Nextcloudpi von außerhalb ereichen.

[Gartenhaus]

Hallo,

ich habe mir vor ein paar Tagen auf meinem PI Nextcloud installiert und möchte nun auf den Pi auch von außerhalb des lokalen Netzwerkes zugreifen.
Der hauseigene DynDNS Dienst myFRITZ bietet sich dafür an.
Mit einer Portfreigabe von Port 443 des Pi's und der myFRITZ Adresse sollte ich so zugrteifen können.
Ich habe da noch ein paar Bedenken wegen der Sicherheit des Pis sowie meinem Heimnetzwerk.
Ist myFRITZ wirklich "sicher"?
Auf dem Pi läuft das Nextcloudpi Image, auf diesem sind Dienste wie fail2ban vorinstalliert.

Vielen Dank für eure Antwoten

 

[Old Knitterhemd]

Ich habe da noch ein paar Bedenken wegen der Sicherheit des Pis sowie meinem Heimnetzwerk.

Zu Recht!
Man stellt soetwas nicht einfach per Portfreigabe nackt ins Netz, besonders wenn man keine Ahnung hat.

Google nach VPN Zugang!

 

[Gartenhaus]

Hatte ich schinmal nach geschaut.
Aber auch mit VPN komme ich nicht um DynDNS oder MyFRITZ herum.
Welchen DynDNS Dienst sollte ich am besten benutzen?

 

[dj-melo]

Gute Videos Reihe zum Thema:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

würde aber gerade Anfängern auch empfehlen die cloud hinter ein vpn zu setzen.


Edit: dyndns z .B. No-IP wichtig starke generierte Passwörter überall z. B. mit Keepass und keine Passwörter und E-Mailadressen die du schon für andere Dienste nutzt.

 

[Konto gelöscht]

DynDNS oder MyFritz macht nichts wildes, außer auf deine Box zu verweisen. Da ist kein Problem. VPN ist da wirklich eine gute Sache aber ist halt auch nur für Leute dann erreichbar, die im Netz oder VPN eingewählt sind. Wenn dir das reicht, ist MyFritz das Mittel der Wahl.

 

[Gartenhaus]

Aufgrund der Sicherheit würde ich tatsächlich zu einer VPN verbindung mit MyFRITZ tendieren.
Ich habe noch die Wahl bei MyFRITZ Let's encrypt hinzuzufügen, aber steht meine Router IP dann nicht öffentlich einsehbar bei Let's encrypt?

 

[dj-melo]

auch nen Blick wert: https://www.kuketz-blog.de/pivpn-raspberry-pi-mit-openvpn-raspberry-pi-teil3/

 

[Konto gelöscht]

Aufgrund der Sicherheit würde ich tatsächlich zu einer VPN verbindung mit MyFRITZ tendieren.
Ich habe noch die Wahl bei MyFRITZ Let's encrypt hinzuzufügen, aber steht meine Router IP dann nicht öffentlich einsehbar bei Let's encrypt?

Nein. Kannst du ruhig machen, dann ist es wenigstens sauber konfiguriert. Damit verschwindet der Fehler beim Zugriff auf die Weboberfläche von extern.

 

[Gartenhaus]

auch nen Blick wert: https://www.kuketz-blog.de/pivpn-raspberry-pi-mit-openvpn-raspberry-pi-teil3/

Habe ich mir gerade durchgelesen.
Wieso sollte ich es mit dem Pi machen, wenn es auch mit der Fritz!Box funktioniert?
(außer man hat einen Router der VPN nicht unterstützt)

 

[martinallnet]

Wenn das TLS vernünftig eingerichtet ist, sollte es kein Problem sein ein Nextcloud weiterzuleiten.
Mache ich ja auch nicht anders, der Aufwand mit VPN ist für die meisten Fälle unpraktikabel.
Erst für richtige NFS- oder SMB-Shares nehme ich das VPN.
Meine Instanz läuft aber auf einem vServer, den ich für diversen anderen Kram auch schon Benutze, u. A. eben ein Webserver.
Vorteil ist bei einer Weiterleitung ja auch, das man Daten für andere freigeben kann.

Die spannendere Frage ist, ob der TE einen Dual-Stack-Anschluss hat oder DS-Lite mit CGNAT.

 

[Gartenhaus]

Wenn das TLS vernünftig eingerichtet ist, sollte es kein Problem sein ein Nextcloud weiterzuleiten.
Mache ich ja auch nicht anders, der Aufwand mit VPN ist für die meisten Fälle unpraktikabel.
Erst für richtige NFS- oder SMB-Shares nehme ich das VPN.
Meine Instanz läuft aber auf einem vServer, den ich für diversen anderen Kram auch schon Benutze, u. A. eben ein Webserver.
Vorteil ist bei einer Weiterleitung ja auch, das man Daten für andere freigeben kann.

Die spannendere Frage ist, ob der TE einen Dual-Stack-Anschluss hat oder DS-Lite mit CGNAT.

NextCloudPi stellt sich selber ein Zertifikat aus um so HTTPS zu erzwingen.

 

[martinallnet]

Wenn man das ordentlich macht, erstellt man ein Zertifikat mit Lets Encrypt, macht Port 80 und 443 auf und richtet eine Weiterleitungsregel im Webserver ein, der alle Anfragen über http an https weiterleitet.

 

[Gartenhaus]

Wenn man das ordentlich macht, erstellt man ein Zertifikat mit Lets Encrypt, macht Port 80 und 443 auf und richtet eine Weiterleitungsregel im Webserver ein, der alle Anfragen über http an https weiterleitet.

Let's encrypt geht bei den meisten freien DynDNS Diensten leider nicht. Auf der Fritz!Box kann ich dann die Ports für HTTPS freigeben.

 

[dj-melo]

Sollen/müssen gar nicht 😀 So war,s nicht gemeint. Alles nur erklärend und für Hintergrundwissen. Das Zertifikat machst du auf den Webdienst selbst sprich auf die Nextcloud. Erlaubt Nextcloudpi ganz bequem.

 

[Old Knitterhemd]

aber steht meine Router IP dann nicht öffentlich einsehbar

Dir ist schon klar, dass sie das sowieso ist?
Dyndns gibt ihr nur einen Namen und aktualisiert die IP wenn sie sich ändert, damit sie immer unter dem gleichen Namen zu finden ist.

Ich glaube du hast etwas falsche Vorstellungen von der Sicherheit der einzelnen Aspekte.


Wenn du dein Nas per portfarwarding ins Netz stellst, dann kann es jeder erreichen, das ist der Sinn des ganzen.

Das bekommst du nicht verhindert, in dem du niemandem deine IP nennst, die bleibt dennoch öffentlich und erreichbar.

Zwischen Gott und der Welt und deinem NAS hängt nur deine Portkonfiguration in Router/Firewall und dein Login am NAS.

 

[dj-melo]

Ergänzung (16. Februar 2020)

Dir ist schon klar, dass dyndns genau das macht?

Ich glaube du hast etwas falsche Vorstellungen von der Sicherheit der einzelnen Aspekte.


Wenn du dein Nas per portfarwarding ins Netz stellst, dann kann es jeder erreichen, das ist der Sinn des ganzen.

Das bekommst du nicht verhindert, in dem du niemandem deine IP nennst, die bleibt dennoch öffentlich und erreichbar.

Zwischen Gott und der Welt und deinem NAS hängt nur deine Portkonfiguration in Router/Firewall und dein Login am NAS.

Genau deshalb vpn!

 

[Gartenhaus]

Dir ist schon klar, dass sie das sowieso ist?
Dyndns gibt ihr nur einen Namen und aktualisiert die IP wenn sie sich ändert, damit sie immer unter dem gleichen Namen zu finden ist.

Ich glaube du hast etwas falsche Vorstellungen von der Sicherheit der einzelnen Aspekte.


Wenn du dein Nas per portfarwarding ins Netz stellst, dann kann es jeder erreichen, das ist der Sinn des ganzen.

Das bekommst du nicht verhindert, in dem du niemandem deine IP nennst, die bleibt dennoch öffentlich und erreichbar.

Zwischen Gott und der Welt und deinem NAS hängt nur deine Portkonfiguration in Router/Firewall und dein Login am NAS.

Am liebsten würde ich auch VPN benutzen, doch manchmal muss man auch von anderen PC's Daten herunterladen, dafür bietet sich ein öffentliches Web Interface an.
Solange ich sichere Passwörter nehme und Nextcloud zu https zwinge sollte das doch eigentlich sicher sein?
Oder denke ich hier gerade falsch

 

[Bob.Dig]

Laut der Project Website tut sich diese automatisch aktualisieren und Letsencrypt ist nicht vom DDNS Provider abhängig, zumindest nicht, wenn man kein Wildcard-Zertifikat braucht, von daher sollte eigentlich alles passen.

Ich vermute mal während der Einrichtung wirst Du nach einer (DDNS-)Adresse gefragt.

 

[Gartenhaus]

Laut der Project Website tut sich diese automatisch aktualisieren und Letsencrypt ist nicht vom DDNS Provider abhängig, zumindest nicht, wenn man kein Wildcard-Zertifikat braucht, von daher sollte eigentlich alles passen.

Ich vermute mal während der Einrichtung wirst Du nach einer (DDNS-)Adresse gefragt.

Welcher möglichst kostenlosen DynDNS Anbieter wäre denn empfehlenswert?
MyFRITZ kann ich nicht über Let's encrypt zenrtifizieren.

 

[martinallnet]

Welcher möglichst kostenlosen DynDNS Anbieter wäre denn empfehlenswert?
MyFRITZ kann ich nicht über Let's encrypt zenrtifizieren.

Sollte sich doch über die http-Challenge zertifizieren lassen?
Am Ende verweist myFritz doch auch nur auf deine IP-Addresse.
Ansonsten cname auf eine andere Domain, kostenlose Domains gibt es z. B. auf freenom.com