Welches System zum Schutz vor Angreifern

[Dunuin]

Musst du dem Telefonsupport so viele denen unbekannte Fachbegriffe an den Kopf werfen, dass die garnicht mehr Wissen was sie antworten sollen, ohne zu doof zu klingen. Vielleicht leiten sie dich dann ja an wen aus der Technik weiter, der auch wirklich versteht, wovon du da redest.
Geht das vielleicht auch per eMail bei dir? Die könnten die sich dann intern herumschicken, bis die wem erreicht, der versteht, was du willst.

 

[Seiteballon74]

Ja, das stimmt. Ich hoffe das Ich noch jemanden erreiche. Email muss ich Mal schauen wohin genau.
Aber was ist besser? Ipv4 freischalten lassen oder auf den normalen Dual Stack zu bestehen? Was kann ich denen sagen welche Probleme ich habe oder so um den Umstieg zu rechtfertigen..?
Die gemietete Fritzbox kann ich ja dann trotzdem noch Normal nutzen oder?

 

[Dunuin]

Ja, das stimmt. Ich hoffe das Ich noch jemanden erreiche. Email muss ich Mal schauen wohin genau.
Aber was ist besser? Ipv4 freischalten lassen oder auf den normalen Dual Stack zu bestehen? Was kann ich denen sagen welche Probleme ich habe oder so um den Umstieg zu rechtfertigen..?
Die gemietete Fritzbox kann ich ja dann trotzdem noch Normal nutzen oder?

Also ich habe extra nach einem vollen Dual Stack gefragt damit ich IPv4 + IPv6 benutzen kann. Im Endeffekt habe ich dann aber IPv6 eigentlich nie benutzt und IPv6 komplett im LAN deaktiviert. Weil IPv4 und IPv6 parallel zu betreiben macht alles massiv komplizierter und du hast mindestens auch die doppelte Arbeit, weil du alles wie Firewallregeln, Routingtabellen, DHCP-server und Co doppelt einrichten und verwalten musst.
Und bevor man anfängt IPv4 oder IPv6 zu benutzen sollte man sich eigentlich auch erst entsprechende Netzwerk-Grundlagen-Fachbücher kaufen und durcharbeiten, damit man die Grundladen wie IPv4/IPv6/Iptables/NAT/Routing/Subnetze/Schichtmodell/Protokolle/... versteht, um überhaupt ein halbwegs sicheres Heimnetz/DMZ aufbauen zu können.

 

[Seiteballon74]

So der letzte Anruf hat nun tatsächlich nen fähigen sau netten Mitarbeiter hervorgebracht und der stellt mir den Vertrag kostenlos auf ipv4 um. Super Sache. Dann kann's weiter gehen

 

[Seiteballon74]

Also nun zur Installation.

Ich installiere mir OpenVpn in nem Container und nehme dafür meine neue öffentliche IP Adresse her dann füge ich einen Benutzer hinzu den ich auch in der Fritzbox hinzufüge und dann sollte die Verbindung über den OpenVpn zur Fritzbox klappen?

Wie aber schon geschrieben wurde, ist es nicht zielführend alle Geräte über mein VPN laufen zu lassen sondern die Geräte fürs Internet zu sperren und über den vpn zu leiten oder wie meintest du das?

 

[Dunuin]

Also nun zur Installation.

Ich installiere mir OpenVpn in nem Container und nehme dafür meine neue öffentliche IP Adresse her dann füge ich einen Benutzer hinzu den ich auch in der Fritzbox hinzufüge und dann sollte die Verbindung über den OpenVpn zur Fritzbox klappen?

Nein, da kann deine Fritzbox dann als OpenVPN Server laufen, da brauchst du dann keinen LXC. Nicht vergessen das sich deine IPv4 IP wohl ständig ändern wird (spätestens alle 24 Stunden). Da müsstest du dann schon DynDNS einrichten und diese DynDNS-Adresse statt deiner IPv4 IP-Adresse für OpenVPN benutzen.

Wie aber schon geschrieben wurde, ist es nicht zielführend alle Geräte über mein VPN laufen zu lassen sondern die Geräte fürs Internet zu sperren und über den vpn zu leiten oder wie meintest du das?

VPN ist nur damit du vom unterwegs (Laptop im Hotel, Smartphone&Tablet über mobiles Internet, öffentliches WLAN und Co) eine sichere Verbindung nachhause in dein LAN aufbauen kannst. Nicht um von zuhause irgendwas im Internet zu machen.

 

[Deleted member 116138]

da kann deine Fritzbox dann als OpenVPN Server laufen, da brauchst du dann keinen LXC.

Das ist leider nicht ganz korrekt - die Fritten können kein OpenVPN im Server-Mode. Dazu benötigt man einen dahinterliegenden Server/Dienst.

Ich installiere mir OpenVpn in nem Container und nehme dafür meine neue öffentliche IP Adresse her dann füge ich einen Benutzer hinzu den ich auch in der Fritzbox hinzufüge und dann sollte die Verbindung über den OpenVpn zur Fritzbox klappen?

Es gibt grundsätzlich 2 Arten von VPN:

1) von innen nach außen
2) rekursiv: von außen nach innen

Szenario 1

Hier wird der Traffic von Geräten im LAN seitens eines Servers/Firewall über eine nach außen aufgebaute VPN-Verbindung geroutet. Das können dann bspw. diese ganzen kommerziellen Anbieter wie NordVPN & Co. sein, für die man Geld auf den Tisch legen muss. Dazu muss aber einiges an Konfiguration erfolgen, wie schon diverse Vorredner schrieben. Bedeutet: der Traffic muss in einer Firewall, die hinter der FritzBox liegt, per Regel durch diesen Tunnel "gezwängt" oder umgeleitet werden. Diese Regeln können dann noch diversifiziert werden. Also grundsätzlich soll alles an Traffic von innen nach außen durch den Tunnel oder nur bestimmte Endgeräte, welche sich im LAN befinden. Meist lässt man dann die Firewall selbst die Verbindung zum VPN-Anbieter aufbauen. Die Gegenstellen im Internet (Web- oder Mailserver, FTP, etc.) "sehen" dann immer nur die IP des VPN-Anbieters, wenn Deine Endgeräte mit ihnen kommunizieren, jedoch nicht die IP Deines Internetanschlusses. Das würde dann in gewisser Form zur Anonymisierung beitragen. Im jetzigen Zustand sehen alle Gegenstellen die IP-Adresse Deines Internetanschlusses, wenn Endgeräte aus dem Netzwerk Verbindungen nach außen aufbauen.

Szenario 2

Ist für den Zugriff von außen in das eigene LAN gedacht. Betreibst Du diverse Server/Dienste im Netz (NAS, Medienserver, whatever) und möchtest von außen darauf zugreifen, ohne Deine Firewall für jeden pöhsen Deppen zu öffnen, ist das über VPN sicher(er) zu realisieren. Dazu benötigst Du dann einen LXC mit dem gewünschten VPN-System (OpenVPN, Wireguard, etc.) und einen DynDNS (dynamischen DNS) Account bei einem der zahlreichen Anbieter (meistens kostenlos), wie @Dunuin schon bemerkte. Auf dem VPN-Server im LAN wird dann für jedes Endgerät, welches einen Zugriff erhalten soll, ein Profil/Account erstellt - quasi ein Ausweis. Damit die Endgeräte später die VPN-Verbindung aufbauen können, muss in der Fritte einmalig eine Portfreigabe für den LXC/VPN-Server erstellt werden. Im default mode nutzt OpenVPN 1194/UDP, Wireguard 51820/UDP, usw. Durch diesen Port wird dann die Verbindung der Endgeräte zum Server hergestellt. Dieser "leitet" dann wiederum die Anfragen an die anderen Geräte im LAN weiter. Die Verbindung von außen nach innen ist verschlüsselt, also nicht im Klartext einseh- oder abfangbar.

Der DynDNS Account bzw. die dazugehörige Adresse muss in der Fritte eingetragen werden. Dies ist nur dafür da, um unter der immer gleichen Adresse erreichbar zu sein (bspw.: katzenklo.dyndns.net). Wenn Dein Anschluss keine statische IP hat, wechselt die bekanntermaßen alle 24h. Beim IP-Wechsel oder Zwangstrennung durch den Anbieter macht die Fritte dann nichts weiter, als diesem DnyDNS Dienstanbieter zu sagen: ey, ich hab jetzt 90.123.100.5 als IPv4 bekommen. Der DynDNS Anbieter kennt nun die IP Deiner Fritte und wenn man dann den zuvor registrierten Namen aufruft (bpsw. für die VPN-Verbindung), wird man automatisch zur korrekten IP Deiner Fritte geleitet. Welchen Namen und welchen Anbieter Du für DynDNS auswählst, ist letztendlich egal.

 

[fpausp]

Würde mir als "VPN-Anfänger" mal den IPFire anschauen... Läuft als KVM mit 1GB Ram schon seit Jahren ohne Probleme...

 

[Seiteballon74]

@Huch wie kann ich dieses Szenario 1 angehen? Das klingt doch nicht schlecht für mich. Wie mache ich da weiter?

Szenario 2 hab ich nun vorübergehend mit der internen Funktion der Fritzbox und einer dyndns erreicht. Außerdem hab ich mir Pihole installiert der mich vor Fishing Seiten usw fernhalten soll. Hab schon einiges geschafft jetzt.

Auf jeden Fall Danke für die Hilfe von euch allen.

 

[Deleted member 116138]

@Huch wie kann ich dieses Szenario 1 angehen? Das klingt doch nicht schlecht für mich. Wie mache ich da weiter?

Szenario 2 hab ich nun vorübergehend mit der internen Funktion der Fritzbox und einer dyndns erreicht. Außerdem hab ich mir Pihole installiert der mich vor Fishing Seiten usw fernhalten soll. Hab schon einiges geschafft jetzt.

Auf jeden Fall Danke für die Hilfe von euch allen.

Tja, da gäbe es jetzt multiple Möglichkeiten - abhängig von der Komplexität Deines LANs. Nutzt Du nur ein Subnetz ohne VLANs oder möchtest Du das komplexer und ggf. sicherer gestalten?

Für quick & dirty würde ein LXC von TurnKey gehen - wahlweise als OpenVPN oder Wireguard-Gateway. Dieses Gateway baut dann die Verbindung zum VPN-Anbieter auf und schleift den Traffic der "angehängten" Clients durch. Dann wäre aber Handarbeit angesagt. Jedem Client im LAN muss der LXC dann als Gateway mitgegeben werden.

Als einfache Firewall-Lösung gäbe es OpenWRT. Komplexer und mit mehr Möglichkeiten wären Systeme wie pfSense/OPNsense. Dann würde die Fritte aber degradiert und deren WLAN sozusagen nutzlos, weil Du dahinter ein separates Netz aufbauen würdest.

P.S.: eine kurze Beschreibung Deines Netzwerks würde da weiterhelfen

 

[Seiteballon74]

Tja, da gäbe es jetzt multiple Möglichkeiten - abhängig von der Komplexität Deines LANs. Nutzt Du nur ein Subnetz ohne VLANs oder möchtest Du das komplexer und ggf. sicherer gestalten?

Für quick & dirty würde ein LXC von TurnKey gehen - wahlweise als OpenVPN oder Wireguard-Gateway. Dieses Gateway baut dann die Verbindung zum VPN-Anbieter auf und schleift den Traffic der "angehängten" Clients durch. Dann wäre aber Handarbeit angesagt. Jedem Client im LAN muss der LXC dann als Gateway mitgegeben werden.

Als einfache Firewall-Lösung gäbe es OpenWRT. Komplexer und mit mehr Möglichkeiten wären Systeme wie pfSense/OPNsense. Dann würde die Fritte aber degradiert und deren WLAN sozusagen nutzlos, weil Du dahinter ein separates Netz aufbauen würdest.

P.S.: eine kurze Beschreibung Deines Netzwerks würde da weiterhelfen

Vielen Dank für deine Antwort.

Nein ich hab kein Subnetz und kein Vlan.

Ich habe nur eine Kabel Fritzbox 6490 von Vodafone gemietet und paar Repeater und unmaneged Switches im Einsatz.

Leidet dann bei der Methode mit dem durchschleifen die Geschwindigkeit sehr?

 

[Deleted member 116138]

Das Durchschleifen von Traffic in VPN-Tunnel birgt immer Performanceverluste. Das ist zunächst dem meistens genutzten OpenVPN geschuldet, welches keine Rakete unter den VPN-Systemen ist. Dazu kommt es auch immer auf die Bandbreite und Auslastung des VPN-Anbieters an sowie dessen Standorte und Peering/Routing. Den gewohnten Speed hat man meistens nie, vor allem mit zeitgleichem Zugriff von mehreren Endgeräten.

Einfach skizziert könntest Du das so lösen:

[ FritzBox ] = DHCP deaktiviert, fungiert nur noch als Gateway für Firewall/VPN-Gateway sowie Access Point

dahinter -> [ Firewall/VPN-Gateway ] = aktivierter DHCP für Clients, dauerhafte VPN-Verbindung, agiert als Gateway für Clients im LAN

 

[Seiteballon74]

Danke euch. Werd Mal sehen ob ich mich da reinfuxen will..

 

[L1243]

Danke euch. Werd Mal sehen ob ich mich da reinfuxen will..

Grundsätzlich solltest du dir glaube ich erst einmal darüber klar werden, gegen WAS du dich schützen möchtest.
Dein Heimverkehr über einen der vielen VPN Anbieter zu routen, bringt erst einmal kein + an Sicherheit.

Höchstens etwas an Privacy gegenüber deines ISP, da der nur sieht, dass du dich zu einem VPN Anbieter verbindest. Dafür weiß dann aber der oft dubiose VPN Anbieter was du so alles im Netz machst (ist nun die Frage wer da Vertrauenswürdiger ist).

Wenn du von unterwegs deinen gesamten Internettraffic per VPN über dein Heimnetz routest sieht das minimal besser aus.
Der Betreiber der öffentlichen WLAN Netzes sieht dann wieder nicht, wo du so hin surfst. Da die meisten Seiten aber bereits mit https laufen und somit verschlüsselt Übertragen, ist auch dort kein riesen Plus an Sicherheit.

Da wäre es schon schlauer sich ein beliebiges Firewall System zu installieren und dort Dinge wie IDS/IPS laufen zu lassen um Angriffe erkennen zu können und ggf. kompromittierte Geräte im Netz zu erkennen. Das sehe ich für ein simples Heimnetz mit normalem Surfverhalten aber als etwas Overkill an. Dort ist wohl ehr der Grundsatz "erst denken dann klicken" der bessere Weg.
Die meisten "Angriffe" die ein Otto Normal User ohne Webservices nach Außen offen zu befürchten hat, sind halt meist Mails mit schädlichen Links oder Anhängen, dort bringt auch keine VPN Verbindung was.

 

[Josch]

Wenn du von unterwegs deinen gesamten Internettraffic per VPN über dein Heimnetz routest sieht das minimal besser aus.
Der Betreiber der öffentlichen WLAN Netzes sieht dann wieder nicht, wo du so hin surfst. Da die meisten Seiten aber bereits mit https laufen und somit verschlüsselt Übertragen, ist auch dort kein riesen Plus an Sicherheit.

Doch, das ist ein Riesenplus. Denn wenn der Betreiber des öffenlichen WLANs "böse" ist, biegt er zum Beispiel "www.paypal.com" auf seinen eigenen gefakten Server um und du gibt deine Anmeldedaten an. Kalilinux bietet diese Tools von Hause aus an ;-) Und wer guckt schon auf das Schlosssymbol im Browser...

 

[L1243]

Doch, das ist ein Riesenplus. Denn wenn der Betreiber des öffenlichen WLANs "böse" ist, biegt er zum Beispiel "www.paypal.com" auf seinen eigenen gefakten Server um und du gibt deine Anmeldedaten an. Kalilinux bietet diese Tools von Hause aus an ;-) Und wer guckt schon auf das Schlosssymbol im Browser...

Dann bekommst du in nicht jedem ganz kaputten Internetbrowser eine dicke Zertifikatswarnung welche manuell mit min. 2 Klicks bestätigt werden muss.

 

[Josch]

Dann bekommst du in nicht jedem ganz kaputten Internetbrowser eine dicke Zertifikatswarnung welche manuell mit min. 2 Klicks bestätigt werden muss.

Und dann lehnt mein böser Server eine https-Verbindung ab. Dann gibt's ein fallback auf http. Weg ist die Meldung. Hat zumindest vor ein paar Jahren noch geklappt...

 

[Deleted member 116138]

Für mobile Sicherheit wäre das Szenario eigene Firewall + DNS + VPN (+ ggf. PiHole o.ä.) relativ einfach zu bewerkstelligen. So würdest Du - wie @L1243 schon schrieb - von unterwegs Deinen gesamten Traffic durch Dein eigenes System leiten. Wenn man eine Firewall wie pfSense/OPNsense (geht auch als VM) verwendet, kannst Du damit schon einiges erschlagen. Läuft auf der FW dann noch der eigene DNS Server, der direkt die Root Server abfragt und keinen der großen Anbieter wie Cloudflare oder Google, ist das nochmal ein kleines Extra an Anonymität.