2x VPN im gleichen Netzwerk

[herrpiefke]

Hallo miteinander,

folgender Sachverhalt. Ich habe einen Wireguard VPN über pivpn laufen.
Funktioniert top. Damit kann ich dann bekannterweise von außerhalb auf meine Geräte im Heimnetz zugreifen.
Nun möchte ich einen zweiten VPN für Person X einrichten. Dieser soll vom Ausland aus drauf zugreifen und sozusagen über eine deutsche IP surfen, er soll aber nicht auf mein Heimnetz zugreifen können.

Ich habe keinen Layer 3 Router o.Ä. sondern normale Fritzbox 7590. Meine überlegung wäre jetzt, einen zweiten Raspberry an den GastLan Port der Fritzbox zu schließen und hier ebenfalls pivpn laufen zu lassen. Würde das wohl funktionieren oder habe ich einen Gedankenfehler? Kann ich das vielleicht sogar einfacher realisieren?

Grüße

 

[smuper]

Würde funktionieren und wäre wahrscheinlich auch meine erste Art der Umsetzung.

Wäre aber sicher auch mit dem einen Pi möglich, aber dann mit mehr Konfigurationsarbeit.

 

[Myron]

Meine überlegung wäre jetzt, einen zweiten Raspberry an den GastLan Port der Fritzbox zu schließen und hier ebenfalls pivpn laufen zu lassen.

Das scheitert daran, dass man für das Gastlan keine Portfreigaben erstellen kann.

 

[till69]

Dieser soll vom Ausland aus drauf zugreifen

Wenn das zuverlässig gehen soll wäre OpenVPN (mit tls-crypt) über TCP Port 443 das Mittel der Wahl.
Geht problemlos neben Wireguard auf einem PI.
Zugriff ins LAN dann einfach über iptables sperren.

 

[herrpiefke]

@Myron du könntest recht haben, das hatte ich nie getestet ob die Fritzbox das zu lässt.
@till69 klingt praktikabel. Wie kann ich pivpn um openvpn erweitern? Bezüglich dem Thema iptables muss ich mich noch einlesen.

 

[till69]

@herrpiefke

Google kennt jede Menge HowTo's zum Thema OpenVPN Server unter Linux.

https://www.df.eu/de/support/df-faq...en/openvpn-server-installieren-debian-ubuntu/
https://www.securai.de/veroeffentlichungen/blog/sichere-konfiguration-eines-vpn-mit-openvpn/

 

[herrpiefke]

@till69 danke, das bekomme ich hin.
Schwieriger wird das Thema iptables. Ich schätze hier brauche ich Unterstützung.

Noch eine Ergänzung. Habe hier noch den Mango Router rumfliegen.

https://www.gl-inet.com/products/gl-mt300n-v2/

Auf diesen kann ich ja auch einen WireGuard server betreiben. Kann ich diesen nicht einfach wie eine Router Kaskarde hinter meine FRITZ!Box schließen und dann sozusagen eine zweite dmz betreiben? Ich habe ja nicht die Anforderung, dass ich von mango in mein Hauptnetz muss.

 

[till69]

Auf diesen kann ich ja auch einen WireGuard server betreiben

Nochmal ... Wireguard geht über UDP (genau wie IPsec), und im Ausland ist es ziemlich ärgerlich, wenn Deine VPN Verbindung nicht funktioniert, weil ein Port oder das ganze Protokoll geblockt wird.

 

[herrpiefke]

Das Problem ist zu vernachlässigen. Person X will die vpn Verbindung von seinem Heimnetzwerk aufbauen, in dem udp natürlich nicht geblockt wird. Außerdem ist WireGuard nach meiner Erfahrung deutlich schneller als openvpn)
Mir wird es nur ggf. Etwas zu kompliziert mit dem Thema iptables, da hier dann meine Kenntnisse enden. Insofern viel mir eben noch die Idee mit dem zweiten Router ein.

 

[Olunixus]

Ich habe von China aus die Erfahrung gemacht, dass OpenVPN über TCP 443 (Port sollte aber egal sein) nicht gut läuft, weil wohl die TCP Antwortpakete nicht rechtzeitig ankommen und daher die VPN Verbindung abbricht... Von daher hat das FritzVPN oder Outline zuverlässiger funktioniert.

 

[till69]

Etwas zu kompliziert mit dem Thema iptables, da hier dann meine Kenntnisse enden.

Dann lies etwas, iptables ist kein Hexenwerk. Nötig wären in Deinem Fall genau zwei Zeilen.

in dem udp natürlich nicht geblockt wird

Dann ginge auch das VPN Deiner Fritzbox 7590 (IPsec)

 

[herrpiefke]

@till69 also iptables ist nun das mittel der Wahl. Soweit ich es richtig sehe wäre dann für mich (vorausgesetzt ich habe erstmal iptables aktiviert) - der erste Befehl

iptables -F (um alle Regeln zu löschen, wobei es ja sogesehen keine geben dürfte)

und der zweite Befehl

iptables -A OUTPUT -s 192.168.178.0/24 -j DROP

webei wahrscheinlich DROP vorzuziehen ist, da hier weniger Rechenleistung verlorgen geht als, wenn ich den Befehl REJECT nehme. Vorausgesetzt ich habe die Standard Fritzbox IP.

Liege ich richtig oder komplett daneben? Wie gesagt, hatte ich bisher hiermit noch keine Berührungspunkte, bin aber lernfähig. Andernfalls kannst du mir vielleicht den richtigen Befehl geben?

Beste Grüße

 

[till69]

Liege ich richtig oder komplett daneben?

Weder noch ... wenn Du VPN Traffic in Dein Heimnetz unterbinden willst, dann in etwa so:

iptables -A FORWARD -i tun0 -d 192.168.178.0/24 -j DROP

Und für Internet aus dem VPN Netz:

iptables -t nat -A POSTROUTING -s 10.1.1.0/24 -o eth0 -j MASQUERADE

Das war es dann auch schon

 

[herrpiefke]

Ohje, also habe ich das Konzept noch nicht zu 100% verstanden.
Aber mit genug trial and error habe ich nun folgendes Ergebnis erzielt.

Ich habe wie vorher erwähnt diesen kleinen Mango Router aktiviert und hier den Wireguard Server aktiviert. Dort konnte ich in den Einstellungen sagen, dass aktive VPN Verbindungen nicht auf den Router zugreifen können -> Wunderbar - hat geklappt.

Dennoch konnte ich mit einer aktiven Verbindung auf meine Fritzbox zugreifen ... (warum das so ist verstehe ich ehrlicherweise nicht, denn der Mango Router bekommt zwar von der Fritzbox via DHCP eine IP zugesprochen, aber die Geräte, die bspw. via Lan oder via VPN mit dem Router verbunden sind, erhalten ja wiederum von dem DHCP des Routers eine IP in diesem Fall 192.168.8.XXX - wieso können die denn genauso gut auf den Adressbereich 192.168.178.XXX zugreifen?).

Nun hat der Mango Router noch eine OpenWRT Oberfläche und hier kann ich ja augenscheinlich auch iptables einstellen (nur in einer grafischen Oberfläche).

Davon ausgehend, dass die Zones soweit stimmen (ich denke mal das wird der Router ja im Vorfeld sauber vorkonfiguriert haben), habe ich nun noch etwas mit den Firewall Traffic Rules gespielt und folgende hinzugefügt. Die Wireguard Zone hatte der Mango Router übrigens ebenfalls schon erstellt.

Wobei ich bei Destination Zone auch WAN eingeben könnte, dies hätte ebenfalls dazu geführt, dass nun der VPN traffic nicht in mein Heimnetz geleitet wird oder anders gesagt, wenn ich via vpn verbunden bin, keine lokalen Ip's aufrufen kann. Aber Any Zone klingt besser -> bzw. "denn Sie wussten nicht was sie tun."

Ich weiß jeder Linux Admin wird jetzt hier mit den Augen rollen, aber das Ergebnis scheint erstmal stimmig zu sein.