ZeroTier auf Raspberry installieren ( Anleitung)

[vocaris]

Hallo. Ich möchte gerne von außen auf meine Kameras im Ferienhaus zugreifen. Da die Internetverbindung dort mit einer Mobilfunkkarte erzeugt und ich somit keine öffentlich IP habe, ist der Zugriff nicht so einfach möglich.
Eine Möglichkeit besteht, wenn ich in dem besagten Netzwerk durch eine Gerät eine Verbindung zu einem Server aufbaue, der diesen Service übernimmt. Bei meiner Recherche bin ich auf ZeroTier gestoßen. Ich würde das gerne einmal probieren und würde dafür gerne eine Raspi 4B nutzen, den ich noch hier habe.
Hat jemand zu diesem Projekt eine Schritt für Schritt Anleitung oder einen Link zu einem Tutorial? Habe schon gesucht aber dafür nichts gefunden.
Danke vorab.

 

[madmax2010]

https://www.zerotier.com/download/

hier findest du die Installationsanleitung
da dienutzung
https://docs.zerotier.com/start

oder halt einfach wireguard nutzen.
Ist sehr simpel wenn du eine Fritzbox hast

 

[mkayhh]

Hallo,

ich kann dir das kostenlose WireGuard empfehlen, damit kannst du auch deinen Client ansteuern, auch wenn der keine öffentliche IP hat. Als Bonus ist der Zugang noch verschlüsselt.

WireGuard ist einfach zu installieren und du kannst dir das schrittweise z.B. über ChatGPT oder Google Gemini erklären lassen.

 

[kartoffelpü]

Installier dir Raspberry Pi OS und danach Zerotier
https://www.raspberrypi.com/software/
https://fleetstack.io/blog/install-zerotier-on-raspberry-pi-guide

 

[vocaris]

Hallo,

ich kann dir das kostenlose WireGuard empfehlen, damit kannst du auch deinen Client ansteuern, auch wenn der keine öffentliche IP hat. Als Bonus ist der Zugang noch verschlüsselt.

WireGuard ist einfach zu installieren und du kannst dir das schrittweise z.B. über ChatGPT oder Google Gemini erklären lassen.

Ich nutze WG zu Hause und habe es auf meine Asus Router eingestellt. Ich wüsste jetzt nicht, wie ich das dort für meine Zwecke installieren sollte. Muss das dann auch auf einen PI? Und mit welchem externen Server verbindet er sich dann? Ich möchte ja am Ende in meine Kamera App eine IP eingeben, die mich zu den Kameras führt.

 

[madmax2010]

Muss das dann auch auf einen PI

ja
du verbindest dich einfach mit dem gleichen peer wie sonst auch. In dem Fall vermutlich deinem Asus router

 

[vocaris]

@madmax2010 Ok. Sorry. Habe dafür wohl zu wenig Ahnung. Du meinst bestimmt, dass sich der WG auf dem PI am Router mit der Mobilfunkverbindung dann mit dem WG Server auf meinem Router verbindet und ich dann zu Hause auf dein Gerät zugreifen kann?
Ich brauche das für unterwegs. Also nicht zu Hause. Ich möchte also z.B. von überall mit meinem Handy auf die Netzwerk-Umgebung des Mobilfunk Routers

 

[madmax2010]

mal mal bitteein schaubild, welche router du wo hast, weilche kameras and was wiewomit verbunden sein soll

 

[vocaris]

In meinem Ferienhaus gibt es einen Archer Router in dem eine SimonMobil Karte ist. In diesem Netzwerk gibt es einige Geräte. U.a. auch Kameras. Da Mobilverbindungen (normale keine Business Tarife etc.) keine öffentliche IP haben sondern per CGNAT verteilt werden, kann ich nicht mittels DDNS o.ä. au die Netzwerkstruktur zugreifen. Dafür muss ich eine Dienst wie ZeroTier nutzen, so sich ein Geräte (z.B. Pi) über das Mobilnetz auf dem Zero Tier Server anmeldet und mit diesem dann einen Tunnele aufbaut und alle Netzwerkgeräte an diesen meldet. Dieser Server gibt mir dann einen IP Adressbereich, denn ich von überall in der Welt ansprechen kann. Somit kann ich dann mit einer "ZeroTier" IP über dessen Server auf das gesamte Netzwerk im Ferienhaus zugriefen. Das ist das Ziel.

 

[vocaris]

So ein Zwischenstand.
Ich habe soweit alles hinbekommen. Da ich aktuell nicht im Ferienhaus bin, musste ich den PI hier in meinem Netzwerk konfigurieren. Ich glaube aber, dass das keinen Unterscheid macht. Wenn ich ihn in das dortig Netzwerk einbinde bekommt er zwar eine andere lokale IP. Aber das sollte irrelevant sein. Ich muss auf dem ZT Server nur kontrollieren, ob die Tier IP des Pi die gleiche ist, denn diese IP ist das Gateway für die Routingtabelle.
Bei mir läuft es auf jeden Fall. Ich komme mit dem Handy und der ZT App dann auf alle Geräte in meinem ZuHause Netzwerk.
Jetzt ist noch die Frage der Sicherheit. Wie sind die Daten vom Ferienhaus über den ZT Server zum Empfänger gesichert bzw. verschlüsselt? Und was müsste man dafür tun.
und dann noch eine ergänzende Frage.

Ich habe zu Hause einen Asus Router. Der kann VPN Clients und Server einrichten. Kann man hier im Client Bereich den Zugang zum ZT Server konfiguriere? Dann könnte ich von definierten Geräten in meinem heimischen Netzwerk direkt auf die Geräte im Ferienhaus zugreifen.

 

[redjack1000]

Wie sind die Daten vom Ferienhaus über den ZT Server zum Empfänger gesichert bzw. verschlüsselt?

Dann hier mal ein paar Details ->

Spoiler: Zerotier

Jegliche Peer-to-Peer-Kommunikation ist bei ZeroTier Ende-zu-Ende-verschlüsselt. Dafür kommt der symmetrische Algorithmus Salsa-20 mit 256 Bit zum Einsatz. Forward Secrecy ist noch nicht implementiert. Für die Message Authentication verwendet ZeroTier Poly1305, für die Public-Key-Verschlüsselung Curve25519/Ed25519, also Kryptografie auf elliptischen Kurven. Für das Schlüsselmanagement ist der Controller zuständig.
Die Schlüssel können auch auf eigenen Systemen liegen. Für das Management ermöglicht der Cloud-Controller der ZeroTier Inc. eine Zwei-Faktor-Authentifizierung mittels TOTP (Time-based One-time Password). Auf der Roadmap stehen der Support für Hardware Security Modules (HSM), OpenID sowie SAML.

Quelle: https://www.heise.de/ratgeber/Netzw...egliche Peer-to-Peer-,mit 256 Bit zum Einsatz.


Cu
redjack

 

[vocaris]

Dann hier mal ein paar Details ->

Spoiler: Zerotier

Jegliche Peer-to-Peer-Kommunikation ist bei ZeroTier Ende-zu-Ende-verschlüsselt. Dafür kommt der symmetrische Algorithmus Salsa-20 mit 256 Bit zum Einsatz. Forward Secrecy ist noch nicht implementiert. Für die Message Authentication verwendet ZeroTier Poly1305, für die Public-Key-Verschlüsselung Curve25519/Ed25519, also Kryptografie auf elliptischen Kurven. Für das Schlüsselmanagement ist der Controller zuständig.
Die Schlüssel können auch auf eigenen Systemen liegen. Für das Management ermöglicht der Cloud-Controller der ZeroTier Inc. eine Zwei-Faktor-Authentifizierung mittels TOTP (Time-based One-time Password). Auf der Roadmap stehen der Support für Hardware Security Modules (HSM), OpenID sowie SAML.

Quelle: https://www.heise.de/ratgeber/Netzwerk-Hypervisor-ZeroTier-im-Ueberblick-7330748.html#:~:text=Jegliche Peer-to-Peer-,mit 256 Bit zum Einsatz.


Cu
redjack

Ok also ein End2End Verschlüsselung. Das sollte reichen ,oder? Wenn ich jetzt noch einen VPN konfiguriere wird der ganze Datenverkehr sicherlich noch langsamer.

 

[redjack1000]

Wenn ich jetzt noch einen VPN konfiguriere wird der ganze Datenverkehr sicherlich noch langsamer.

Das kann sein.

Cu
redjack

 

[vocaris]

Ich möchte mein Thema nochmal aufnehmen. Ich habe zwar ZT erfolgreich auf einem PI installiert und auch eine Verbindung mit dem ZT Server hergestellt etc. Aber aktuell ist irgendwas schief. Die Seiten der entfernten Geräte bauen sich total langsam auf und bei Pings sehe ich Abbrüche.
@madmax2010 Ich möchte nochmal auf deinen WG Vorschlag zurückkommen und möchte es verstehen.
Im Ziel wäre ich natürlich froh, wenn das per WG gehen würde, aber ich bezweifele das.
Deshalb nochmal kurz zum Verständnis:
Mein entferntes Netzwerk, auf dessen Geräte ich von Außen zugreifen möchte, hat eine LTE Mobil Verbindung. Ergo habe ich dort keine öffentliche IP (Mobilnetz) und kann nicht via IPv4 oder DDNS bis auf Geräteebene zugreifen, dank CGNAT der ISP.
Wenn ich das richtige verstehe soll auf den entfernten Netzwerk ein PI als WG Server fungieren. Das ließe sich ja mit Anleitung irgendwie bewerkstelligen. ABER.. Die Clientes Notebook und Smartphone müssen in Ihrer Konfig ja eine Ziel hinterlegt haben, wo sie "anklopfen" können. Das ist eine öffentliche IP oder eien DDNS Eintrag zu einer öffentlichen IP. Das der WG Server ja nun hinter einem CGNAT liegt, wie soll ich im WG Client denn das Ziel eintragen? Da hänge ich aktuell. Ich meine das geht nicht. In meinem Kopf muss das entfernte Netzwerk einen Permanentverbindung mit Ziel haben, wo auch die Clients zugreifen und darüber verbinden die sich. Oder liege ich falsch? Genau das möchte ich lösen.