VPN FRITZ!BOX Wireguard Sicherheit?

[Der_Picknicker]

Hi zusammen,

ich habe meine FRITZ!Box jetzt auf 7.50 aktualisiert. Da bietet sich ja die Nutzung von Wireguard an, um auf das eigene Netz zuzugreifen. Jetzt möchte ich aber ungerne, dass dies in irgendeiner Weise ein Sicherheitsrisiko darstellt.
Daher ergeben sich folgende Fragen:

• Ist es möglich mit der FRITZ!Box die Verbindung via VPN so einzuschränken, dass nur bestimmte Geräte erreichbar sind?
• Wie sicher ist VPN im Vergleich zu Portforwarding?
• Welche best Practise sollte man einhalten?

Ich möchte folgendes erreichen:

• Homeasistant außerhalb zugänglich machen —> Vorher habe ich dies mit PortForwarding und ReverseProxy gemacht (DuckDNS)
• Synology nas ohne QuickConnect (letzteres ist ziemlich langsam…)

Vielen Dank.

 

[_anonymous0815_]

Wie sicher ist VPN im Vergleich zu Portforwarding?

Das eine ist eine abgeschirmte Leitung und das andere ein riesengroßes Einfalltor.

• Homeasistant außerhalb zugänglich machen —> Vorher habe ich dies mit PortForwarding und ReverseProxy gemacht (DuckDNS)
• Synology nas ohne QuickConnect (letzteres ist ziemlich langsam…)

Beides problemlos möglich.

Ergänzung (18. Februar 2023)

Ist es möglich mit der FRITZ!Box die Verbindung via VPN so einzuschränken, dass nur bestimmte Geräte erreichbar sind?

Ist halt anders bei einem Portforwarding und eher nicht nötig, außer Du hast Hochsicherheitsanwendungen laufen.

Ergänzung (18. Februar 2023)

Wie gesagt, Wireguard ist eine abgeschirmte Leitung, mit aktuellen Verschlüsselungsverfahren und solange niemand den Private Key bekommt, kann definitiv keiner auf diese Leitung zugreifen.

Ergänzung (18. Februar 2023)

• Welche best Practise sollte man einhalten?

Nicht den private Key sharen

 

[DFFVB]

Portforwarding ist deutlich unsicherer als VPN, ich meine den Zugriff auf nur bestimmte Geräte kann du im Client einstellen, würde der kompromittiert wäre natürlich Grütze

 

[Der_Picknicker]

Danke vielmals - die privaten Keys erzeugt Wireguard selbst, richtig? Weil wäre ja dumm den vom Nutzer erstellen zu lassen, ist ja nur ein Sicherheitsrisiko mehr.

Detailfrage: Kann ich nur bestimmten Traffic durchs VPN leiten, also wenn ich auf die FRITZ!Box zugreifen will, auf mein Nas und Homeassistant geht das durchs VPN und alles weitere (Mail, WhatsApp und co) läuft über die mobile 5G Verbindung?

Ergänzung (18. Februar 2023)

Noch eine Frage:
Sollte man den DynDns Dienst der FRITZ!Box deaktivieren, wenn man die MyFRITZ! App nutzen will, dies ginge doch auch übers VPN. Wozu das noch aktiv lassen?

Letzte Frage:

Ist VPN auch sicherer als der Synology Relay Dienst QuickConnect?

 

[alturismo]

Detailfrage: Kann ich nur bestimmten Traffic durchs VPN leiten, also wenn ich auf die FRITZ!Box zugreifen will, auf mein Nas und Homeassistant geht das durchs VPN und alles weitere (Mail, WhatsApp und co) läuft über die mobile 5G Verbindung?

nennt sich split tunneling, aber wenn ich sehe was du frägst, lies dich doch vielleicht mal grundsätzlich zu den Themen ein und notiere Dir wo du hängst ... hilft auch für die grundsätzliche Einrichtung ...

deinen Reverse Proxy (welchen auch immer) hättest du ja auch absichern können, geoblock, f2b, 2fa, ...

 

[_anonymous0815_]

Danke vielmals - die privaten Keys erzeugt Wireguard selbst, richtig? Weil wäre ja dumm den vom Nutzer erstellen zu lassen, ist ja nur ein Sicherheitsrisiko mehr.

Die Fritz!Box generiert je nach ausgewähltem Endgerät eine Config (z.B. für den Laptop) oder einen QR-Code mit der Config zum scannen für das Smartphone.

Ergänzung (18. Februar 2023)

Detailfrage: Kann ich nur bestimmten Traffic durchs VPN leiten, also wenn ich auf die FRITZ!Box zugreifen will, auf mein Nas und Homeassistant geht das durchs VPN und alles weitere (Mail, WhatsApp und co) läuft über die mobile 5G Verbindung?

Man kann gewisse Apps durch den Tunnel routen und andere ausschließen.
Upsi, das war der Android OpenVPN Client vonArne Schwabe.

 

[DFFVB]

Du erzeugst die Conf auf der FB und spielst diese dann (via QR Code) auf das Telefon, ja Du kannst einstellen, dass nur der entsprechende Traffic über VPN geht, ich meine Du musst Du dann 0.0.0.0/1 ausklammern, und nur den die entsprechenden IPs eintragen, bzw. Das Subnetz der FB. Raijin hat das kürzlich schön beschrieben. Die Frage nach dem DynDNS der FB überrascht etwas, wie soll Dein Telefon denn sonst die FB finden? Oder hast Du ne feste IP? Und ob Wireguard sicherer als QuickConnect ist, kann Dir keiner beantworten. Bei Quick Connect vertraust Du halt Synology und deren Implementierung. Theoretisch ist es sicherer weil UDP Hole punching, also gar keine Port Freigabe, Wirgeuard ja 1194 wenn ich mich recht erinnere. Andererseits, wenn Synology einen Bug hat, kann das halt auch ein Risiko sein. Ich persönlich nutze QC deswegen nicht…

 

[Der_Picknicker]

deinen Reverse Proxy (welchen auch immer) hättest du ja auch absichern können, geoblock, f2b, 2fa, ...

Habe ich aktuell nicht mehr am laufen - ich hatte den mit 2FA abgesichert. Also blöd bin ich nicht

@_anonymous0815_

Danke, mit den Apps das finde ich sehr elegant. Hast du da mal einen Screenshot? Ich finde dazu recht wenig.
Nutze iOS, da geht das bestimmt wieder nicht..
@DFFVB ..
Dann habe ich da etwas missverstanden - also bei der Einrichtung von Wireguard wird die DynDns von Fritz als endpoint hinterlegt, alles klar. Dann weiß ich jetzt grob Bescheid und teste das mal. Hast du einen Link zu der Anleitung von der du sprichst?

Dann kann ich das mal testen.

 

[_anonymous0815_]

Danke, mit den Apps das finde ich sehr elegant. Hast du da mal einen Screenshot? Ich finde dazu recht wenig.
Nutze iOS, da geht das bestimmt wieder nicht..

Hab mich da leider geirrt, das was ich meine, trifft auf einen OpenVPN Client für Android zu. Sorry

 

[DFFVB]

https://www.computerbase.de/forum/t...ic-durch-den-vpn-tunnel.2130022/post-27876076 ich meine das war hier der thread

 

[alturismo]

Habe ich aktuell nicht mehr am laufen - ich hatte den mit 2FA abgesichert. Also blöd bin ich nicht

ja wunderbar, und das hatte ich damit auch nicht unterstellt ...

Auch mal ein Nachteil der WG Solution, öffentliche wlan's, Firmenlan's, wlan's, ... da wird dies dann meistens nicht funktionieren weil der entsprechende Port nicht verfügbar ist, während 80/443 in der Regel immer geht.

Nur als Anmerkung

und wenn das dann auch passt, dann ist ein VPN sicherlich die "sicherste" Lösung wenn Bedarf

 

[_anonymous0815_]

So sähe das dort aus.

 

[Der_Picknicker]

ja wunderbar, und das hatte ich damit auch nicht unterstellt ...

Alles gut war auch eher ein Scherz .. Private Handys sind eh nicht im Firmennetzwerk.

Ergänzung (18. Februar 2023)

So sähe das dort aus.

Danke, das geht unter iOS leider nicht. Aber wohl mit Allowed IPs sollte das gehen.

 

[kieleich]

Danke vielmals - die privaten Keys erzeugt Wireguard selbst, richtig?

Normalerweise generiert man diese mit 'wg genkey' also dem offiziellen Tool von Wire Guard für Key Generierung. Ob das die Fritz genauso macht?

'wg genkey' holt sich die Zufallsdaten für den Key dann vom /dev/random Device.

Auf Embedded Geräten kann es da manchmal Probleme mit zu wenig Entropie geben. Aber es ist ja anzunehmen das AVM dieses für die eigenen Geräte gelöst hat. Internet Leitung und Wifi Radio sind gute Entropie Quellen sofern sie genutzt werden.

Wireguard mit richtigen Keys ist sicher, unsicher kanns nur werden wenn man damit schlampt, schlecht erzeugt oder irgendwie sonst geleaked

Unsicher ist dann wieder je nach dem was sich ins Wireguard einwählt. Wireguard auf dem vServer? Wer den vServer hackt hat auf einmal zu Griff aufs Heim Netzwerk auch wenn Wireguard seitens des Admins nur für SSH gedacht war.

Wireguard macht eben nicht nur eine isolierte Verbindung oder service sondern Netzwerk Komplett. Wie du das absicherst ist dann dein Bier also theroetisch braucth jeder Wireguard Peer auch noch ne Firewall das nur das gewünschte über Wireguard laufen kann

Sicherheit ist wie immer komplex und kommt aufs Gesamt Bild darauf an

 

[john.smiles]

Detailfrage: Kann ich nur bestimmten Traffic durchs VPN leiten, also wenn ich auf die FRITZ!Box zugreifen will, auf mein Nas und Homeassistant geht das durchs VPN und alles weitere (Mail, WhatsApp und co) läuft über die mobile 5G Verbindung?

Das würde nur Sinn machen, wenn dein Internet zuhause unterirdisch langsam wäre und deine gefühlte Geschwindigkeit leitet. Ansonsten lass alles über das VPN laufen, ob die Daten übers VPN (und dieses über 5G) laufen oder über unverschlüsselt über 5G ändert nichts daran, das der Verkehr stattfindet und dir berechnet wird.

Anderer Fall WLAN: bei einem nicht 100% vertrauenswürdigen solltest du immer das VPN nutzen.

Und es gibt noch einen Bonus, wenn du im Heimnetz ein Pihole hast, dann läuft der Traffic des Handy auch immer da durch und wird gefiltert.

 

[Der_Picknicker]

Das würde nur Sinn machen, wenn dein Internet zuhause unterirdisch langsam wäre und deine gefühlte Geschwindigkeit leitet. Ansonsten lass alles über das VPN laufen, ob die Daten übers VPN (und dieses über 5G) laufen oder über unverschlüsselt über 5G ändert nichts daran, das der Verkehr stattfindet und dir berechnet wird.

Das sehe ich etwas anders - oder klärt mich auf.
Ich habe hier mehrere Geräte mit 5G und unlimited Flat. Zuhause jedoch nur 50down/10up. Dann müsste sich doch meine Surfgeschwindigkeit auf 10mbit reduzieren, wobei ich bei 5G im Schnitt so 150-550mbit habe. Ich lade auch viel unterwegs herunter, das müsste man doch merken, oder nicht?

 

[DFFVB]

@john.smiles äh das ergibt doch wenig Sinn alles darüber laufen zu lassen, denn sein Upload wird nie schneller als 5G sein....

Ergänzung (18. Februar 2023)

das müsste man doch merken

Das merkt man, manche machen das um von pihole zu profitieren, allerdings gibt's da unter ios und Android lokale Lösungen für

 

[Limmbo]

Habe gerade selbst erst WireGuard auf der FRITZ!Box und meinem iPhone aktiviert um auf meine Smarthome auch von unterwegs zugreifen zu können. In der WireGuard App selbst kann man unter den zulässigen IPs die 0.0.0.0/0 raus löschen, dann sollte nur die daten vom Netzwerk über den VPN gehen.

Korrigiert mich gerne, wenn ich falsch liege.

 

[AGB-Leser]

Ich verstehe den TE schon. Alles von Zuhause über VPN, der Rest normal. Aber mir fällt auf Anhieb keine Lösung unter iOS ein.

 

[Der_Picknicker]

Ich teste das jetzt mal und halte euch aufm laufenden. Ich ändere jetzt erstmal alle FRITZ!Box Passwörter, MyFRITZ! Zugänge, um ein Angriffsziel zu vermeiden.

—> so werde ich’s machen :

https://www.reddit.com/r/WireGuard/...&utm_medium=ios_app&utm_name=iossmf&context=3