

 

[Tim1]

Wenn du einen VPN Tunnel nutzt, dann ist das so, als würde sich das Gerät mit dem VPN-Client bei dir daheim im LAN befinden. Zugriff auf die Nextcloud geht dann nur über die lokale IP.

Ok danke, heißt dann IPs merken

 

[Dunuin]

Ok danke, heißt dann IPs merken

Ja, oder manuellen Hostname im lokalen DNS-Server eintragen, dass der lokale DNS Server dann z.b. nextcloud.local nach deiner privaten IP der Nextcloud VM/LXC auflöst.

 

[stefanux]

Ok danke, heißt dann IPs merken

Du kannst auch einfach die Einträge ins public DNS machen, z.B. eine Domain bei hetzner reservieren und dort eine DNS-Zone anlegen mit A-Records die auf deine privaten IPs zeigen.
In dem Fall musst du allerdings bei der Fritz.box beim DNS-Rebind-Schutz die List der FQDN eintragen (z.B. nextcloud.meineDomain.de ). Mit letsencrypt kannst du dir sogar kostenlos ein wildcard für diese Domain geben lassen und dieses intern benutzten. Falls du später das doch mal öffentlich machst, ändert sich wenigstens nicht mehr der FQDN.
Falls du den internen DNS-Server der Fritz.box nicht nutzt, entfällt dieser Schritt.

Hier noch ein paar Hintergründe:
https://www.stefanux.de/wiki/doku.php/netzwerke/dns#split-dns-und-private-ips-im-dns

 

[Tim1]

Du kannst auch einfach die Einträge ins public DNS machen, z.B. eine Domain bei hetzner reservieren und dort eine DNS-Zone anlegen mit A-Records die auf deine privaten IPs zeigen.
In dem Fall musst du allerdings bei der Fritz.box beim DNS-Rebind-Schutz die List der FQDN eintragen (z.B. nextcloud.meineDomain.de ). Mit letsencrypt kannst du dir sogar kostenlos ein wildcard für diese Domain geben lassen und dieses intern benutzten. Falls du später das doch mal öffentlich machst, ändert sich wenigstens nicht mehr der FQDN.
Falls du den internen DNS-Server der Fritz.box nicht nutzt, entfällt dieser Schritt.

Hier noch ein paar Hintergründe:
https://www.stefanux.de/wiki/doku.php/netzwerke/dns#split-dns-und-private-ips-im-dns

Danke dir, gleiches sollte auch mit NO-IP machbar sein oder?

 

[stefanux]

Danke dir, gleiches sollte auch mit NO-IP machbar sein oder?

no-ip brauchst du eigentlich nicht, die interne IP ist ja stabil und ich weiß nicht ob die dir eine ganze Zone geben wo du mehrere Einträge als Subdomain anlegen kannst. D.h. netxtcloud.deineDomain.de ist A-Record auf z.B. 192.178.20.1 .

Wenn du einen Eintrag für deine öffentliche IP brauchst, dann setzt du einfach vpn.deineDomain.de als CNAME auf hostname.no-ip.com (dein dyndns) und dann löst er auf deine aktuelle dyndns-IP auf.

Ich würd eine eigene Domain holen, eine .de kostet bei hetzner 12€, wenn du bei "inwx.de" holst, dann unter 5€.
Letzteres ist auch ne deutsche Firma und hat einen guten Support (bin Ex-Mitarbeiter), siehe https://www.inwx.de/de/de-domain .

 

[Tim1]

Ja, oder manuellen Hostname im lokalen DNS-Server eintragen, dass der lokale DNS Server dann z.b. nextcloud.local nach deiner privaten IP der Nextcloud VM/LXC auflöst.

Danke, klappt.

Ist es möglich einen bestehenden Ubuntu Server (VM) in ein LXC zu migrieren?

Und kann man ein Template wieder zu einer VM zurücksetzen? (hab dazu wenig gefunden)

 

[Dunuin]

Danke, klappt.

Ist es möglich einen bestehenden Ubuntu Server (VM) in ein LXC zu migrieren?

Und kann man ein Template wieder zu einer VM zurücksetzen? (hab dazu wenig gefunden)

Nicht ohne weiteres. Bei ZFS nutzen VMs z.B. Zvols (also Blockdevices) und LXCs nutzen Datasets (also Dateisysteme). Bei LVM/LVM-Thin erfordern LXCs eine virtuelle Disk ohne Partitionen die mit ext4 formatiert ist. Und dann teilen sich LXCs den Kernel mit dem PVE Host, VMs bringen ihren eigenen Kernel mit.
Also falls das irgendwie geht, dann wäre es wohl aufwändiger/anfälliger als da einfach einen Ubuntu LXC neu aufzusetzen.

 

[Tim1]

Nicht ohne weiteres. Bei ZFS nutzen VMs z.B. Zvols (also Blockdevices) und LXCs nutzen Datasets (also Dateisysteme). Bei LVM/LVM-Thin erfordern LXCs eine virtuelle Disk ohne Partitionen die mit ext4 formatiert ist. Und dann teilen sich LXCs den Kernel mit dem PVE Host, VMs bringen ihren eigenen Kernel mit.
Also falls das irgendwie geht, dann wäre es wohl aufwändiger/anfälliger als da einfach einen Ubuntu LXC neu aufzusetzen.

Ok und das Thema mit dem Template?

 

[LnxBil]

Ist es möglich einen bestehenden Ubuntu Server (VM) in ein LXC zu migrieren?

Alles was @Dunuin sagt passt, aber generell gilt für Linux, dass man dort (fast) ALLES machen kann und ja das Umwandeln ist kein Problem, wenn man weiß was man tut (das hat er auch garantiert so gemeint).

Sogar ist sogar sehr einfach ... das Template ist auch einfach, denn ein Template ist einfach ein tar-file des gesamten Systems. Das kann man auch so anlegen von Ubuntu aus, müsste es aber für jeden Mountpunkt manuell machen (mit --one-filesystem) und dann entsprechend alles mergen in eine neue Dateistruktur, dort mit chroot reingehen und unnötige Dinge wie Kernel, Bootloader etc. deinstallieren, alles wieder einpacken und dann hat man ein Template. Ich habe das schon mehrfach gemacht und klappt prima... aber man muss halt wissen was man tut.

Ohne es zu wissen tendiere ich zur Antwort von @Dunuin ... einfacher neuen Container aufbauen und die Änderungen nachfahren, die in der VM gemacht wurden (z.B. Abgleich dpkg -l, geänderte Dateien mit dpkg -S rausfinden, etc...