Problem mit VPN Container als Gateway für einen anderen Container

[mellon-collie]

Hallo zusammen
Ich bin relativ neu im Proxmox Thema und kenne mich leider (noch) nicht so gut mit Linux aus.
Mein Ziel ist einen LXC Container (Nodecast TV) über ein permanentes VPN (Nordvpn) mit dem Netzwerk zu verbinden.
Mein Nodecast TV Container funktioniert und ist im Normalfall auch durch die Eingabe der IP mit Port 3000 erreichbar.
Ich habe einen LXC Container (priviligiert) erstellt auf dem NordVPN läuft. NordVPN Login, und Verbindung mit einem Server von NordVPN funktioniert laut Anzeige in der Console des VPN Containers. Wenn ich einen Pin sende an ping -c 4 8.8.8.8 bekomme ich Antwort.
Wenn ich den Container von Nodecast TV in den Gateway Einstellungen im Netzwerk umleite auf die IP des VPN Containers dann lässt sich aus meinem Heimnetzwerk der Nodecast Container nicht mehr aufrufen (über IP des Gateway Containers und :3000)
Ich muss wohl wenn ich das richtig verstehe noch mit IPtables eine (DNAT?) Weiterleitung aufbauen. Sehe ich das richtig das es daran scheitert? Ich habe leider keine Ahnung wie ich das aufbauen soll. Sämtliche Versuche sind bisher gescheitert.
Vielen Dank für jede Hilfe

 

[news]

Generell würde ich, und mache es auch so, VPN und andere routen veränderte Dienste, immer in einer VM laufen lassen.

Darüber hinaus sind keine deiner realen Configs hier ersichtlich.
Und man benötigt Alles...

 

[news]

Achja, für was braucht man so ein "nodecast-tv"?
Handelt es sich um dieses Projekt?
# https://github.com/technomancer702/nodecast-tv
# https://sourceforge.net/projects/nodecast-tv.mirror/

Und wichtig, Docker ist "immer" in einer VM zu betreiben, da es massiv die Netzwerkkonfiguration umschreiben wird.

 

[mellon-collie]

Vielen Dank
Ja, es handelt sich um das Projekt im Link
Ich verstehe nicht was du mit dem Satz meinst:
Generell würde ich, und mache es auch so, VPN und andere routen veränderte Dienste, immer in einer VPN laufen lassen.

Ich gehe mal davon aus das mein Wissensstand einfach (noch) nicht ausreichend ist um das hier ans laufen zu bringen. Ich dachte es wäre vielleicht mit einem kleinen Hinweis zu fixen. Leider reicht es bei mir wohl noch nicht einmal um hier ordentlich mitzureden.
Werde mich noch ein wenig mehr einarbeiten müssen :-(

 

[ThoSo]

Generell würde ich, und mache es auch so, VPN und andere routen veränderte Dienste, immer in einer VPN laufen lassen.

Das dürfte ein Vertipper der Autokorrektur sein - er meint sicherlich eine "VM" - also einen Virtuellen PC mit einem Linux (Debian, RedHat) oder einer Firewalllösung wie OPNsence, oder IP-Fire zu diesem Zweck.

 

[news]

Das dürfte ein Vertipper der Autokorrektur sein - er meint sicherlich eine "VM" - also einen Virtuellen PC mit einem Linux (Debian, RedHat) oder einer Firewalllösung wie OPNsence, oder IP-Fire zu diesem Zweck.

"Oh" man! das war ein Freudscher Brain Dump. Und mein Gehirn hat meine Finger falsch gesteuert.
Sorry.

 

[Supaman]

Mein Ziel ist einen LXC Container (Nodecast TV) über ein permanentes VPN (Nordvpn) mit dem Netzwerk zu verbinden.
Mein Nodecast TV Container funktioniert und ist im Normalfall auch durch die Eingabe der IP mit Port 3000 erreichbar.

Wenn ich den Container von Nodecast TV in den Gateway Einstellungen im Netzwerk umleite auf die IP des VPN Containers dann lässt sich aus meinem Heimnetzwerk der Nodecast Container nicht mehr aufrufen.

Das würde ich grundsätzlich anders aufziehen:

#1 VM mit OpenWRT und dann Wireguard Client als Paket nachinstallieren
Dann hast Du einen kompletten Software Router und kannst nach belieben den Traffic routen. NAT für management dazu etc.
Nachteil: erfordert einiges an Einarbeitung

#2 Hardware Lösung: Unifi Router
Im Unifi Router vLAN anlegen z.B. "vlan 99", VMs zu weisen, Wireguard Client Config eintragen, Routing policy "vLAN 99 -> WG Client_VPN".
Ist in 2 min zusammengeklickt.

Mögliches Problem - war früher jedenfalls so:
NordVPN ist dafür ungeeignet, weil die um das Wireguard Protokoll einen propritären Installer drum gebastelt haben, d.h. da gibt es keine VPN Konfig die man einfach so in den Standard WG Client reinladen kann. Andere VPN Anbieter wie z.B. AzireVPN sind da kompatibler, weil Standard WG config.

 

[leomax1]

Hallo zusammen
Ich bin relativ neu im Proxmox Thema und kenne mich leider (noch) nicht so gut mit Linux aus.
Mein Ziel ist einen LXC Container (Nodecast TV) über ein permanentes VPN (Nordvpn) mit dem Netzwerk zu verbinden.
Mein Nodecast TV Container funktioniert und ist im Normalfall auch durch die Eingabe der IP mit Port 3000 erreichbar.
Ich habe einen LXC Container (priviligiert) erstellt auf dem NordVPN läuft. NordVPN Login, und Verbindung mit einem Server von NordVPN funktioniert laut Anzeige in der Console des VPN Containers. Wenn ich einen Pin sende an ping -c 4 8.8.8.8 bekomme ich Antwort.
Wenn ich den Container von Nodecast TV in den Gateway Einstellungen im Netzwerk umleite auf die IP des VPN Containers dann lässt sich aus meinem Heimnetzwerk der Nodecast Container nicht mehr aufrufen (über IP des Gateway Containers und :3000)
Ich muss wohl wenn ich das richtig verstehe noch mit IPtables eine (DNAT?) Weiterleitung aufbauen. Sehe ich das richtig das es daran scheitert? Ich habe leider keine Ahnung wie ich das aufbauen soll. Sämtliche Versuche sind bisher gescheitert.
Vielen Dank für jede Hilfe

Hallo,

ich denke, das Problem liegt wahrscheinlich nicht nur am Gateway-Eintrag. Wenn der Nodecast-Container den VPN-Container als Standard-Gateway verwendet, muss der VPN-Container den Verkehr auch korrekt weiterleiten.

Ein paar Dinge würde ich überprüfen:

• Ist IP-Forwarding im VPN-Container aktiviert (net.ipv4.ip_forward=1)?
• Führt NordVPN eigene Firewall- oder iptables-Regeln ein, die den Datenverkehr blockieren?
• Ist MASQUERADE/SNAT für den ausgehenden Traffic eingerichtet?
• Kann der Nodecast-Container den VPN-Container überhaupt anpingen, nachdem du das Gateway geändert hast?
• Kann der Nodecast-Container über das VPN noch das Internet erreichen (z. B. ping 8.8.8.8 oder curl ifconfig.me)?

Wenn der Internetzugang aus dem Nodecast-Container funktioniert, der Webdienst aber aus deinem Heimnetz nicht mehr erreichbar ist, dann könnte tatsächlich eine zusätzliche Weiterleitung (DNAT bzw. Port-Forwarding) erforderlich sein. Falls der Verkehr aber den VPN-Container gar nicht verlässt, würde ich zuerst Routing, IP-Forwarding und die NAT-Regeln prüfen, bevor ich mich mit DNAT beschäftige.

Kannst du außerdem die Netzwerkkonfiguration beider LXC-Container sowie die aktuellen iptables- oder nftables-Regeln des VPN-Containers posten? Damit lässt sich meist schnell erkennen, an welcher Stelle der Datenverkehr hängen bleibt.

 

[Bu66as]

Bevor du dich mit DNAT rumschlägst: aus welchem Netz greifst du denn zu? Wenn dein PC im selben Subnetz hängt wie der Nodecast-Container, ist das Gateway für diesen Zugriff völlig egal, die beiden reden direkt über die Bridge miteinander. Dass es trotzdem abreißt, deutet dann eher auf den Killswitch bzw. die iptables-Regeln vom NordVPN-Client hin als auf fehlendes Port-Forwarding.

Kommst du dagegen aus einem anderen Subnetz (anderes VLAN, WLAN-Netz), ist es der Klassiker mit asymmetrischem Routing: die Anfrage kommt über die Bridge rein, die Antwort geht laut Default-Route in den Tunnel und ist weg. Dafür brauchst du statt DNAT auf dem VPN-Container eine statische Route im Nodecast-Container zurück über deinen echten Router, also grob ip route add 192.168.1.0/24 via 192.168.1.1. Dann geht nur der Internet-Traffic durch den Tunnel, LAN-Zugriff läuft dran vorbei. Zum Testen erst mal von Hand setzen, ins Netz-Setup vom Container übernehmen kannst dus danach immer noch.

Poste am besten mal die .conf von beiden Containern aus /etc/pve/lxc/ und ip a + ip r aus beiden, dann sieht man wo es hakt. Und btw, der NordVPN-Client im LXC ist erfahrungsgemäß zäh, weil er ungefragt eigene Firewall-Regeln setzt. Wenn wirklich nur der eine Dienst durchs VPN soll, wär ein WG-Client direkt im Nodecast-Container die deutlich kleinere Baustelle als das Gateway-Konstrukt.