Rat benötigt: VPN + Pi Hole kombinieren

[W4RO_DE]

Hallo ihr Lieben,

ich möchte mein Heimnetzwerk gerne mit einem VPN (NordVPN) und einem Pi Hole absichern. Es soll explizit das Heimnetzwerk insgesamt abgesichert werden, nicht nur ein einzelner PC. Nachdem ich das ganze Wochenende mit dem Lesen diverser Artikel und Foreneinträge verbracht habe, bin ich irgendwie immer noch nicht ganz schlau, wie das genau funktioniert. Ich habe derzeit einen DSL-Anschluss mit einer Fritz Box dran. Die Fritzbox kann weder viele Domains blocken (maximal 500) noch kann sie meinen Datenverkehr verschlüsselt zu NordVPN lenken (kein OpenVPN möglich).

Soweit ich weiß, klemmt man normalerweise an die Fritzbox den Rasperry Pi und stellt ihn in der Fritzbox als DNS-Server ein, sodass die DNS-Anfragen über ihn laufen. Im Rasperry Pi stellt man wiederum den DNS-Server ein, zu dem die zulässigen Anfragen gelangen sollen. Das wäre dann der DNS-Server von NordVPN, ist das so korrekt?

Damit NordVPN funktioniert, muss ich mir aber soweit ich gelesen habe zusätzlich noch einen Router von Asus mit OpenVPN-Unterstützung kaufen, der dann mein heimisches Netzwerk zur Verfügung stellt. An ihn müsste dann auch der Rasperry Pi wie beschrieben angeschlossen werden. Von dem Asus Router aus kommen die durch ihn verschlüsselten Daten inklusive der vom Rasperry Pi abgesegneten DNS-Anfragen schließlich per LAN-Kabel zur Fritzbox und von ihr aus ins Internet, wäre das so korrekt?

Schaubild für 3 Geräte

Vorausgesetzt, ich habe das so richtig verstanden, frage ich mich, ob das nicht auch mit nur zwei Geräten geht, also dass der Rasperry Pi auch den verschlüsselten VPN übernimmt. Nur das heimische WLAN-Netzwerk müsste dann ja wieder von der Fritzbox kommen, mit dem Rasperry Pi kann ich ja kein Mesh-WLAN aufbauen, oder? Beziehungsweise man müsste dann doch wieder einen weiteren Router kaufen?

Schaubild für 2 Geräte

Außerdem frage ich mich, ob da nicht eine Sicherheitslücke entsteht, bei dem - aus meiner Sicht - Chaos. Etwa, dass DNS-Anfragen unverschlüsselt rausgehen oder dass der KillSwitch von NordVPN nicht mehr greift oder ähnliches.

Ihr merkt schon, ich bin Laie auf dem Gebiet der Netzwerktechnik. Seid bitte gnädig. Für Leute wie mich geeignete Tutorials werden mit Kusshand genommen & gelesen.

Viele Grüße

 

[Coca_Cola]

Vor was genau willst du dich schützen bzw. was sind die Schutzziele?

 

[W4RO_DE]

Der Pi Hole soll gegen Werbung und Werbetracker auf smarten Geräten wie dem Smart-TV wirken und diversen anderen Kram blockieren wie Sprachassistenten die sich mitunter nicht vollständig deaktivieren lassen. Der VPN soll meinen Netzwerkverkehr vor dem ISP abschirmen und meinen Standort bei Bedarf ändern.

 

[jonderson]

Also ich halte es für sehr unwahrscheinlich, dass die Fritz!Box kein OpenVPN kann.
https://freetz.github.io/
Wobei man erst einmal überlegen müsste, ob wireguard nicht die bessere Wahl wäre (Kann die Fritz!Box auch)

 

[Apple ][]

@W4RO_DE bist du schon über folgendes Tutorial gestolpert?

 

[Raijin]

Der VPN soll meinen Standort bei Bedarf verdecken und meinen Netzwerkverkehr vor dem ISP abschirmen.

Laut deinem Schaubild ist dein gesamtes Netzwerk hinter dem VPN-Router (der Asus). Um "bei Bedarf" umzuschalten, müsstest du im Asus ständig VPN ein- und ausschalten. Klingt für mich nicht sonderlich komfortabel, zumal man damit dann immer gleich alle Geräte im Netzwerk gemeinsam auf VPN umschaltet.

Ich rate explizit davon ab, das gesamte Netzwerk über einen VPN-Anbieter zu routen. Zum einen ist die "Schutzwirkung" weitestgehend eine Illusion (in diesem Setup) und zum anderen handelt man sich damit im worst case mehr Probleme ein. Je nach Internetanbindung und Leistungsfähigkeit des VPNs an sich sowie des jeweiligen VPN-Clients kann man sich damit selbst ein Bein abschneiden, wenn aus einem VDSL250 Anschluss plötzlich nur magere 30 Mbit/s raukommen.......

Die Verschlüsselung eines VPNs geht genau von deinem VPN-Client zum VPN-Server und nicht weiter. D.h. alles was dein Provider hätte mitlesen können, könnte dann der VPN-Anbieter mitlesen - wenn sich überhaupt einer von beiden dafür interessiert. Wenn du also deinem Provider misstraust, musst du eben deinem VPN-Anbieter vertrauen - einen Tod musst du sterben. Weißt du über NordVPN mehr als über deinen Provider? Glaubst du alles was NordVPN verspricht? Kannst du nachprüfen ob sie wirklich keine Logs führen, etc?

Netflix und Co. Es gibt Dienste im www, die durchaus an einer eindeutigen Identifizierung des Nutzer interessiert sind - zu Recht. Dabei geht es nicht um den Namen an sich, sondern um den Ausschluss von Anonymisierungsdiensten wie eben VPN. Netflix und Co müssen sch beispielsweise an Urheberrechtsgesetze in den jeweiligen Ländern kümmern. D.h. sie dürfen US-Serien nicht so ohne weiteres in Deutschland streamen. Deswegen blocken sie bekannte VPN-Anbieter immer häufiger damit man nicht mehr mit VPN das Geoblocking umgehen kann. Es ist sehr nervig, wenn man das VPN fest im Netzwerk verankert hat, weil es direkt im Router läuft und dann merkt man plötzlich, dass der aktuelle VPN-Server geblockt wird.

Wenn VPN, dann rate ich zu einem zweiten Gateway im Netzwerk. Also nach wie vor alles an die Fritzbox und den Asus lediglich als VPN-Gateway nutzen. So kann man individuell an jedem Endgerät das Standardgateway auf die IP der Fritzbox (kein VPN) oder die IP des Asus (mit VPN) umstellen. Am PC ginge das sogar mit einer banalen Batchdatei auf dem Desktop. Den DHCP-Server stellt man dann so ein, dass er standardmäßig das eine oder das andere Gateway rausgibt, je nachdem was man als Standardsituation haben will.

 

[W4RO_DE]

@jonderson

Also laut Google kann die das echt nicht, außer die haben das vielleicht gepatcht.

@Apple ][

Danke für den Link, das liest sich sehr passend. Weswegen wird im Pi Hole der DNS von Cloudflare konfiguriert, anstatt der von NordVPN? Und wie verbinden sich die Endgeräte dann, ganz normal über das WLAN der Fritzbox oder müssen die irgendwie direkt an den Rasperry Pi dran?

@Raijin

Danke sehr für deine Ausführungen. Du schreibst dass die Schutzwirkung in diesem Setup weitestgehend Illusion ist, weswegen explizit in diesem Setup? Die verringerte Internetgeschwindigkeit ist für mich unproblematisch.

Dass man einen Tod sterben muss sehe ich ein, ich neige derzeit zum VPN-Tod. Wenn ich das so hinbekomme dann wie von dir am Ende deines Posts vorgeschlagen, das scheint ja die intelligentere Lösung zu sein. Das wären dann quasi zwei WLAN-Netzwerke, eines mit VPN (Asus) und eines ohne VPN (Fritzbox)? Der Pi Hole kann ja aber nur an einem von beiden hängen, oder bräuchte ich dann zwei (sind ja nicht teuer)?

 

[Raijin]

In deinem Szenario bezieht sich die Schutzwirkung ausschließlich auf deinen Provider. Wenn du aber Telekom/Vodafone/O2/WhatEver nicht traust, frage ich mich warum du Kunde bei denen bist? Und was meinst du tun Telekom/Vodafone/O2/WhatEver mit diesen Informationen was NordVPN nicht auch tun könnte - und das ggfs auch noch bei einem VPN-Server im Ausland bei unbekannten Datenschutzgesetzen? Es ist einfach eine Milchmädchenrechnung, die Skepsis gegenüber dem eigenen Provider mit dem (blinden) Vertrauen in einen VPN-Anbieter ersetzen zu wollen. Beide erzählen dir, dass alles super sicher ist, aber bei beiden kannst du es nicht nachprüfen, genausowenig wie das Versprechen, dass keine Logs geführt werden.

Ein VPN-Szenario mit echter Schutzwirkung ist ein VPN, das man an einem öffentlichen Hotspot benutzt. Da solche WLANs oftmals komplett ungesichert sind, teilweise sogar unverschlüsselt, kann jeder andere Nutzer des Hotspots mit geeigneten Mitteln deinen kompletten Traffic mitschneiden, ganz gezielt. Das ist auch die häufigste Anwendung von VPNs, weil man so durch ein unsicheres Netzwerk hindurch sicher surfen, etc. kann. Wenn du nun das Netz deines Providers als "unsicher" definierst, solltest du den Provider wechseln.

Das wären dann quasi zwei WLAN-Netzwerke, eines mit VPN (Asus) und eines ohne VPN (Fritzbox)? Der Pi Hole kann ja aber nur an einem von beiden hängen, oder bräuchte ich dann zwei (sind ja nicht teuer)?

Nicht ganz.

www
|
Fritzbox 192.168.178.1 (WLAN/LAN) --- Endgeräte
(LAN)
||
(LAN)
VPN-Gateway 192.168.178.2


Wenn du nun an deinem PC das Standardgateway von 192.168.178.1 auf 192.168.178.2 änderst, schickt der PC alles was ins Internet soll an eben dieses Gateway, das wiederum ins VPN weiterleitet. Änderst du das Standardgateway wieder zurück auf die .1, geht's wie gewohnt über die Fritzbox. Den DHCP-Server stellst du dann so ein, dass er das bevorzugte Gateway (.1 oder .2) an die DHCP-Clients ausgibt, also die Standardsituation für alle. Wenn das in der Fritzbox nicht geht, kann man den DHCP im pihole aktivieren und den in der Fritzbox deaktivieren. Dann vergibt der PI die IP-Adressen im Netz.


Ich bin mir übrigens nicht sicher ob das mit dem Asus geht. Soweit ich weiß schaltet sich die VPN-Funktion beim Asus ab, wenn man ihn in den AP-Modus versetzt (was man bei diesem Setup tun sollte). Je nachdem welcher PI zum Einsatz kommt, kann dieser aber auch als VPN-Gateway fungieren. Je nach Modell eben mit ganz unterschiedlicher Leistung. Beim PI3 bewegt sich das bei OpenVPN so max bis 25 Mbit/s oder so. PI4 ist flotter.

 

[omavoss]

Nord-VPN zwar nicht, aber wenn einmal ein Pi-Hole am Start ist, warum nicht Wireguard?

https://github.com/notasausage/pi-hole-unbound-wireguard

Ein RasPi3 oder höher kann auch OpenVPN ganz respektabel.

Ich installiere das Ganze immer auf der Basis von DietPi anstelle von Raspbian, das geht viel einfacher und komfortabler. Natürlich muss man sich ein ganz klein wenig einarbeiten, das Menü und das Einpflegen der Plugins ist gewöhnungsbedürftig; aber wenn man die Funktionsweise einmal verstanden hat, geht das Ganze ziemlich einfach von der Hand.

 

[Datax]

Ich bin mir übrigens nicht sicher ob das mit dem Asus geht. Soweit ich weiß schaltet sich die VPN-Funktion beim Asus ab, wenn man ihn in den AP-Modus versetzt (was man bei diesem Setup tun sollte). Je nachdem welcher PI zum Einsatz kommt, kann dieser aber auch als VPN-Gateway fungieren. Je nach Modell eben mit ganz unterschiedlicher Leistung. Beim PI3 bewegt sich das bei OpenVPN so max bis 25 Mbit/s oder so. PI4 ist flotter.

Guter Hinweis, müsste man wirklich einfach mal testen, ob das mit einem ASUS-Router funktioniert.

Um die "OpenVPN-Client"-Funktion nutzen zu können,
muss der ASUS-Router im Betriebsmodus "Wireless Router" laufen.

Im Betriebsmodus "Access Point" kann diese Funktion leider nicht genutzt werden.
In der GUI wird dann im Gegensatz zum Modus "Wireless Router" kein VPN-Menü mehr angezeigt,
die VPN-Funktion ist dann also abgeschaltet.

Im Betriebsmodus "Wireless Router" hätte der ASUS-Router dann auf seinem WAN-Port z.B. die 192.168.178.2/24 und als Gateway dann die IP der FritzBox. Man hat leider dann den Nachteil, dass die LAN-Ports am ASUS-Router für Endgeräte nicht genutzt werden können, wenn man sich die Möglichkeit vorbehalten möchte, das Gateway an den Endgeräten umschalten zu können (FritzBox als GW = kein VPN, ASUS-Router als GW = mit VPN). Die LAN-Ports hängen im Betriebsmodus "Wireless Router" nämlich dann am LAN-Netz des ASUS-Routers (z.B. 192.168.1.0/24, wobei der ASUS-Router standardmäßig die 192.168.1.1/24 bekommt), somit wäre dann ein Umschalten des Gateways zwischen 192.168.178.1 und 192.168.178.2 nicht möglich, da man mit dem Endgerät im 192.168.1.0/24-Netz "hängt".

Die Endgeräte müssten dann entweder per Kabel an die LAN-Ports der FritzBox angeschlossen bzw. per WLAN mit der FritzBox verbunden werden.

Fragt sich dann nur, ob der ASUS-Router überhaupt den Internet-Traffic, der über seinen WAN-Port reinkommt,
ins VPN routet. Man kann im Betriebsmodus "Wireless-Router" per Software-Schalter die Firewall abschalten. Ggf. leitet der ASUS-Router dann tatsächlich den Internet-Traffic, der über den WAN-Port reinkommt, über das VPN ins Internet. Für die NAT-Funktion gibt es übrigens ebenfalls einen Software-Schalter. Das müsste man einfach mal ausprobieren.

Falls es nicht funktionieren sollte, dann könnte ein "Ubiquiti EdgerRouter-X" oder ein "MikroTik hEX" eingesetzt werden. Mit beiden Routern kann man das auf jeden Fall umsetzen. In die Konfiguration muss man sich dann etwas einarbeiten.

Vielleicht funktioniert es aber wie gesagt, wenn man die Firewall am ASUS-Router einfach abschaltet.

 

[Bob.Dig]

Asus erlaubt auch, je Client eine bestimmte VPN-Verbindung zu nutzen oder eben nicht. Es kann aber sein, dass dann DNS automatisch mit umgebogen wird, damit es keine "Leaks" gibt, was wiederum bedeuten könnte, dass dann der Pi Hole nicht mehr genutzt wird.

Der erwähne VPN-Provider unterstützt, neben OpenVPN u.a. , auch Wireguard.

 

[Raijin]

Das Problem wird aber sein, dass Asus für ihre Router mit Betriebsmodi arbeitet. Das heißt je nach Modus wird ein bestimmtes Set an Features ein- bzw. ausgeschaltet. VPN ist soweit ich weiß nur im Router-Modus aktiv und dann ist eben auch DHCP an, Firewall und so weiter. Schaltet man auf AP-Modus um, verschwindet die VPN-Funktion.

Wenn man also nicht explizit eine Routerkaskade einrichten will, sollte man den Asus nicht als VPN-Gateway verwenden, sondern stattdessen auf den PI selbst, einen NUC oder etwas ähnliches ausweichen. Wenn NordVPN auch Wireguard unterstützt, umso besser. Dann kann man das in der Tat direkt auf dem PI mitlaufen lassen.

 

[Datax]

Wenn auf das Umschalten des Gateways verzichtet werden kann, dann könnte man die Endgeräte, die per VPN ins Internet sollen, per Kabel bzw. WLAN mit dem ASUS-Router verbinden. Den Pi-Hole hängt man ins LAN-Netz des ASUS-Routers. Der Betriebsmodus des ASUS-Routers wäre dann wie gesagt "Wireless-Router". Geräte, die ohne VPN ins Internet sollen, können dann per Kabel bzw. WLAN mit der FritzBox verbunden werden.

Für die Endgeräte, die am ASUS-Router angeschlossen werden, ist der ASUS-Router dann DHCP-Server und vergibt den Pi-Hole als DNS-Server. Für die Endgeräte, die an die FritzBox angeschlossen werden, ist dann die FritzBox DHCP-Server und vergibt ebenfalls den Pi-Hole als DNS-Server. Voraussetzung dafür, dass die Endgeräte, die an der FritzBox "hängen", den Pi-Hole für DNS-Anfragen erreichen können, ist die Abschaltung der Firewall des ASUS-Routers. Wird die Firewall des ASUS-Routers nicht abgeschaltet, so leitet der ASUS-Router die DNS-Anfragen, die über seinen WAN-Port von den FritzBox-Endgeräten reinkommen, nicht an den Pi-Hole weiter.

Dieses Setup funktioniert, habe es selbst mal vor einiger Zeit getestet. Allerdings kann man dann nur durch Umstecken der Endgeräte zwischen FritzBox und ASUS-Router so zu sagen VPN ein- bzw. ausschalten.

 

[Raijin]

Allerdings kann man dann nur durch Umstecken der Endgeräte zwischen FritzBox und ASUS-Router so zu sagen VPN ein- bzw. ausschalten.

Genau das ist ja das Problem. Sobald man an einem Endgerät via "Zwangs-VPN" Probleme bekommt, weil zB Netflix nu gerade den aktuellen VPN-Server geblockt hat, guckt man dumm aus der Wäsche. Deswegen würde ich persönlich nie so ein fest-verkabeltes VPN hinter einer Routerkaskade verwenden, sondern stets über ein zweites Standard-Gateway gehen. Dann muss man im Zweifelsfalle nur das Gateway in den Netzwerkeinstellungen zwischen VPN und nicht-VPN umstellen.

Natürlich funktioniert es auch mit einem fest-verkabelten Setup, aber es bietet keinerlei Flexibilität. Schlimmstenfalls kann man ja gar nicht einfach das Kabel einfach umstöpseln, weil Internet-Router und VPN-Router womöglich ganz woanders stehen..

 

[Datax]

Genau das ist ja das Problem. Sobald man an einem Endgerät via "Zwangs-VPN" Probleme bekommt, weil zB Netflix nu gerade den aktuellen VPN-Server geblockt hat, guckt man dumm aus der Wäsche. Deswegen würde ich persönlich nie so ein fest-verkabeltes VPN hinter einer Routerkaskade verwenden, sondern stets über ein zweites Standard-Gateway gehen. Dann muss man im Zweifelsfalle nur das Gateway in den Netzwerkeinstellungen zwischen VPN und nicht-VPN umstellen.

Das Setup ist in der Tat sehr unflexibel was das Ein- und Ausschalten des VPNs an den Endgeräten betrifft.
Das beschriebene Setup wäre eines, das der TE mit Hilfe eines ASUS-Routers umsetzen könnte. Für mehr Flexibilität müsste man einen anderen Router verwenden, z.B. einen "EdgeRouter" oder einen von Hersteller "MikroTik". Der betreffende Router könnte dann mit einem LAN-Port im Subnetz der FritzBox "hängen" und den Internet-Traffic über die "OpenVPN-Client"-Verbindung ins Internet routen. Die übrigen LAN-Ports des betreffenden Routers können dann z.B. auch gebridged werden, so dass die an diese LAN-Ports angeschlossenen Endgeräte ebenfalls im Subnetz der FritzBox wären, diese LAN-Ports müssten also nicht ungenutzt bleiben.

 

[Bob.Dig]

Man kann im Asus-Router durch einen Klick das VPN an-, ab- oder umschalten für jeden Rechner einzeln, also das ist kein Problem und nicht Port-gebunden. Eine Router-Kaskade sollte ebenfalls kein Problem sein, wenn überhaupt erforderlich, solange der Router davor eine "DMZ"😉-Funktion hat.

 

[Datax]

Man kann im Asus-Router durch einen Klick das VPN an-, ab- oder umschalten für jeden Rechner einzeln, also das ist kein Problem und nicht Port-gebunden. Eine Router-Kaskade sollte ebenfalls kein Problem sein, wenn überhaupt erforderlich, solange der Router davor eine "DMZ"😉-Funktion hat.

Also das ist ein Missverständnis. Habe hier keineswegs behauptet das Ein- bzw. Ausschalten des VPNs wäre Port-gebunden. Wir haben hier über ein mögliches Setup gesprochen, wo man sich die Option offen hält, das Gateway am Endgerät umzuschalten, um entweder über Router A ins Internet zu gehen (Router A = ohne VPN) bzw. über Router B (Router B = mit VPN). Mit einem ASUS-Router ist dieses Setup definitiv nicht möglich, habe es gerade extra nochmal getestet. Habe hier noch einen "ASUS RT-AC51U", den ich gerade zum Testen verwendet habe.

Den ASUS-Router habe ich in den "Wireless-Router"-Modus geschaltet und dann als WAN-IP die 192.168.1.3/24 vergeben sowie als Gateway die 192.168.1.1 eingestellt. Dann habe ich die "OpenVPN-Client"-Funktion konfiguriert. Per Endgerät an einem LAN-Port des ASUS-Routers (also im 192.168.10.0/24-Netz) wurde mir dann bei "wieistmeineip.de" als IP-Adresse die öffentliche IP-Adresse des OpenVPN-Gateways angezeigt und ein Ping auf die 8.8.8.8 funktionierte entsprechend problemlos. Danach das Notebook umgesteckt in das 192.168.1.0/24-Netz (an den Switch, wo auch der WAN-Port des ASUS-Routers angeschlossen war), als IP-Adresse die 192.168.1.10/24 vergeben und als Gateway die WAN-IP des ASUS-Routers (192.168.1.3) eingestellt. Ein Ping auf die 8.8.8.8 funktionierte nicht, weil der ASUS-Router den Traffic, der an die 8.8.8.8 gerichtet war, nicht ins VPN routet. Die Firewall des ASUS-Routers habe ich zuvor abgeschaltet.

Mit einem MikroTik-Router (MikroTik hEX) habe ich es gerade ebenfalls getestet, funktionierte mit entsprechender Konfiguration wie gewünscht und völlig problemlos.

 

[Bob.Dig]

Also das ist ein Missverständnis.

Hab mich auf @Raijin bezogen, der sich möglicherweise auf dich bezogen hat? 😉

 

[Raijin]

Soweit ich weiß gibt es aber gar keine VPN-Funktion im Asus im AP-Modus. Ich lasse mich aber gerne eines besseren belehren. Wenn ich aber richtig liege, dann bringt auch ein selektives VPN je Client im Asus nichts, weil man dann eben auf den Routermodus und somit eine Routerkaskade angewiesen ist und den Asus nicht als AP einsetzen kann. Ergo zwei Netzwerke im Heimnetz und potentielle Zugriffsprobleme untereinander und alle sonstigen damit verbundenen Nachteile.


@W4RO_DE : Welches PI-Modell hast du denn bzw. welches willst du dir zulegen, wenn du noch keinen hast? Den PI als VPN-Gateway einzurichten ist easy und in Hunderten von Tutorials erklärt. Einzig die Leistungsfähigkeit des PI ist entscheidend. Für (Open)VPN sollte es min ein PI3 sein.

 

[W4RO_DE]

Kurz vorab: Habe alles nachgelesen, danke für eure Ausführungen. Die zwischendurch geschilderte Idee mit den zwei Netzwerken entspricht ja einem Gedanken von mir. Zwei WLANs zu haben, eines namens "VPN" und eines namens "Normal" zwischen denen man fließend am Endgerät wechseln kann finde ich durchaus attraktiv. Wenngleich ich einsehe, dass gleich zwei Netzwerke parallel und miteinander verbunden zu betreiben wohl Fehlerquellen birgt, die man sich nicht unbedingt zulegen will.

@Raijin Könnte mir den aktuellsten Pi 4 zulegen, das Geld ist mir bei dem Projekt zweitrangig. Hauptsache es funktioniert beziehungsweise ist durch mich als Laie machbar. Wenn es irgendeinen teuren Semiprofi-Router gäbe, der alles kann, sodass ich mir das hantieren mit mehreren Geräten spare, würde ich auch einen solchen Router erwerben. Ich befürchte allerdings spätestens wenn das Ding auch noch die Festnetztelefonie stellen soll, hat der Markt nichts zu bieten.