Diskussion zu Portweiterleitungen

[lobomau]

@meister-mopper ich hatte z.b. für vis und admin die ports 8081 und 8082 offen gehabt.

[BananaJoe]

@lobomau und wie hast du diese mit dem Proxy geschlossen? Offen gehabt = nach draußen ins Internet?

[lobomau]

@bananajoe ja, genau. Nochmal gut gegangen.
Nun sind im Router nur noch drei ports offen: die zwei für nginx und einer für VPN.

[David G.]

Mal eine doofe Frage,

wenn ich den Proxy ohne Passwort erstelle (Wie im Video für Owncloud), kann ich mir den doch ganz sparen oder?

[Segway]

@lobomau
Eine VPN kann man erstellen OHNE irgendwelche Ports öffnen zu müssen.
99,9999% der YT Videos sind eh für sowas S C H R O T T
Sorry meine persönliche Meinung

[frana120500]

@segway und wie?

[lobomau]

@david-g die gleiche Frage habe ich mir auch schon gestellt. Macht wohl scheinbar einen Unterschied, aber verstehen tue ich es nicht.

[Segway]

@lobomau
VPN via L2TP oder OpenVPN und falls erforderlich DynDNS. Richtig konfiguriert ist da gar kein Port aufzumachen sondern nur den Port in der VPN entsprechend in der Firewall weiterzuleiten
Das ist zB ein Beispiel wie es aussehen könnte. Kann aber je nach Environment völlig anders aussehen.

[BananaJoe]

@lobomau aber wenn du diese Ports einfach nur über den Proxy leitest, ist die Situation doch die gleiche wie zuvor?
Ist deine ioBroker Installation von Außen über eine Portweiterleitung über den Proxy erreichbar? Nutzt du Authentifizierung (Benutzername + Passwort)?

[OliverIO]

@segway sagte in Diskussion zu Portweiterleitungen:

@lobomau
VPN via L2TP oder OpenVPN und falls erforderlich DynDNS. Richtig konfiguriert ist da gar kein Port aufzumachen sondern nur den Port in der VPN entsprechend in der Firewall weiterzuleiten
Das ist zB ein Beispiel wie es aussehen könnte. Kann aber je nach Environment völlig anders aussehen.

woher weiß dann openvpn das da eine verbindung aufgebaut werden soll, wen kein port offen ist?

wenn man keinen (Eingangs)-Port offen haben möchte, dann hilft nur eine Verbindung von innen nach außen.
Das ist das was das Cloud-Angebot von iobroker macht. iobroker hält kontinuierlich die Verbindung zum iobroker-Server.

Client = Dein Endgerät im öffentlichen Internet
public iobroker = Service der von iobroker zur Verfügung gestellt wird und kostenpflichtig ist
lokal iobroker = deine iobroker Installation zu Hause

Bei start von lokal iobroker nimmt dieser Kontakt mit public iobroker auf und sagt Bescheid das er bereit ist und hält dann kontinuierlich die Verbindung.
Wenn Client nun verbinden möchte dann geschieht das über den public iobroker. Dieser sagt dann über die bestehende Verbindung Bescheid und leitet die ganzen Daten darüber weiter.

So geht das ohne offenen (Eingangs) Port.

Ob OpenVPN oder Wireguard ebenso konfigurierbar ist weiß ich nicht, aber dann benötigt man sowieso noch einen Provider, der einem den Public server zur verfügung stellt.
Wie an anderer Stelle schon gesagt, OpenVPN/wireguard ist Software die dafür gedacht ist offen im Internet zu stehen, daher schauen da genügend Leute drauf um evtl auftauchende Probleme schnell zu beheben

iobroker ist erst einmal nicht geeignet offen im Internet zu stehen, da es zu viel Angriffsfläche bietet um nagegriffen zu werden.

[Thomas Braun]

@oliverio sagte in Diskussion zu Portweiterleitungen:

Ob OpenVPN oder Wireguard ebenso konfigurierbar ist weiß ich nicht, aber dann benötigt man sowieso noch einen Provider, der einem den Public server zur verfügung stellt.

Richtig, tailscale ist z. B. solch ein Provider. Das ganze setzt dann auf wireguard auf.

[lobomau]

@bananajoe ich würde sagen es ist jetzt etwas besser als vorher. So sieht es aus:

Mit fiktiven Adressen:
Für vis: https://vis.duckdns.org
Für admin: https://admin.duckdns.org

Jeweils kommt man zuerst an eine login Seite von nginx mit user/passwort. Danach wird man weitergeleitet an die jeweilige login-Seite von vis oder admin, wiederum mit user/passwort.

Innerhalb von nginx sind die ports 8081 und 8082 für admin und vis konfiguriert. Vorher waren diese beiden ports offen nach außen in der firewallregel.
Desweiteren klappt es nun bei mir endlich mit der sicheren Verbindung mit lets encrypt.

[frana120500]

@segway mmmh, kapier ich nicht, aber klingt irgendwie nicht ganz schlüssig. Wenn ich keinen Port aufmache, ist beim Verkehr von außen nach innen spätestens am Router Feierabend... Da ist OpenVPN noch nichtmal im Spiel an dem Punkt.

Kannst du das mal praxisnäher ausführen wie du das anstellst?

[da_Woody]

@lobomau 2x login? naja...
da lob ich mir meinen synology router, da hab ich einen eigenen VPN server. einmal einloggen, aufs komplette LAN zugreifen...

[Segway]

@frana120500
Ich bin kein Netzwerkspezialist aber:

• von ausserhalb VPN aufmachen
• Anfrage landet genau auf meiner Soft- oder Hardwarefirewall (Router / OPNsense)
• Anfrage wird zB bei OpenVPN per UDP port durch eine Regel an den OpenVPN Server weitergeleitet
• handshake ja/nein
• Verbindung erfolgreich dann ist der PC / Handy Teilnehmer meines eigenen Netzwerkes mittels der gesicherten VPN Verbindung

Da ist nirgends ein Port auf. Auch habe ich mal einen Portsniffer bei mir aktiv gehabt von ausserhalb aber da kam nix durch. Ergo kam ich zum obigen Schluss.

[Dr. Bakterius]

@segway sagte in Diskussion zu Portweiterleitungen:

Da ist nirgends ein Port auf.

Doch, sonst könntest du von außen keine VPN-Verbindung aufbauen. Je nach Protokoll kommen folgende Standardports zur Verwendung:

• OpenVPN bzw. SSL VPN UDP 1194.
• IPSec UDP 500 und 4500
• L2TP UDP 1701
• Windows VPN-Server TCP 1723
• WireGuard UDP 51820

Natürlich kann man auch von diesen Standards abweichen.

Wenn der Router einen VPN-Dienst anbietet, kümmert er sich in der Regel auch gleich um die richtigen Portweiterleitungen. Und Porttests aus dem Netz prüfen oft nur wenige Standardports. Da muss man dann explizit die gewünschten Ports angeben um auch solche zu überprüfen.

Wenn man VPN verwendet, macht ein zusätzlicher Proxy eigentlich wenig Sinn. Aber jeder wie er mag...

[OliverIO]

@segway

Oh je
Mit diesem Wissen vergisst man halt doch etwas und dann steht was offen oder ist falsch konfiguriert.
Gell upnp ist ne tolle Sache
Toi toi toi

[hydrotec]

@segway

Hallo Dirk,

wenn du Besitzer einer Fritzbox, mit aktueller Firmeware, bist, kannst du ganz schnell überprüfen welche Ports offen sind.
fritz.box -> Diagnose -> Sicherheit

Gruß, Karsten

[Feuersturm]

Ein aktuelles Beispiel was man sich mit offenen Ports schönes zum Osterfest einfangen kann
https://www.heise.de/news/Smart-Home-Uebernahme-durch-kritische-Sicherheitsluecke-in-RaspberryMatic-moeglich-6659606.html

[Thomas Braun]

@feuersturm Und auch wie wichtig es ist sein System in allen Ecken aktuell zu halten.