Heimnetzwerk durch VPN

[Rico10]

Schönen Guten Morgen euch allen,

ich habe nun bereits schon einige Zeit im Forum herum gesucht jedoch noch keine klare Antwort gefunden.

Ich würde gerne mein Heimnetz über NordVPN nach außen Routen. Ich nutze aktuell den Ubiquiti Dream Router. Trotz des angeblichen Supports laut NordVPN unterstützt dieser jedoch lediglich OpenVPN Server jedoch nicht den OpenVPN Client...

Ich möchte nun relativ Simple und kostengünstig eine alternative finden. Spannend fände ich es eine Virtuelle OPNSense Firewall zu mieten und diese einzubinden. Ich gehe jedoch davon aus, dass dies nicht möglich ist mit der aktuellen Hardware.

Der VPN Client soll eine Geschwindigkeit von 150Mbit schaffen können. Bevorzugt sollte der VPN Client vor dem Router liegen. Optimal wäre es ein VPN Subnetz zu haben (wenn möglich mit Schnittstelle zu Ubiquiti Subnetzen).

Vielen Dank für eure Vorschläge!
(Als mögliche Hardware wäre noch eine FritzBox 7590 verfügbar)

 

[kamanu]

1. Frage: Du möchtest das alle Geräte im Heimnetz automatisch über NordVPN laufen?
2. Frage: Wozu?

 

[Rico10]

1. Frage: Du möchtest das alle Geräte im Heimnetz automatisch über NordVPN laufen?
2. Frage: Wozu?

1. Prinzipiell ja, falls möglich wäre jedoch ein VPN Subnetz schöner.
2. Datenschutz / Datensicherheit

 

[NJay]

Ich würde gerne mein Heimnetz über NordVPN nach außen Routen.

Was erhoffst du dir dadurch?

 

[Rico10]

Was erhoffst du dir dadurch?

Datenschutz / Datensicherheit
(Kein Nachverfolgung von DNS abfragen )

 

[Raijin]

Es wird nicht so ganz klar was du mit dem VPN überhaupt vorhast.

Ich würde gerne mein Heimnetz über NordVPN nach außen Routen.

Das heißt, dass du nicht über deinen Internetprovider online gehen willst - warum auch immer - sondern den gesamten Internetverkehr über NordVPN tunneln möchtest? Was versprichst du dir davon? Anonymität? Sicherheit? Traust du deinem Provider nicht, aber dafür NordVPN?

Die Werbeversprechen der VPN-Anbieter sind in großen Teilen nur heiße Luft. Anonymität erlangt man nicht, weil die öffentliche IP-Adresse schon lange nicht mehr die Aussagekraft von früher hat und heutzutage ganz andere Mechanismen zum Tragen kommen - Cookies, Fingerprinting, etc. - und wenn der VPN-Anbieter großspurig von "keine Logs" spricht, muss er sich dennoch an die (unbekannten) Datenschutz- und Vorratdsdatenspeicherungsgesetze von [BetreiberLandX] halten.

Spannend fände ich es eine Virtuelle OPNSense Firewall zu mieten und diese einzubinden.

What? OPNsense mieten? Wo willst du die denn mieten und was wie wo einbinden? Ohne dir auf den Schlips treten zu wollen: Weißt du denn wie man eine (semi)professionelle Firewall konfiguriert? Sicherheit durch OPNsense, o.ä. kommt nicht durch die bloße Existenz, sondern durch die fachgerechte Konfiguration. Ein Laie kann mit OPNsense und dergleichen deutlich mehr falsch machen als mit einer Fritzbox und somit auch Sicherheitslöcher von der Größe eines Scheunentors einbauen.

Bevorzugt sollte der VPN Client vor dem Router liegen. Optimal wäre es ein VPN Subnetz zu haben (wenn möglich mit Schnittstelle zu Ubiquiti Subnetzen).

Auch das ist nicht wirklich verständlich. Was für ein VPN-Subnetz? Bei NordVPN hast du genau eine VPN-IP, die des VPN-Clients. Da gibt es kein Subnetz zur freien Verfügung.




Alles in allem bin ich mir nicht sicher ob du wirklich verstanden hast wofür man so ein VPN einsetzt und wofür nicht. Es wäre daher sinnvoll, wenn du genauer darlegst was dein eigentliches Ziel ist, inkl. der Gründe dafür. Nicht, weil wir dich alle ärgern wollen, sondern weil manchmal durch eine laienhafte Falschannahme im Vorfeld bereits der vollkommen falsche Weg eingeschlagen wird. Das findet man aber erst heraus, wenn man die Beweggründe kennt - oder ganz am Ende, wenn das Geschrei des Fragenden groß wird, weil die Lösung plötzlich doch nicht das tut was er davon erwartet hatte. Nennt sich XY-Problem

 

[kamanu]

2. Datenschutz / Datensicherheit

Das wirst du dadurch aber auch eher weniger erreichen als du denkst.
Es gibt btw. datenschutzfreundliche DNS-Server die du einfach in deinem jetzigen Router eintragen kannst.
Und wenn du da jetzt kommst mit "woher weiß ich, dass die mich nicht tracken" - woher willst du wissen, ob NordVPN das nicht tut?

 

[NJay]

Datenschutz / Datensicherheit
(Kein Nachverfolgung von DNS abfragen )

Das erreichst du dadurch nicht.

 

[Raijin]

Zudem gibt es mit DNSoverTLS (DoT) und DNSoverHTTPS (DoH) auch verschlüsselte Varianten von DNS, bei denen unterwegs niemand etwas tracken kann.

Kann man unter Windows 10 auch nativ aktivieren: DoH mit Windows 10

 

[Rico10]

Bitte zukünftig beachten: So zitiert man Teile eines Beitrags und vermeidet Fullquotes

Erstmal vielen Dank für deinen ausführlichen Beitrag.

Wieso ein VPN?
Mal ganz Simple anhand eines Beispiels aus meiner Praxis erklärt:

Vor einigen Jahren habe ich einen Film via Torrent heruntergeladen. Auf ein VPN habe ich verzichtet - ganz nach dem Motto "wird schon keinen Interessieren und meine IP ändert sich ja immer regelmäßig".

Nach ca. 3 Monaten kam dann der Brief vom netten Publisher und wollte tausende von Euro haben da ja nicht nur der Download sondern durch Torrent auch Verbreitung vorwurf ist...

Wieso ich darauf eingehe?
Bevor die gute Belehrung kommt - ja einfach nicht machen und dann gibt es keinen ärger. Mir geht es allerdings in diesem Beitrag lediglich um Datenschutz.

Woher hatte der Anbieter meine Adresse / Ip etc? -> Festnetzanbieter. Die IP Adressvergabe wird geloggt. Ebenfalls werden sämtliche DNS anfragen IP abhängig bei Google oder wem auch immer gespeichert.

Vor allem die DNS abfragen stören mich - woher muss jeder Wissen ob ich Netflix habe / was alles in meinem Netzwerk liegt an Smarthome etc? Das wird alles durch offen gelegte DNS anfragen sichtbar. Eine verschlüsselung des DNS verkehr ist zwar über die Fritzbox möglich jedoch habe ich trotzdem kein Interesse jede Kleinigkeit loggen zu lassen.

Mit NordVPN teile ich mir eine IP mit vielen anderen Leuten. Selbst Google kann also nicht sagen wer sich für was interessiert sondern bekommt nur den Datenstrom der einen IP mit.


Fingerprints

Ja, es gibt heut zu Tage wohl kaum noch eine Wirkliche Datensicherheit. Einiges kann durch Browser Plugins von Haus aus Blockiert werden. Ein VPN dient nur zur Verschleierung von Daten durch einen gesammelten Traffic der zumindest laut Anbieter nicht geloggt wird.

OPNSense Miete
Wollte ich nur mal in den Raum werfen da ich auf folgendes gestoßen bin:
https://www.netgate.com/pfsense-plus-software/how-to-buy#AWS

Ob das ganze Implementierbar ist für ein Heimnetzwerk ist mir nicht klar gewesen. Hatte mir das ganze so vorgestellt das Heimnetz über das Servernetz bei AWS / Azure zu leiten.

VPN-Subnetz

Ubiquiti Netze:

IoT
Handys
Admin
(nur Beispiele für Subnetzte Zuhause)

Es soll also im Heimnetzwerk ein Subnetz geben. Geräte die in diesem Subnetz sind sollen über VPN nach außen gehen.

Zu den oben genannten Netzen könnte also ein VPN Subnetz hinzugefügt werden.

Anwendungsbeispiel:

Port 5 am Switch wird das Subnetz VPN zugewiesen an diesem Port 5 befindet sich eine Firewall welche die VPN Verbindung herstellt. Hinter der Firewall befinden sich dann die Geräte die das VPN nutzen sollten. Dadurch würde das gewünschte VPN Subnetz erstellt werden und die Schnittstelle von Ubiquiti kann genutzt werden um die anderen Netze im Heimnetz erreichen zu können.



Ich denke ich habe hier nicht wirklich erklärt was ich meine. Danke für die Nachfragen

Das wirst du dadurch aber auch eher weniger erreichen als du denkst.
Es gibt btw. datenschutzfreundliche DNS-Server die du einfach in deinem jetzigen Router eintragen kannst.
Und wenn du da jetzt kommst mit "woher weiß ich, dass die mich nicht tracken" - woher willst du wissen, ob NordVPN das nicht tut?

Wenn ich bei einem "sicheren DNS" anfrage weiß er wer ich bin.

Wenn ich über NordVPN surfe ist das Theoretisch überhaut nicht einsehbar. Bisher sind zumindest keine Aktivitätslogs von NordVPN geleakt / bekannt geworden.

 

[Nero_XY]

Wie schon von meinen Vorpostern gesagt, stellt ein VPN keine Lösung für dein "Problem" dar, sondern verlagert es nur vom Internetanbieter zum VPN-Anbieter.

Kann man unter Windows 10 auch nativ aktivieren

Geht auch direkt auf der Fritzbox (aktelle Firmware vorausgesetzt) Link

 

[Raijin]

Selbst wenn keine Fritzbox dafür vorhanden ist - im vorliegenden Fall wäre die Fritzbox nur optional so wie ich das verstanden habe - und der verwendete Router (hier: Unifi Dream Machine) das nicht unterstützt, kann man zur Not immer noch den Weg über einen Raspberry PI, o.ä. gehen. Möglichkeiten gibt es viele, auch wenn man unbedingt trotzdem NordVPN nutzen möchte und dann eben auch ohne DoH/DoT lediglich DNS über das VPN tunnelt.

Es ist alles eine Frage des Anwendungsfalls.

 

[Rico10]

Wieso warten meine Antworten denn immer auf Freigabe? Nicht so super...

Verstehe leider nicht wieso hier VPN Prinzipiell (siehe andere Beiträge) als unsicher und unnötig deklariert werden.

Wenn jemand auf Hidden Sites geht - wieso wird Tor verwendet? Ist nichts anderes als ein VPN wobei hier viele Knotenpunkte schon Regierungen gehören... Trotzdem nutzt es jeder.

Wenn ich mit VPN Werbung schaue auf einem Rechner ist diese nicht personalisiert. Ohne VPN schon. Ist das keine Sicherheit?

Wenn ich etwas illegales tun würde (was ich nicht vorhabe) würden Sie mir schreiben oder dir wenn du das gleiche ohne VPN tust?

Man sollte nicht alles nur in der Theorie sehen (was ist wenn NordVPN ihre Versprechungen nicht hält) sondern in der Praxis.

Ein VPN als unnütz zu deklarieren ist meiner Meinung nach schon sehr übermütig. Zur heutigen Zeit wo eine Sicherheit eh nicht mehr existent ist - wieso dann den letzten Möglichkeiten keine Chance geben?

Wenn ich in eurem Netz illegal Streame bekommt nach aktueller Rechtsprechung der Inhaber des Festnetztarifs die Abmahnung. Wenn ich über VPN Streamen würde geht es an den Inhaber. In diesem Fall werden das die VPN Knotenpunkte von Nordvpn sein. Wobei die Abmahnungen vermutlich eher an die Hoster der NordVPN Server gesendet werden.

Natürlich soll nicht immer Illegales im Vordergrund stehen jedoch ist Datenschutz vor allem bei Illegalen anwendungszwecken bekannter / getesteter.

Wieso wird wohl Signal als sicherer Deklariert als Whatsapp und Telegram? WA und Signal sind beide in den USA ansässig und unterliegen beide dem gleichen Gesetzt. Selbst die EndtoEnde Encryption sollte meines Wissens nach kaum Unterschiede aufweisen. Trotzdem gehört WA Facebook und hat daher andere Absichten als Signal..

Theorie und Praxis sollten immer unterschiedlich betrachtet werden.

 

[Nero_XY]

Ich nutze seit einigen Monaten zusätzlich zu Pi-hole noch Unbound. So verlassen meine vorgefilterten DNS Requests nie mein Heimnetz. Ist mit der richtigen Anleitung auch kein Hexenwerk zum Einrichten

 

[Raijin]

Vor einigen Jahren habe ich einen Film via Torrent heruntergeladen. Auf ein VPN habe ich verzichtet - ganz nach dem Motto "wird schon keinen Interessieren und meine IP ändert sich ja immer regelmäßig".

Nach ca. 3 Monaten kam dann der Brief vom netten Publisher und wollte tausende von Euro haben da ja nicht nur der Download sondern durch Torrent auch Verbreitung vorwurf ist...

Wieso ich darauf eingehe?
Bevor die gute Belehrung kommt - ja einfach nicht machen und dann gibt es keinen ärger. Mir geht es allerdings in diesem Beitrag lediglich um Datenschutz.

Woher hatte der Anbieter meine Adresse / Ip etc? -> Festnetzanbieter. Die IP Adressvergabe wird geloggt. Ebenfalls werden sämtliche DNS anfragen IP abhängig bei Google oder wem auch immer gespeichert.

Das hat nichts mit Datenschutz zu tun. Wenn von einer öffentlichen IP-Adresse aus illegale Aktivitäten festgestellt werden, geht die Strafverfolgung los und die wird im Zweifelsfalle auch bei einem VPN-Anbieter aufschlagen und entsprechende Logs einfordern, die der Betreiber auch je nach lokaler Rechtsprechung führen muss, egal ob er mit etwas anderem wirbt oder nicht. Ohne die entsprechenden Gesetze im jeweiligen Land zu kennen, ist das reine Augenwischerei.

Es soll also im Heimnetzwerk ein Subnetz geben. Geräte die in diesem Subnetz sind sollen über VPN nach außen gehen.

Zu den oben genannten Netzen könnte also ein VPN Subnetz hinzugefügt werden.

Das ist technisch gesehen kein Problem. Man kann ein VPN-Gateway als alternatives Gateway im Netzwerk anlegen, also zB statt x.y.z.1 die x.y.z.2, oder aber man arbeitet im Router mit Policy Based Routing, also dem Routing anhand anderer Kriterien als die Ziel-IP wie es beim normalen Routing der Fall ist. So könnte man zB einzelne Subnetze anders routen - über eine VPN-Verbindung - oder auch einzelne Clients, bestimmte Ports oder was auch immer.

Verstehe leider nicht wieso hier VPN Prinzipiell (siehe andere Beiträge) als unsicher und unnötig deklariert werden.

Weil VPN-Anbieter oftmals einfach falsch verstanden werden. Die Reklame suggeriert, dass solche VPN-Anbieter der heilige Gral sind, vollkommene Anonymität durch (angeblich) keine Logs und Sicherheit durch Verschlüsselung. Letzteres gilt aber beispielsweise nur vom Client zum VPN-Server und nach dem VPN-Server ist alles so (un)verschlüsselt wie es vor dem VPN war. Eine nackte, unverschlüsselte FTP-Verbindung ist also hinter dem VPN-Server nach wie vor unverschlüsselt und nackt, inkl. Login in Klartext.

Wenn ich mit VPN Werbung schaue auf einem Rechner ist diese nicht personalisiert. Ohne VPN schon. Ist das keine Sicherheit?

Nein, weil es nichts mit Sicherheit zu tun hat ob du jetzt Reklame für eine Grafikkarte oder Tampons siehst.

Wenn ich etwas illegales tun würde (was ich nicht vorhabe) würden Sie mir schreiben oder dir wenn du das gleiche ohne VPN tust?
[..]
Natürlich soll nicht immer Illegales im Vordergrund stehen jedoch ist Datenschutz vor allem bei Illegalen anwendungszwecken bekannter / getesteter.

Was du nicht vorhast, hier aber als Beispiel und sogar als Erfahrungsbericht anführst. Das beißt sich irgendwie, findest du nicht?

Man sollte nicht alles nur in der Theorie sehen (was ist wenn NordVPN ihre Versprechungen nicht hält) sondern in der Praxis.

Die Praxis ist aber schlicht und ergreifend, dass niemand weiß wie NordVPN arbeitet, welche Logs sie führen und welchen Gesetzen sie im Ausland unterliegen. Ohne dieses Wissen, grenz es an Wunschdenken, dass man damit "sicher" ist.


Zu guter Letzt kann es auch Dienste geben, die explizit einschlägig bekannte VPN-Anbieter blockieren, weil sie ein berechtigtes Interesse an der Identität eines Nutzers haben. Dazu zählst beispielsweise die Bank bei Online Banking, Streaming-Anbieter wie Netflix oder ggfs auch der eine oder andere Online Shop. Netflix blockt beispielsweise täglich weitere VPN-Server, da mit VPN das Geoblocking umgangen wird und Netflix sich nun mal an die Rechteverwerter halten muss und nicht einfach vom US-Dienst aus in Deutschland Streams an der GEMA vorbei anbieten darf. Banken oder Online Shops finden es zumindest "potentiell gefährlich", wenn sie über dubiose VPN-Server in Russland oder sonstwo angesteuert werden. Ich hatte beides schon mal als ich noch Cyberghost nutzte (bei Bedarf, nicht permanent) und mit unbewusst aktivem VPN-Tunnel sowohl eine Überweisung tätigen als auch eine Bestellung in einem Steam-Key-Shop aufgeben wollte (letzteres für sagenhafte 1,17 €).

Ich würde daher eher dazu raten, VPNs nur bei Bedarf einzusetzen, beispielsweise über die 2-Gateway-Lösung mit einer simplen Batch-Datei oder zB NetSetMan zum Umschalten. Je tiefer man ein VPN im Netzwerk verankert, umso nerviger wird es, wenn man in VPN-Probleme rennt.

 

[NJay]

Wieso warten meine Antworten denn immer auf Freigabe? Nicht so super...

Verstehe leider nicht wieso hier VPN Prinzipiell (siehe andere Beiträge) als unsicher und unnötig deklariert werden.

Wenn jemand auf Hidden Sites geht - wieso wird Tor verwendet? Ist nichts anderes als ein VPN wobei hier viele Knotenpunkte schon Regierungen gehören... Trotzdem nutzt es jeder.

Weil bei TOR ohne weiteres NIEMAND mitloggen kann, was und wohin du surfst. Wenn du Nord VPN nutzt, kann Nord VPN ALLES mitloggen. D.h. ob die Abfrage wegen illegaler Nutzung beid einem provider oder deinem VPN Anbieter aufschlaegt ist egal, beide werden nach dem gesetzlichen Rahmen die Daten liefern muessen.

Selbst die EndtoEnde Encryption sollte meines Wissens nach kaum Unterschiede aufweisen. Trotzdem gehört WA Facebook und hat daher andere Absichten als Signal..

Oh du liegst falsch. Beides ist end to end encrypted, aber bei Whatsapp hat Facebook deine Keys, d.h. sie koennen es entschluesseln, wenn sie wollen. Bei Signal liegen deine Keys nur auf dem Endgeraet. Singal KANN deine Nachrichten gar nicht entschluesseln.

Du musst dich noch etwas besser in die Materie einlesen. Du hast sehr viel Halbwissen, was ja ein guter Einstieg ist, aber nicht reicht um das Thema voll zu verstehen. Aber du bist auf einem guten Weg.

 

[BoeserBrot]

Schade, dass du dich für die Ubiquiti Dream Machine entschieden hast. Mit den Edge-Routern von Ubiquiti oder den Unifi-Security-Gateways hättest du den Router als OpenVPN-Client einrichten können.

Alternativ geht natürlich auch ein anderes Gerät, beispielsweise ein RaspberryPi, wie schon vorhin erwähnt wurde.

 

[Rico10]

Bitte zukünftig beachten: So zitiert man Teile eines Beitrags und vermeidet Fullquotes

Was du nicht vorhast, hier aber als Beispiel und sogar als Erfahrungsbericht anführst. Das beißt sich irgendwie, findest du nicht?
Ja, für mich war diese Erfahrung allerdings da um zu erkennen wie unsicher das "normale" Internet ist. Das hier von jedem teils ausgegangen wird das NordVPN loggt finde ich schwierig.. Es gibt keines Beweise das es Logs gibt oder auch nicht.. Sie selbst sagen es werden keine Aktivitätslogs geführt.

Einem NordVPN zu vertrauen fällt mir trotzdem deutlich leichter als sich "nackt" vor die Google KI´s zu stellen und zu sagen hier bin ich bitte trackt mich...
Die aufgeführten Probleme zum Thema VPN sind natürlich völlig korrekt.. Deshalb ist ein Subnetz denke ich die einzig vernünftige wahl.

Ich denke auch das Google es nichts angeht ob ich mich für Tampons oder Grafikkarten interessiere. Die Google KI können gerne andere Trainieren...


Aber nochmal zurück zur Umsetzung - welche Hardware könntest du mir für den oben beschriebenen Subnetzfall empfehlen? Wie im Thread schon gut erwähnt - ist es nicht sehr Spaßig eine komplette Firewall zu konfigurieren. Was wäre also die einfachste Möglichkeit die VPN Verbindung für ein Subnetz bereit zu stellen?


Alternative
Bisher wurde von @Nero_XY schon Pi-Hole + Unbound und von @Raijin DNSoverTLS (DoT) und DNSoverHTTPS (DoH) in den Raum gestellt.

Diese Funktionen bringen ohne Frage auch Sicherheit. Das einzige was mir fehlt ist der Gebündelte Verkehr von einem VPN.
Trotzdem muss jeder selbst entscheiden ob einem VPN zu vertrauen sinnvoll ist...

@NJay
Durch die beschlagnahmten Knotenpunkte von Tor werden diese bereits geloggt. Dadurch wurden (zum Glück) auch schon viele Kriminelle überführt. Durch die vielen Knotenpunkte läuft allerdings noch sehr viel Verkehr ungeloggt.

Das bei Illegaler Nutzung der VPN die Daten herausgeben muss ist richtig. Allerdings gibt es laut NordVPN keine aktivitätslogs. Es muss ja auch einen Grund geben weshalb die Film Industries aktuell schon wieder mit verklagen von VPN´s zu tun haben... Wenn der VPN alles immer loggen und weitergeben würde dann hätten die Film Industries auch kein Problem mit VPN´s...

Vielen Dank für die Info mit Signal vs Whatsapp. Habe ich tatsächlich nicht so genau gewusst - ist super zu wissen!

 

[Rico10]

Schade, dass du dich für die Ubiquiti Dream Machine entschieden hast. Mit den Edge-Routern von Ubiquiti oder den Unifi-Security-Gateways hättest du den Router als OpenVPN-Client einrichten können.

Alternativ geht natürlich auch ein anderes Gerät, beispielsweise ein RaspberryPi, wie schon vorhin erwähnt wurde.

Wäre es nicht sinvoll ein Unifi-Security-Gateway als VPN Client zu verwenden? Dadurch ist es einfacher im Management und benötigt nicht so viel Aufmerksamkeit.
Ich habe mich allerdings nicht für die Dream Machine sondern für den Dream Router (ea) entschieden

 

[Raijin]

Du vergleichst leider immer wieder Äpfel mit Birnen. google vs NordVPN steht überhaupt nicht zur Debatte und hat auch nichts miteinander zu tun. Das einzige was google potentiell sehen kann sind DNS-Queries (Lösung: Anderen DNS verwenden) oder das was sie durch ihre zahlreichen Ad-Plugins auf diversen Seiten inkl. Fingerprinting, Cookies, etc. sowieso in Erfahrung bringen können. Heißt: Wenn du über NordVPN im Internet unterwegs bist und auf eine Seite mit google-ads stößt, wird der Kram, den dein Browser überträgt (Cookies, Agent, sonstwas) immer noch derselbe sein wie ohne VPN.

Es gibt keines Beweise das es Logs gibt oder auch nicht.. Sie selbst sagen es werden keine Aktivitätslogs geführt.

Also nehmen wir einfach mal blauäugig an, dass das so stimmt und weiter geht's mit Filesharing? Ich glaube der offizielle Sitzt von NordVPN ist in Panama. Ich für meinen Teil habe keine Ahnung wozu ein VPN-Anbieter in Panama gesetzlich verpflichtet ist und wozu nicht.

Ja, für mich war diese Erfahrung allerdings da um zu erkennen wie unsicher das "normale" Internet ist.

Das ist eher ein Anzeichen dafür, dass auch das Internet kein rechtsfreier Raum ist und man im Zweifelsfalle für illegale Aktivitäten belangt werden kann.

Naja, wie auch immer. Du musst selbst wissen ob du einem Unternehmen in Panama vertraust und ihnen ihre Werbung abkaufst oder nicht.

Aber nochmal zurück zur Umsetzung - welche Hardware könntest du mir für den oben beschriebenen Subnetzfall empfehlen? Wie im Thread schon gut erwähnt - ist es nicht sehr Spaßig eine komplette Firewall zu konfigurieren. Was wäre also die einfachste Möglichkeit die VPN Verbindung für ein Subnetz bereit zu stellen?

Ich kenne mich offen gestanden mit den Router-Produkten aus der Unifi-Serie von Ubiquiti nicht wirklich aus, weiß aber, dass sie teilweise nur begrenzte Möglichkeiten über die GUI bieten. Man kann zwar bei Unifi auch Einstellungen vornehmen, die nicht im Controller enthalten sind, aber dies muss man über die Kommandozeile tun und kann im Zweifelsfalle beim nächsten Update bzw. der nächsten Povisisionierung (zB wenn man die SSID ändert oder sowas) schon wieder futsch sein. Daher kann ich dir dahingehend leider keine Hilfestellung geben. Sowas wie Policy Based Routing, also beispielsweise Quell-IP-basiertes Routing, ist soweit ich weiß über die GUI nicht konfigurierbar.

Mit einem Raspberry PI oder allgemein einem Gerät mit Linux (zB auch mit OpenWRT) ist das jedoch relativ schlank zu bewerkstelligen. Man muss lediglich die VPN-Verbindung einrichten und an der VPN-Schnittstelle (zB tun0 oder wg0, je nach Protokoll) ausgehend SNAT/Masquerade einrichten. Damit kaschiert der PI ausgehenden Traffic mit seiner eigenen VPN-IP, ähnlich wie der Internetrouter es am WAN in Richtung Internet tut. Das Routing ist in der Regel bereits ausreichend dadurch definiert, dass im VPN-Profil meistens "redirect-gateway" oder ähnliche Optionen eingeschaltet sind, also alles-via-VPN-routen. Man muss nun nur noch am Endgerät das Standard-Gateway auf die lokale IP-Adresse des PI setzen und schon ist mal fertig.

Möchte man tatsächlich ein eigenes Subnetz dafür erstellen, bietet sich natürlich VLAN an. Dazu muss man im Internetrouter ein VLAN einrichten und den dazugehörigen DHCP so einstellen, dass er die PI-IP als Gateway und DNS ausgibt. Restliche Konfiguration wie oben.