Headscale - DynDNS - Domain

[SeniorY]

Hallo,

kurz zu meinem Experiment:
Als Backup (wenn ich unterwegs bin und mein Inet_Anschluss zu Hause mal ausfällt) läuft auf einem VPS WIregurad + Pihole etc.
Da ich gerne alle Ports geschlossen halte, läuft auch noch Tailscale.

Jetzt hab ich mich mal mit Headscale auseinandergesetzt und es auf einem Raspberry Pi hinter meiner FritzBox aufgesetzt. Zusätzlich noch einen ngnix Reversproxy für SSL Zertifikate (muss nicht, aber wollte ich ausprobieren).

Das läuft alles gut und ich kann mich über Headscale von meinem PC auf den VPS verbinden.

Frage 1) Ich habe mir dafür eine Domain bei IONOS eingerichtet. Meine Headscale Subdomain verweist jetzt auf die IP meiner Fritzbox. Problem ist, wenn die Fritzbox mir irgendwann mal eine neue IP zuweist, dann muss ich die Weiterleitung anpassen.
Auf der FritzBox läuft ein DynDNS (ipv64.net).
Kann ich das bei IONOS irgendwie einstellen, dass hier auch auf eine gewechselte IP weitergeleitet wird? Ich habs nicht hinbekommen

Frage 2) Auf der FritzBox musste ich Port 443 und 27896 für den Headscale Server auf dem Raspberry Pi freigeben. Wie safe ist das?

PS: bin nicht so der Spezialist

 

[till69]

Da ich gerne alle Ports geschlossen halte

Wozu? Wireguard ist kein Problem.
Und SSH einfach nur über IPv6 machen, bis Dich jemand findet, bist Du leider tot

 

[Der Lord]

Kann ich das bei IONOS irgendwie einstellen, dass hier auch auf eine gewechselte IP weitergeleitet wird? Ich habs nicht hinbekommen

Du kannst, sofern die Ionos DNS Verwaltung das zulässt, einfach einen CNAME Record verwenden.

Also sowas in etwa:
sub.deinedomain.tld CNAME deine-dyndns.ipv64domain.tld

Auch bietet dein DynDNS Anbieter wohl die Möglichkeit eigene Domains dort direkt einzubinden. Wie genau das geht steht sicher in deren Anleitung. Ich vermute durch Änderung des Nameservers.

PS: da eh eine Fritzbox mit eingebautem DynDNS Dienst myFritz zum Einsatz kommt, könnte man sich den externen DynDNS auch sparen.

 

[SeniorY]

Du kannst, sofern die Ionos DNS Verwaltung das zulässt, einfach einen CNAME Record verwenden.

Also sowas in etwa:
sub.deinedomain.tld CNAME deine-dyndns.ipv64domain.tld

CNAME Records kann man anlegen. Es ist bei IONOS etwas unübersichtlich bzw. ich durchdringe das Thema CNAME noch nicht ganz. Ich probiere das später noch mal.

Auch bietet dein DynDNS Anbieter wohl die Möglichkeit eigene Domains dort direkt einzubinden. Wie genau das geht steht sicher in deren Anleitung. Ich vermute durch Änderung des Nameservers.

werde ich mal versuchen herauszufinden.

 

[SeniorY]

ob ich den CNAME Eintrag richtig gemacht habe, weiss ich erst, wenn ich eine neue IP von Vodafone bekomme. Und die änderst sich gerade auch nicht bei einem Neustart der Fritzbox.

Wozu? Wireguard ist kein Problem.
Und SSH einfach nur über IPv6 machen, bis Dich jemand findet, bist Du leider tot

auf dem VPS läuft unter anderem Portainer und ich wollte den Webzugriff darauf nicht öffentlich im Netz stehen haben. Mit Headscale bleibt der Webzugriff jetzt hinter verschlossenen Türen.

Den SSH Port habe ich offen gelassen, damit ich zur Not noch eine Zugriffsmöglichkeit habe. Der ist wie von dir vorgeschlagen jetzt nur über IPv6 erreichbar, nur mit ssh key und mit ssh-audit gehärtet.

 

[Der Lord]

ob ich den CNAME Eintrag richtig gemacht habe, weiss ich erst, wenn ich eine neue IP von Vodafone bekomme

Nicht wirklich. Entweder liefert dir der CNAME-Eintrrag die derzeit richtige IP-Adresse deiner DynNDS-Domain (und damit funktioniert es wie erwartet) oder eben nicht. Das ist, vereinfacht ausgedrückt, nur eine Live-Verknüpfung eines FQDNs mit einem anderen.

Anhand der Beschreibung gehe ich davon aus, dass die derzeit ausgegebene IP und damit auch die zukünftige IP passt.

 

[SeniorY]

Noch eine Anschlussfrage:

Auf dem VPS läuft ja im Docker Container Wireguard. Wenn ich mich über WG verbunden bin komme ich über https://meinevpsip:9443 zum Portainer login. Bekomme allerdings die Meldung, dass die Seite unsicher sei wegen fehlendem SSL Zertifikat.

Das ist ja ansich kein Problem, da es „lokal“ ist. Hier hab ich dann versucht über nginx und let‘s encrypt ein Zertifikat zu erstellen, um einfach auf die ganze tailscale Verbindung zu verzichten.

Kann es sein, dass das konzeptionell gar nicht möglich ist?