debian: webserver nur intern erreichbar machen

[Pfandfinder]

ich habe wie von Sempervideo erklärt einen OpenVPN Server eingerichtet mit pihole:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

die pihole Admin Oberfläche ist aber einfach mit http://IP/admin/ erreichbar. ich hätte das gerne aber so, dass ich nur auf den Webserver zugreifen kann, wenn ich mit VPN mit dem Server verbunden bin. daher habe ich mit ufw diese Regeln angelegt. aber jetzt komme ich auf gar keine Seite, wenn ich per VPN verbunden bin.

bin kein Netzwerkprofi, daher bitte einfach erklären was zu tun ist

 

[madmax2010]

wenn du dir im VPN alles was auf port 80 und 448 unterwegs ist blockst, gehen keine websites mehr. das ist richtig.


Wo hast du denn pihole installiert?

 

[Pfandfinder]

wenn du dir im VPN alles was auf port 80 und 448 unterwegs ist blockst, gehen keine websites mehr. das ist richtig.

Aber in Regel 1 erlaube ich doch alles was mit der Server IP passiert? wenn eine Regel zutrifft werden die folgenden doch ignoriert oder nicht ?

Wo hast du denn pihole installiert?

auf dem selben server.

 

[madmax2010]

dont. du willst einen DNS Server nicht öffentlich erreichbar machen. Der wird schneller für reflection attacks missbraucht als du gucken kannst, wenn du nicht sehr genau aufpasst was du tust und dich sehr viel darum kümmerst.
Du müsstest von jedem gerät,welches ihn nutzen soll einen VPN tunnel aufbauem.

es ist auch billiger, das einfach zuhause hinzustellen.
der könnte schon reichen (512 mb ram will pihole haben)
https://www.friendlyarm.com/index.php?route=product/product&product_id=132

Der hier ist für Pihole + router + firewall + wlan AP großartig:
https://www.friendlyarm.com/index.php?route=product/product&path=69&product_id=248

 

[Pfandfinder]

nein der dns server ist ja nur verfügbar wenn man per VPN verbunden ist... und darum gehts ja nicht... ich möchte einfach den Webserver nur von innen erlauben, von außen blockieren. wie lauten die ufw Regeln dazu ?

 

[EDV-Leiter]

Wäre eine .htaccess auch ein gangbarer Weg?

 

[Raijin]

@madmax2010 du sprichst mir aus der Seele. Mit einem offen erreichbaren DNS ist nicht zu spaßen, ich sag nur DNS Amplification Attack. Um einen öffentlichen DNS zu betreiben, bedarf es KnowHow, das kein Forum oder Youtube-Video vermitteln kann.

Ergänzung (21. Januar 2021)

nein der dns server ist ja nur verfügbar wenn man per VPN verbunden ist...

Wie hast du das denn sichergestellt? Ich meine ganz konkret. Open DNS Resolver werden nämlich binnen kürzester Zeit von Bots gefunden und dann gnadenlos für besagte Attacken ausgenutzt. Die Folge ist eine Beschwerde des Opfers bei der Bundesnetzagentur mit anschließendem Brief an den Hoster des Servers - und dann bekommst du eine Warnung oder gar direkt die Kündigung des Servers.

und darum gehts ja nicht...

Muss es aber. Du willst den Webserver absichern, aber der DNS-Server ist das Gefährliche!

 

[0x8100]

wie ist der pihole/vpn-server am netz? zuhause hinter einem router mit nat? dann sind die dns/web-services sowieso nicht erreichbar solange kein portforwarding eingerichtet wurde. wenn der server direkt am netz hängt, dann einfach die services an ein interface binden, das nicht am internet hängt.

was keinen zugang zum netz hat, muss auch nicht durch eine firewall geblockt werden. mit ss -tulpen nachschauen, welcher service auf welchem interface lauscht. sowenig wie möglich auf 0.0.0.0 bzw. :: laufen lassen wenn der server direkt am netz ist.

 

[madmax2010]

Er läuft in der Google cloud. Würde anhand der IP fast sagen in Frankfurt.

Passt das grob @Pfandfinder?