https://www.pivpn.io/ und DynDNS für eine Noob erklärt.

[Knuddelbearli]

Hallo,
möchte auf meinen Raspberry Pi4 einen WireGuard Server laufen lassen. DynDNS wurde bereits konfiguriert und aktualisiert sich, fixe IP wurde am Router vergeben (.66) sonst noch absolut gar nichts. Muss ich noch irgendwas einstellen bevor ich https://www.pivpn.io/ installiere? Und was genau muss ich bei der Installation dann eingeben?

Bin absoluter Linux Noob, wäre für eine gut erklärte Hilfe wirklich äußerst Dankbar.
Würd dann auch alles schön zusammenfassen, falls das dann ein anderer mal machen will.

 

[complainerbase]

Im Router musst du u.A. noch den Destination-Port für Wireguard für das Pi mit der .66 freigeben.
Idealerweise verwendest du den HTTPS-Port 443 zum Aufbau des VPNs. Mit dieser Konfiguration kannst du die meisten Hardware-Firewalls umgehen.

 

[Knuddelbearli]

@denlowfan1
Hmm mein Router hat nur eine Portweiterleitung keine Freigabe, einfach intern und extern dann denselben Port eingeben, oder?

Sonst noch was?

 

[complainerbase]

Was Du i.d.R. bräuchtest wäre eine Menüoption "Portfreigabe".
Eine Portweiterleitung ist etwas Anderes. Damit würdest du z.B. den Zugriff von Port 80 (HTTP) auf z.B. Port 443 (HTTPS) umleiten.

Auf einem Fritzbox-Router für Heimanwender hast du z.B. ein eigenes Menü für Portfreigaben.
Du solltest noch einmal checken, ob dein Router nicht doch eine solche Menüoption hat.

Falls Du keine Portfreigabe für den Pi auf deinem Router einrichten kannst, wirst Du vermutlich keine Verbindung zum Wireguard-Server von externen Netzen aus herstellen können. Standardmäßig blockieren nämlich Router alle eingehenden Anfragen (sofern diese nicht von einem Client innerhalb des Netzes initiiert wurden).

 

[Knuddelbearli]

@denlowfan1

Sieht so aus

Steht zwar Weiterleitung klingt aber schon so als ob das das Richtige wäre, und eben dafür dann intern und extern einfach denselben Port angeben (frei lassen geht nicht)

Unter Firewall geht nur aktivieren und deaktivieren.

 

[complainerbase]

Das scheint dann die gleiche Funktion zu sein, ja.

Ich habe auch gerade gelesen, dass Wireguard den Port 443 nicht verwenden kann: https://www.reddit.com/r/WireGuard/comments/hyj2hc/changing_port_from_51820_to_44380_or_other_for/
Du hättest außerdem zusätzlich noch den Wireguard-Server so konfigurieren müssen, dass dieser auf Port 443 lauschen würde.

Da die Verwendung des Port 443 jedoch nicht von Wireguard unterstützt wird, trag in deinem Router anstatt Port 443 den Standard-Wireguard-Port 51820 für die Portweiterleitung- bzw. Freigabe ein.

Ferner ist es möglich, dass viele öffentliche WLAN-Netzwerke den standardmäßigen Wireguard-Port (51820) verbieten und du deshalb keine Verbindung aus dem öffentlichen WLAN-Netz zu deinem Wireguard-Server aufbauen kannst. Deshalb habe ich den Port 443 empfohlen - dieser ist in den allermeisten öffentlichen WLAN-Netzwerken nicht verboten.

Darf ich fragen von welchem Hersteller dein Router ist?
Die Menüführung ist nämlich irreführend. In dem Menüpunkt "Portweiterleitung" wird davon gesprochen, dass du dort Ports erlauben/freigeben darfst.
Bei "Weiterleiten" und "Freigeben" handelt es sich in der Netzwerktechnik jedoch um zwei völlig verschiedene Funktionen..

 

[Knuddelbearli]

Na noch ist Wireguard ja nicht installiert, ging ja erstmal um alles andere was man vorbereiten muss.

 

[complainerbase]

Alternativ zu Wireguard könntest du dir auch einmal PiVPN bzw. OpenVPN anschauen.

Ich selbst habe auf meinem Pi den Service PiVPN laufen, und dieser unterstützt auch den Port 443.
Die VPN-Verbindung, die auf meinem Handy läuft und sich mit dem Raspi zu Hause verbindet wurde noch nicht einmal von einem öffentlichen WLAN oder einem Firmennetzwerk blockiert.

 

[Knuddelbearli]

Die Nutzung wäre nur stationär zum aushebeln von Streaming Beschränkungen das dürfte also nicht das Problem sein.

Wäre aber nicht sowas eigentlich genau ein Fall für Port Weiterleitung?

Intern 51820 auf extern 443 und umgekehrt. Wobei ich das nur Notfalls nutzen möchte da eine weitere Fehlerquelle.

 

[YMiD]

Alternativ zu Wireguard könntest du dir auch einmal PiVPN bzw. OpenVPN anschauen.I

Mit PiVPN lässt sich seit einiger Zeit nicht nur OpenVPN, sondern auch Wireguard installieren. Hatte bisher keine Probleme damit, und es ist deutlich schneller als OpenVPN.

 

[Knuddelbearli]

@YMiD irgendwelche Tipps dazu zur Einrichtung mit DynDNS?

Oder kann ich das jetzt mit offenem Port einfach mit Standardwerten durchlaufen lassen?

 

[complainerbase]

Wenn du den VPN nur in ausgewählten Netzwerken verwenden willst, und du diese notfalls auch administrieren kannst, dann macht die Nutzung des Ports 443 natürlich keinen Sinn.

Wäre aber nicht sowas eigentlich genau ein Fall für Port Weiterleitung?

Intern 51820 auf extern 443 und umgekehrt.

Sollte dann auch funktionieren, sofern denn beide das gleiche Protokoll verwenden würden.

Problem ist nur, dass Wireguard den Port 51820 mit dem UDP-Protokoll verwendet, und Port 443 meist nur mit dem TCP-Protokoll in öffentlichen Netzwerken freigeschaltet ist. TCP-Ports lassen sich allerdings nicht an UDP-Ports weiterleiten (und in die andere Richtung).
Entweder TCP-Port weitergeleitet zu TCP-Port oder UDP-Port weitergeleitet zu UDP-Port.

Hintergrund ist, dass jeder IP-basierte Port zwei Mal existiert. Ein Mal in Form des TCP-Protokolls, und ein Mal als UDP-Port.

Im besten Fall würde man den VPN-Server dann so konfigurieren, dass er auf einen TCP-Port lauscht. Am Router würde man dann eine Portweiterleitung einrichten, wobei extern der Port 443 verwendet wird.

 

[YMiD]

@YMiD irgendwelche Tipps dazu zur Einrichtung mit DynDNS?

Oder kann ich das jetzt mit offenem Port einfach mit Standardwerten durchlaufen lassen?

Wenn du nicht aus öffentlichen oder unbekannten Netzwerken zu deinem VPN-Server verbinden willst, würde ich sogar einen zufälligen Port zwischen 50000-60000 verwenden.
Da DynDNS offenbar bereits funktioniert kann ich dir dazu kaum noch Tipps geben.

 

[Knuddelbearli]

Also sollte nichts weiteres nötig sein? Perfekt, bezüglich dem DNS muss ich auch im Installationsprozess nichts mehr bei PiPVN eingeben?