Zusätzliche Sicherung Ports Fritzbox / Proxmox / Wireguard

[xastel]

Hallo zusammen,

ich bin über die Portfreigabe in meiner 7590 ein wenig unsicher. Ich habe folgendes Setup: Fritzbox 7590, Proxmox und auf dem Proxmox löuft im docker der Wireguard. Die Einrichtung ertc. klappt wunderbar. Nur bin ich bei dem Punkt, dass ich den Standard-UDP-Port für WireGuard in meiner Fritzbox aktivieren muss. Wenn ich das soweit mache, klappt auch der Zuggriff via VPN durch meinen Testclient.

Nun stellt sich mir die Frage, ob ich irgendwie zusätzlich den "offenen" UDP Port in der FritzBox durch eine Firewallregel o.Ä. sichern muss, damit dieser durch meine myfritz.net id nicht einfach so getriggert werden kann und hier eine offene Flanke entsteht.

Oder regelt das die interne Fritzbox Firewall das komplett alleine, dass nur der berechtigte Dienst, in meinem Fall Wireguard, den offenen Port bekommt und die Verschlüsselungstechnologie von Wireguard den Schutz bietet?


Viele Grüße

 

[H3llF15H]

Moin!

Wireguard pauschal auf die FritzBox legen - dafür wurde der Dienst implementiert

 

[xastel]

Danke, aber wenn ich das direkt auf dem Proxmox betreibe, ist die Verbindung doch schneller, da die FB weniger Ressourcen hierfür hat....

 

[DonConto]

Die Fritzbox macht hier nix was irgendwie die Sicherheit erhöhen würde. Sie leitet einfach das passende eingehende UDP Paket an die Applikation (in dem Fall Wireguard) in deinem Docker Container weiter. Es ist dann Sache der Applikation, wie sie das Paket verarbeitet. Sprich, du musst der Applikation bzw der Software vertrauen - oder anders gesagt dem Entwickler, dass er weiß, was er da tut. Im Fall von Wireguard würde ich aber einfach mal davon ausgehen :-)

Ergänzung (31. Oktober 2023)

Danke, aber wenn ich das direkt auf dem Proxmox betreibe, ist die Verbindung doch schneller, da die FB weniger Ressourcen hierfür hat....

Das stimmt natürlich. Wireguard benötigt aber recht wenig Ressourcen. Je nach Anbindung kann es also sein, dass du die Bandbreite komplett nutzen kannst (anders als früher mit IPSec, was grausam langsam war).

 

[H3llF15H]

Danke, aber wenn ich das direkt auf dem Proxmox betreibe, ist die Verbindung doch schneller, da die FB weniger Ressourcen hierfür hat....

Die gleichen Gedanken hatte ich auch, da ich viel über VPN mache. Zu meiner Verwunderung musste ich keine Leistungseinbußen feststellen.

Probier es einfach mal aus.

 

[wahli]

Ist VPN (Wireguard) auf der Fritzbox 7530 (die alte und nicht die AX Version) ebenfalls schnell? Die hat ja nochmals einen deutlich langsameren Prozessor als die 7590.

Aktuell habe ich VPN über meinen Homeserver/Proxmox laufen. Mir wäre es aber auf der Fritzbox fast lieber.

Edit:
Gerade lese ich im Internet, dass eine 7530 mit ARM-Prozessor schneller als eine 7590 mit MIPS sein soll. Ich kann das irgendwie nicht glauben.
Edit 2: Hier ist ein Youtube-Video --> klick und die 7530 sieht da ziemlich gut aus, aber alle 75xxer Fritzboxen lasten die DSL-Leitung komplett aus. Somit kann man bedenkenlos VPN über die Fritzbox laufen lassen.

 

[H3llF15H]

Die hat ja nochmals einen deutlich langsameren Prozessor als die 7590.

Wo kann man sowas vergleichen / einsehen? Bei mir läuft´s auf einer 6660 Cable.

 

[xastel]

d.h. Euerer Meinung nach gibt es keinen wirklichen Geschwindigkeitsvorteil bei self hosted?

 

[DFFVB]

Wenn Du den Port aufmachst, ist er offen. Fraglich ob der myfritz auch angesprochen wird, wenn Du einen forward aktiv hast, ggf ja, aber da muss man wohl AVM vertrauen....

Ergänzung (31. Oktober 2023)

d.h. Euerer Meinung nach gibt es keinen wirklichen Geschwindigkeitsvorteil bei self hosted?

Versuchs macht kluch.... wie wieter oben steht, MIPS CPUs sind hier klar im Nachteil weswegen self hosted schneller sien dürfte. Musste aber halt teste.... kommt auch auf dne Upload an den Du hast

 

[wahli]

@xastel
Du hast keinerlei Performancenachteile über die Fritzbox --> Youtube-Video

 

[Bob.Dig]

WireGuard ist sicher, eine zusätzliche Absicherung ist nicht nötig und zuallermeist auch nicht möglich, zumindest für Otto Normal, weil die Endpoints i.d.R. unterschiedliche IP-Adressen haben.

 

[xastel]

alles klar - danke Euch für den regen Ausausch!