Frage: Wie Win11-VM über Internet sicher aufrufbar machen? Betrieb über Proxmox

[Thakis]

Hallo zusammen,

ich betreibe daheim einen Proxmox-Server auf meinem Minisforum Nab6.
Gerne möchte ich, wenn ich unterwegs bin und nicht meinen privaten Laptop dabei habe sondern nur meinen Firmenrechner oder wenn ich nur am PC/Laptop von Freunden bin, auf meine private Umgebung zugreifen können.
Bspw. Mail-Client, Browser (eingeloggt) und weitere Apps.

Meine Überlegung ist nun, auf dem Proxmox-Server eine Windows 11-VM zu betreiben und dort meine Apps zu installieren und einzurichten.

Die Frage ist nun: Wie kann ich auf die VM sicher aus dem Internet zugreifen?
Eine direkte VPN-Verbindung ist aus meiner Sicht nicht möglich, da ich auf dem Firmenrechner keine eigenen VPN-Tunnel einrichten kann. Gleiches gilt möglicherweise bei Dritt-Rechnern von Freunden etc.

Eine Überlegung wäre, einen VPS zu buchen, mich dort per 2FA einzuloggen, von dort aus eine dauerhafte VPN-Verbindung zu meinem Server daheim aufzubauen und darüber auf die VM zuzugreifen.

• Macht das Sinn oder gibt es sinnvollere Alternativen?
• Falls ich das so umsetze, wie richtige ich es ein, dass ich relativ zügig auf die VM komme ohne duzende Klicks machen zu müssen, bis ich eingeloggt bin? Sprich, ich möchte mich gerne auf einer Login-Maske des VPS einloggen, mit 2FA den Login verifizieren und dann am liebsten schon mit einem weiteren Klick mich in meinem Windows einloggen ODER die VM starten, um mich anschließend in Windows einloggen zu können (präferiere zweiteres, damit ich die VM nicht durchgehend laufen lassen muss).

Über Feedback würde ich mich sehr freuen


Gruß
Thakis

 

[Pete11]

Du möchtest also Programme unter Win11 von unterwegs aus ausführen?
Am einfachsten geht das mit einer Fernwartungssoftware wie TeamViewer. Da die kostenlose Version von TeamViewer manchmal zickt, kannst Du auch HopToDesk, RustDesk oder Anydesk ausprobieren.

 

[Thakis]

@Pete11
Richtig, das möchte ich.
Ich hatte auch überlegt RustDesk bei mir selbst zu betreiben.
Würde das aber nicht folgendes bedeuten:
1. Ich müsste den RustDesk-Zugriff ins Internet hängen
2. Ich müsste dauerhaft die VM laufen lassen und dauerhaft eine Verbindung mit RuskDesk aufrecht halten. Oder wie kann ich eine Verbindung aufbauen, wenn ich unterwegs nur Zugriff auf RuskDesk habe, aber nicht unmittelbaren Zugriff auf die Win11-VM, um die Login Codes auszutauschen?

 

[riversource]

Ein VPN ist definitiv eine sinnvolle Lösung. Ich würde Windows Dienste auch nie direkt ins Internet hängen, auch keinen Teamviewer oder ähnliches.

Mit Hilfe deiner IT sollte es auch möglich sein, einen VPN Tunnel einzurichten. Ob man dafür dann einen VPS braucht, hängt von deinem Internetzugang zu Hause ab. Ggf. kann man auch direkt zugreifen.

 

[Pete11]

Oder wie kann ich eine Verbindung aufbauen, wenn ich unterwegs nur Zugriff auf RuskDesk habe, aber nicht unmittelbaren Zugriff auf die Win11-VM, um die Login Codes auszutauschen?

Du richtest RustDesk auf Deiner Win11-VM mit einem permanenten Zugriffspasswort ein. Damit kannst Du jederzeit auf diese Win11-VM zugreifen (solange die Win11-VM ins Internet kommt). Die Fernwartungsverbindungen sind selbst verschlüsselt, da braucht es keine weitere VPN-Installation.

 

[Thakis]

@riversource
Inwiefern hängt das von meinem Internetzugang zu Hause ab, wenn ich über VPN auf die VM zugreifen möchte, aber auf den Geräten unterwegs (bspw. Firmenlaptop) keinen VPN einrichten kann.

EDIT:
@Pete11
Danke für die Info.
Frage: Welche Möglichkeiten habe ich unterwegs Ruskdesk zu nutzen, wenn ich die Anwendung selbst nicht auf meinem Firmenrechner oder auf Geräte meiner Freunde installieren kann?

 

[mae1cum77]

Ich nutze Guacamole (mit TOTP-AddOn) hinter Traefik v2 (mit OAuth2) und Fail2Ban. Braucht ein Hosting, bei mir Docker, hat aber den Vorteil, daß es komplett per Browser läuft, also überall nutzbar ist wo ein Browser läuft. Kann auch SSH, direkt im Browser ohne Portfreigaben.

 

[riversource]

Inwiefern hängt das von meinem Internetzugang zu Hause ab, wenn ich über VPN auf die VM zugreifen möchte, aber auf den Geräten unterwegs (bspw. Firmenlaptop) keinen VPN einrichten kann.

Nein, das ist unabhängig voneinander. Das VPN auf dem Laptop musst du auf jeden Fall einrichten, deshalb ja auch der Hinweis auf deine IT. Ob du einen VPS brauchst oder nicht, hängt dann davon ab, ob dein Internetzugang zu Hause die notwendigen öffentlichen IPs bereitstellt.

 

[Pete11]

Welche Möglichkeiten habe ich unterwegs Ruskdesk zu nutzen, wenn ich die Anwendung selbst nicht auf meinem Firmenrechner oder auf Geräte meiner Freunde installieren kann?

Keine. Eventuell über Dein Handy - aber das kenne ich selbst nicht.

 

[Thakis]

@riversource

Das VPN auf dem Laptop musst du auf jeden Fall einrichten

Das ist jedoch der springende Punkt. Ich kann keine VPN-Verbindung einrichten. Deshalb die Überlegung, mich auf den VPS einzuloggen, der eine VPN-Verbindung zur VM daheim hat.

@Pete11

Keine.

Auch das ist ein K.O.-Kriterium.
Mir geht es ja darum, eine Lösung zu finden auf dem Firmenrechner oder Geräten von Freunden ohne Installation von Software, ohne Einrichtung von VPN-Tunnels, ohne jegliche Konfiguration etc. auf meine Win11-VM zuzugreifen, die ich daheim auf einem Proxmox-Server betreibe.


@mae1cum77
Danke für deinen Vorschlag. Das muss ich mir nochmals im Kopf durchspielen, bis ich alles verstanden habe. Speziell, was ich alles machen muss.
Kann ich mich bei dir per PN melden?

 

[redjack1000]

Speziell, was ich alles machen muss.

Dafür gibt diverse Anleitungen.

https://www.smarthomebeginner.com/traefik-2-docker-tutorial/

https://guacamole.apache.org/doc/gug/guacamole-docker.html

CU
redjack

 

[mae1cum77]

Kann ich mich bei dir per PN melden?

Geht sowohl als auch . Gibt gute (mittlerweile aktualisierte) Anleitungen von SmartHomeBeginner und sogar ein Bash-Skript, daß die Grundeinrichtung von Traefik und Lets Encrypt automatisiert.

Ist zwar mit etwas Einarbeitung verbunden, danach aber äußerst pflegeleicht und mit OAuth2, Fail2Ban und TOTP durchaus gesichert .

Einmal am laufen hast du RDP- und SSH-Zugriff auf alle erreichbaren Rechner im Netz. Und das über eine Brrowser-GUI, die überall aufrufbar ist, im Wortsinn.