Proxmox vollständig via Wireguard

L

LaWLi

Member
Apr 26, 2024
31
1
13
Hallo zusammen
Ich habe ein Proxmox aufgesetzt, mein Ziel ist es, dass dieses gerät nur über Wireguard erreichbar ist. Das gerät wird bei einer Anderen Familie stehen und wird Backups von mir verwalten und Für die Familie, die bereis via Wireguard mit mir verbunden ist einen Lokalen Dienst anbieten.
Ich möchte daher nicht, dass proxmox und sein webserver im lokalen netz erreichbar ist sondern nur über seine Wireguard IP.

Ich habe bereits wie nach Anleitung Wireguard im LXC installiert und musste zum Betrieb dann noch Openresolv nachinstallieren.
 
Wie soll das funktionieren? Irgendwie muss wireguard ja ins Internet kommen, um sich darüber mit der Gegenstelle zu verbinden.
Man kann mit der eingebauten Firewall den Zugriff einschränken, aber gar kein Zugriff ist prinzipiell unmöglich.
 
Entweder Netzwerkverkehr segmentieren und mehrere Bridges auf dem PVE betreiben oder eine FW mit entsprechenden Regeln füttern.
Auf alle Fälle eine haarige Sache, was bei mir die Frage nach dem Zweck diese Übung aufwirft. Ist die Gegenseite, welche du per VPN ins Netz einbindest, nicht vertrauenswürdig?
 
Last edited:
  • Like
Reactions: Johannes S
Einfachere Lösung:
Dein PVE ---> eigener kleiner Router mit Wireguard Client ---> Router der Familie
Das Familien LAN ist dann das WAN von Deinem Router, d.h. ohne NAT/Portforwading wird da gar nichts durch gelassen.
Als Router könntest Du einen GL.inet OPAL nehmen, der hat alles an Board was Du brauchst: dyndns, Cloud Account, Wireguard.
 
  • Like
Reactions: Johannes S
Supaman said:
Einfachere Lösung:
Dein PVE ---> eigener kleiner Router mit Wireguard Client ---> Router der Familie
Das Familien LAN ist dann das WAN von Deinem Router, d.h. ohne NAT/Portforwading wird da gar nichts durch gelassen.
Als Router könntest Du einen GL.inet OPAL nehmen, der hat alles an Board was Du brauchst: dyndns, Cloud Account, Wireguard.
Click to expand...
Das möchte ich ganz stark bezweifeln. Ob eine Verbindung mit direkt gestecktem Patchkabel oder einer VPN-Verbindung erfolgt ist doch völlig egal.
Man betrachtet per VPN auf Endpunkten verbundene Netze alle als ein lokales Netz.
 
Ein VPN ist LAN. Mit einer FW geht so eine Deaktivierung prökelig. Mit Segmentierung also getrennten Netzen zwischen Nutzdaten und einer administrativen Ebene regelt man solch Ansinnen.
Ich glaube, du willst dir weder noch ans Bein binden. Wie wäre es denn mit ordentlichen Anmeldedaten auf einen PVE-Host? PVE kann inzwischen sogar TOTP.
 
  • Like
Reactions: Johannes S and JanWerner
LaWLi said:
Hallo zusammen
Ich habe ein Proxmox aufgesetzt, mein Ziel ist es, dass dieses gerät nur über Wireguard erreichbar ist. Das gerät wird bei einer Anderen Familie stehen und wird Backups von mir verwalten und Für die Familie, die bereis via Wireguard mit mir verbunden ist einen Lokalen Dienst anbieten.
Ich möchte daher nicht, dass proxmox und sein webserver im lokalen netz erreichbar ist sondern nur über seine Wireguard IP.

Ich habe bereits wie nach Anleitung Wireguard im LXC installiert und musste zum Betrieb dann noch Openresolv nachinstallieren.
Click to expand...
Mir fehlt jetzt dabei der SInn der Veranstaltung, das man nicht möchte, das das Webinterface im lokalen Netz nicht erreichbar ist.
Erstens, kann man wenn es via VPN nicht klappt, vor Ort gehen oder via Fernwartung sich mal im lokalen Netz einklinken und nachsehen was los ist.
Dann kann die Anmeldung am WebInterface mittel 2FA doch auch doppelt gesichert werden - was die nicht wissen, können die auch nicht öffnen.
An die PVE Maschine kann ich eine Tastatur und einen Monitor anschließen ....

Und zu Recht die Frage von mir und auch vom Kollegen @TErxleben , ob die andere Familie nicht vertrauenswürdig ist, dann wäre der Standort sowieso eine schlechte Wahl.
 
  • Like
Reactions: Johannes S
Es geht vielleicht weniger um die Vertrauenswürdigkeit des Gegenübers als dessen unbewusste Gefährungslage, etwa weil sämtliche IoT-Device, Smartphones und Waschmaschinen am selben LAN hängen. Grundsätzlich ist es natürlich richtig, dass physischer Zugriff praktisch immer auch "komprimittierbar" heißt.

Man kann das ja so machen, wie man auch einen Proxmox-Server beim Webhoster stehen lässt - indem man das Webinterface des Proxmox als rein virtuelle Bridge baut und die nur mittels einer OpnSense mit dem LAN koppelt. Die kann dann auch Wireguard aufbauen. Und im Notfall kann man einen Zugang erhalten, indem man die OpnSense-Firewall dann abschaltet (leicht zu machen, wenn man eine Backup-VM vorhält, die man dann statt der normalen startet).

Logisch ist das ein eigenes Subnetz "intern" im Proxmox - dazu braucht es keine Heckmeck-Infrastruktur beim Gegenüber - eine Fritzbox ist vollkommen hinreichend.

Ich habe eine Anleitung für OpnSense unter Proxmox geschrieben: https://forum.opnsense.org/index.php?msg=220167
 
  • Like
Reactions: Johannes S
meyergru said:
Es geht vielleicht weniger um die Vertrauenswürdigkeit des Gegenübers als dessen unbewusste Gefährungslage, etwa weil sämtliche IoT-Device, Smartphones und Waschmaschinen am selben LAN hängen. Grundsätzlich ist es natürlich richtig, dass physischer Zugriff praktisch immer auch "komprimittierbar" heißt.

Man kann das ja so machen, wie man auch einen Proxmox-Server beim Webhoster stehen lässt - indem man das Webinterface des Proxmox als rein virtuelle Bridge baut und die nur mittels einer OpnSense mit dem LAN koppelt. Die kann dann auch Wireguard aufbauen. Und im Notfall kann man einen Zugang erhalten, indem man die OpnSense-Firewall dann abschaltet (leicht zu machen, wenn man eine Backup-VM vorhält, die man dann statt der normalen startet).

Logisch ist das ein eigenes Subnetz "intern" im Proxmox - dazu braucht es keine Heckmeck-Infrastruktur beim Gegenüber - eine Fritzbox ist vollkommen hinreichend.

Ich habe eine Anleitung für OpnSense unter Proxmox geschrieben: https://forum.opnsense.org/index.php?msg=220167
Click to expand...
Das finde ich nun doch recht weit hergeholt.
  • Wenn ich IoT ausperren will, dann ist mein Netz bereits segmentiert.
  • Wenn jemand auf einen PVE-host per Konsole zugreifen kann, dann helfen nur starke Passwörter. Soll ja auch so sein!
  • "Subnetze" per VPN-Verbindung steuern ist einfach blöde. Sinn und Zweck eines VPNs ist eben die völlig transparente Verbindung.
  • Dein Vorschlag ist alles andere als ein Selbstgänger.
  • Begrenzter Zugang auf einen PVE-host durch gute Passwörter, die nicht am Kühlschrank hängen und im Zweifel TOtP drauf sollte reichen.
  • Alles ohne weitere Verrenkung, sondern einfach nur zu nutzen bzw. fehlende Features aktivieren.
 
Last edited:
  • Like
Reactions: Johannes S
Es stellt sich die Frage, warum man dem anderen Netz nicht vertraut, nicht, ob man den handelnden Personen nicht vertraut. Also kommt es eher darauf an, was auf der anderen Seite vorhanden ist oder gepflegt werden soll/kann.

Ich gebe Dir recht darin, dass der Schutz eines solchen Systems nicht ganz trivial ist. Genausowenig wie wenn das System bei einem Provider gehostet wird. Das war also nur eine Übertragung einer vorhandenen, erprobten Lösung.
 
  • Like
Reactions: Johannes S
meyergru said:
Es stellt sich die Frage, warum man dem anderen Netz nicht vertraut, nicht, ob man den handelnden Personen nicht vertraut. Also kommt es eher darauf an, was auf der anderen Seite vorhanden ist oder gepflegt werden soll/kann.
Click to expand...
Das mag sein. Trotzdem ist die Kontrolle des physischen Zugriffs erste Bürgerpflicht, sobald es irgendeinen Zweifel gibt.
Es gelten einfach die gleichen Regeln, wie im gestöpselten LAN.

meyergru said:
Ich gebe Dir recht darin, dass der Schutz eines solchen Systems nicht ganz trivial ist. Genausowenig wie wenn das System bei einem Provider gehostet wird. Das war also nur eine Übertragung einer vorhandenen, erprobten Lösung.
Click to expand...
Gerade bei einem verbundenen externen VPN-Netz, welches zwangsläufig einen eigenen IP-Bereich haben muss, gibt es eine natürliche Segmentierung. Welches IoT-Gerät kennst du, dass bei jeder Menge möglichen Gegenstellen anklopft?
 
  • Like
Reactions: Johannes S
meyergru said:
Und im Notfall kann man einen Zugang erhalten, indem man die OpnSense-Firewall dann abschaltet (leicht zu machen, wenn man eine Backup-VM vorhält, die man dann statt der normalen startet).
Click to expand...
Das setzt dann aber immer noch ssh-Zugriff o.ä. voraus oder? Wird schwierig, wenn man (wie der OP) den Zugang über das normale Netz ganz loswerden will. Was er aber machen könnte: tailscale, netbird o.ä. in einer schlanken vm als outofband zugang einrichten (ist ja im grunde auch nur wireguard), und darüber dann den Notfallzugang realisieren.
 
LaWLi said:
Könnte ich auch einfach den pve Webserver über lan deaktivieren?
Click to expand...
Was genau willst du damit erreichen und warum? Das ist immer noch nicht ganz klar, weder aus deinen Ausgangspost noch diesen hier. Bedenke: Alles Deaktivieren macht es im Ernstfall auch schwerer ein vermurkstes Setup auch wieder zum laufen zu kriegen. Vielleicht lässt sich das, was du damit erreichen willst, auch anders ermöglichen.

Außerdem zu bedenken: Wenn du die Festplatte nicht verschlüsselst (der ProxmoxVE Installer tut das standardmäßig nicht, dafür müsste man erst mit Debian installieren, dabei die Verschlüsselung einrichten und danach dann die Proxmox-Pakete nachinstallieren: https://pve.proxmox.com/wiki/Install_Proxmox_VE_on_Debian_13_Trixie ), kann jeder mit physikalischen Zugriff zum System eh die Festplatte auslesen, entweder indem er sie ausbaut oder bei einen Neustart im Bootmanager sich die Parameter passend setzt, dass er ohne Passworteingabe ins System kommt.
 
Last edited:
Johannes S said:
Das setzt dann aber immer noch ssh-Zugriff o.ä. voraus oder? Wird schwierig, wenn man (wie der OP) den Zugang über das normale Netz ganz loswerden will. Was er aber machen könnte: tailscale, netbird o.ä. in einer schlanken vm als outofband zugang einrichten (ist ja im grunde auch nur wireguard), und darüber dann den Notfallzugang realisieren.
Click to expand...
Oder per Konsole. Auf die hat die Familie ja Zugriff. Bei Hetzner mache ich das entweder über eine Lara (oder indem ich eine "versteckte" IPv6 für Proxmox auf vmbr0 nutze - die kann man ja per Portscan kaum finden).
 
meyergru said:
Oder per Konsole. Auf die hat die Familie ja Zugriff. Bei Hetzner mache ich das entweder über eine Lara (oder indem ich eine "versteckte" IPv6 für Proxmox auf vmbr0 nutze - die kann man ja per Portscan kaum finden).
Click to expand...
Um eine LARA anzustöpseln, muss ich als böser Bube nur einen MA bei Hetzner glaubhaft machen, dass der bin für den ich mich ausgebe. Das ist sicherheitstechnisch linke vs. rechte Tasche. Echt sicher, bedeutet einen administrativen Alptraum von A-Z. Wichtig ist die Abschätzung, welches Level ich passend einsetze.
 
TErxleben said:
Gerade bei einem verbundenen externen VPN-Netz, welches zwangsläufig einen eigenen IP-Bereich haben muss, gibt es eine natürliche Segmentierung. Welches IoT-Gerät kennst du, dass bei jeder Menge möglichen Gegenstellen anklopft?
Click to expand...
Oh, viele. Praktisch jedes cloudbasierte IoT-Endgerät kann potentiell als Einfallstor genutzt werden, da jede bestehende Verbindung in beiden Rcihtungen genutzt werden kann. Wird der Hersteller gehackt (oder hatte er sowieso böse Absichten), können seine Geräte in meinem Netzwerk alles mögliche anrichten.

Dabei würde ich gegenüber einem mir unbekannten Hersteller gegenüber weniger Vertrauen haben als einer befreundeten Familie, sich nicht an meinem System zu vergreifen.

Das meinte ich doch gerade: ICH mache deshalb eine solche Netzwerk-Segmentierung, weil ich kein Vertrauen in diverse IoT-Geräte habe - ich kann/will diesen Aufwand aber nicht der Gegenseite aufoktroieren, weil die Familie eventuell nicht mal technisch in der Lage dazu sind.

Also kapsele ich innerhalb von Proxmox selbst mein "vertrauenswürdiges Netzwerk" weg und mache es nur per Wireguard erreichbar.

Das Lara-Argument ist zwar formal richtig, aber dann dürfte ich überhaupt keine Hardware fremdhosten lassen und die ganze Diskussion wäre müßig.
 
Last edited:
Potentiell hast du mit jedem IoT-Gerät einen Fuchs im Stall. Ich konnte aber noch nie eine dieser Kisten mit den Pfoten im Honigtopf erwischen. Trotz diverser unterschiedlich IDS-Systemen. Ob womöglich nur super getarnt, kann ich nicht endgültig beurteilen. Das grenzt aber an ungesunder Paranoia. Darum ja VLANs oder gar physisch getrennt Zugänge. Oder gar Offlinebetrieb.
Wie weit will man das treiben, ohne sich selbst ins Off zu katapultieren?
 
You must log in or register to reply here.
Top Bottom
Back