Proxmox VMs und Container in VPN-Netzwerk (wireguard) von entfernter Fritz!Box

[azubi96]

Hallo zusammen,

ich möchte ein etwas ungewöhnliches Netzwerk-Setup für meinen Server einrichten.
Mein Server soll dezentral an unterschiedlichen Orten stehen können und per DHCP eine IP-Adresse aus dem lokalen oder öffentlichen Netzwerk seines Standorts bekommen. Sobald der Server angeschaltet ist, soll eine VPN-Verbindung mit WireGuard zu einer Fritz!Box 7590 aufgebaut werden.
Auf der Fritz!Box ist DynDNS mit einer bei Strato gehosteten Domain eingerichtet.
Proxmox als auch die Container und VMs sollen lediglich über die WireGuard-Verbindung ins Internet gehen.
Einige VMs und Container sollen über einen FQDN aus dem Internet, über die DynDNS-Adresse erreichbar sein. Hauptsächlich wird es sich um HTTP(s)-Portfreigaben handeln, die mit einem nginx-Reverse-Proxy auf die cname-Subdomain wie z.B. cloud.domain.tld oder bitwarden.domain.tld geroutet werden sollen. Andere Portfreigaben will ich aber nicht ausschließen.

Bzgl. der Umsetzung hapert es aber doch ziemlich doll. Ich hatte versucht auf dem Proxmox-Host die wireguard-Verbindung einzurichten, bin dabei aber leider gescheitert.
Ich konnte meinen Proxmox-Host nach Aufbau der Verbindung weder aus dem VPN-Netz, noch aus dem Netzwerk, aus dem er sich verbunden hat, erreichen, obwohl er lt. ip a, ordentliche IP-Adressen aus beiden Netzwerkbereichen bekommen hat.

Ein "Bonus" wäre noch, dass die Geräte im Heimnetzwerk der Fritz!Box nicht auf die im VPN-befindlichen VMs, Container & Proxmox zugreifen könmnen soll, sondern, dass im besten Fall diese in einer DMZ stehen, aber dennoch die Portfreigaben ordentlich über die Fritz!Box abwickeln können.

Vielleicht macht es auch Sinn hierfür eine dedizierte OPNsense-VM aufzusetzen?

So soll im Endeffekt, in egal welchem Netzwerk der Server sich befindet, jeglicher Traffic über die entfernte Fritz!Box geroutet werden, sodass im jeweiligen Netzwerk, in dem sich der Server befindet, immer nur ersichtlich ist, dass eine VPN-Verbindung zur Fritz!Box besteht.

Vielleicht hat jemand mit so einem oder einem ähnlichen Setup Erfahrung oder kennt sich allgemein sehr gut im Netzwerkbereich aus.

Ich freue mich sehr auf eure Antworten!

Ganz lieben Dank
Azubi96

 

[Falk R.]

Theoretisch geht das alles auch. Da sind aber ganz viele Details, die getestet werden möchten. Ich würde eine OPNsense aufsetzen und die den Site2Site Tunnel aufbauen lassen. Das sollte deutlich geschmeidiger laufen.

 

[kToffel]

Vllt. Tailscale, ZeroTier, Hamachi oder Netbird in betracht ziehen?!

 

[azubi96]

Theoretisch geht das alles auch. Da sind aber ganz viele Details, die getestet werden möchten. Ich würde eine OPNsense aufsetzen und die den Site2Site Tunnel aufbauen lassen. Das sollte deutlich geschmeidiger laufen.

Ja das war auch mein Gedanke. Ich habe gestern eine OPNsense-VM eingerichtet und der Site2Site-Tunnel konnte aufgebaut werden. Bei der weiteren Konfiguration bin ich bisher noch nicht weitergekommen. Ich bleibe aber dran und berichte hier, wenn ich das Gesamtsetup erfolgreich zum Laufen kriegen sollte.

Vllt. Tailscale, ZeroTier, Hamachi oder Netbird in betracht ziehen?!

Ich hatte mir Tailscale angeschaut, war mir aber nicht sicher, ob das für den Anwendungsbereich passend ist. Kannst du mir vielleicht erklären, wie du dir das Setup hier vorstellst? Hamachi dürfte ungeeignet sein, zumindest, so wie ich es kenne, da die zugreifenden Geräte hier über einen Client ins Netzwerk eingewählt sein müssen oder? ZeroTier und Netbird kenne ich nicht, schaue ich mir aber Mal an, vielen Dank.

 

[kToffel]

Bei Tailscale anmelden -> auf Proxmox in SSH tailscale installieren
Auf den jeweiligen Geräten Tailscale installieren -> Spaß haben ^^
In der Admin Oberfläche von Tailscale kannst du dementsprechen Routen bzw. VLans anlegen (welches Gerät soll wohin kommunizieren dürfen, welches Gerät soll als Exit Node dienen etc)
Einfach installieren der Rest erklärt sich meiner Meinung nach von selbst.

Netbird ist eigentlich das gleiche wie Tailscale .. etwasa moderner und übersichtlicher außerdem übersetzt in Deutsch.


Bevor du mit Portfreigaben etc rumspielst schau dir lieber mal "Cloudflare Zero Trust" an wesentlich besser und auch sicherer.
Der Cloudflare Tunnel bohrt sich durch ins Netz ohne Setup jeglicher Firewall regeln oder sonstigen Einstellungen
Dazu kann ich dir diese Video empfehlenRemote Zugriff auf das Heimnetzwerk mit Cloudflare Tunnel