NAS über FritzBox ins Internet - die unendliche Geschichte

[fengshui]

Hallo,
Ich würde gern mit wirklichen Menschen mein Problem lösen, statt mit einem ChatGPT.
Mein Problem, nachdem ich wirklich viel gelesen hab (wahrscheinlich immer das Falsche ) und jetzt konfuser bin wie zuvor, lautet:
Wie kann ich meine Nextcloud (über Raspi, Docker, Portainer ) von Außen erreichbar machen, OHNE mein Internet ab dann angreifbar zu machen?
Also ich hab auf einem Raspi eine Nextcloud Version laufen. Diese kann ich ohne Problme über mein Handy oder über Mac im Heimnetz erreichen. Handy ist außerhalb über WireGuard geschützt. Verbindung zur Nextcloud funktioniert auch meist problemlos. Da z.B. Ägypten keine VPN´s zuläßt, hab ich keine Möglichkeit zur Zeit dann Daten /Fotos etc auf der Nextcloud zu speichern.
Ich habe mir außer der MyFritz Adresse noch eine ip64.de Adresse funktionstüchtig angelegt (ich denke, dass ich nur eine benötige? ).
Mit der MyFritz Adresse habe ich aber keine Möglichkeit die Nextcloud Seite aufzurufen, da MyFritz bereits eine Portadresse hinter dem Buchstabengewirr benötigt. Hier komme ich immer nur in die MyFritz App rein. Jetzt habe ich gelesen, dass es auch über ip v6 und ip v4 möglich sein soll, auf die Nextcloud zugreifen zu können. ABer WIE ? Und dann die Frage nach der Absicherung der Ports? Ich bekomme absolut keine let's encrypt Challenge abgeschlossen ( wegen falscher Ports nehme ich mal an ).
Wer kann mir bitte in kleinen Schritten helfen, hier Ordnung Verständnis und Vernunft reinzubekommen ?
LG

 

[SportMönch]

Cloudflare Tunnel, ist kostenlos und braucht keine portfreigabe. Alternativ tailscale, habe ich selbst aber nur für gameserver ausprobiert. Sollte aber auch mit nextcloud gehen. Cloudflare geht sicher und einfach, nutze ich auch

 

[Deeen]

Eine Portfreigabe auf der Fritzbox zum Raspi wäre doch eine einfache Möglichkeit, oder? Einen DNS-Name hast per myFritz ja eh schon. Um die Absicherung musst du dich dann natürlich selbst kümmern.
Wenn ich einen Server zu Hause betreiben würde, würde ich eher in Richtung DMZ gehen. Also Heimnetz und Server im lokalen Netzwerk trennen. Ist aber mehr Aufwand.

 

[Midium]

Da z.B. Ägypten keine VPN´s zuläßt, hab ich keine Möglichkeit zur Zeit dann Daten /Fotos etc auf der Nextcloud zu speichern.

Wie viel Zeit im Jahr betrifft das denn und wie ist die Blockade an diesen Orten denn technisch umgesetzt? Öffentliche WLANs verhindern teilweise auch die Nutzung von Wireguard über die typischerweise verwendeten Portnummern. Da hilft es ggf. explizit einen nutzbaren Port einzustellen.

 

[Sternengucker80]

Schau dir mal Netbird an.

 

[CoMo]

Da z.B. Ägypten keine VPN´s zuläßt, hab ich keine Möglichkeit zur Zeit dann Daten /Fotos etc auf der Nextcloud zu speichern.

Was soll das bedeuten? Wenn es in Ägypten Internet gibt, dann ist auch eine VPN-Verbindung möglich.

 

[empower]

Wie kann ich meine Nextcloud (über Raspi, Docker, Portainer ) von Außen erreichbar machen, OHNE mein Internet ab dann angreifbar zu machen?

es gibt keinen weg. entweder die ports frei machen oder mit zwischenlösungen wie wireguard oder cloudflare tunnel leben.

Und dann die Frage nach der Absicherung der Ports? Ich bekomme absolut keine let's encrypt Challenge abgeschlossen ( wegen falscher Ports nehme ich mal an ).

eigenen webseite holen und dann ports frei machen.

 

[Franky4Finger's]

Um dir zu helfen, muss zuerst geklärt werden, wie du überhaupt erreichbar bist...
Hast du eine feste öffentliche IP oder sitzt du hinter DS Lite?

Das ist entscheidend, weil die Lösung davon abhängt.

DS Lite mit dynamischer IP -> Cloudflare Tunnel - sicher, keine offenen Ports, HTTPS und min. Wartungsaufwand

Feste IP -> Portweiterleitung + HTTPS möglich, erfordert aber Firewall, Updates, LetsEncrypt etc...

Feste IP geht aber auch mit Tunnel!

 

[Real-Duke]

Was soll das bedeuten? Wenn es in Ägypten Internet gibt, dann ist auch eine VPN-Verbindung möglich.

Meine Erfahrung aus dem letztem Urlaub im Juli 2025: Aus dem Hotel W-LAN war keine VPN Verbindung per Wireguard zu mir nach Hause möglich, aus dem Mobilfunknetz mit meiner e-SIM ging es.

 

[fengshui]

Vielen Dank für Eure Antworten. 👍
Ich fang mal hinten an:

Meine Erfahrung aus dem letztem Urlaub im Juli 2025: Aus dem Hotel W-LAN war keine VPN Verbindung per Wireguard zu mir nach Hause möglich, aus dem Mobilfunknetz mit meiner e-SIM ging es.

Das werd ich mal probieren. Danke für den Tipp !

Um dir zu helfen, muss zuerst geklärt werden, wie du überhaupt erreichbar bist...

Vielen Dank auch an Dich.
Also ich hab eine 1&1 Dual stack lite Variante (wo kann ich das in der FritzBox nachsehen?) aber mit festen Ports gemäß PortControllProgramm PCP. (hab ich mir vor Zeiten mal geben lassen) sowie Myfritz und DynDNS Zugang.
Daher wäre : DS Lite mit dynamischer IP -> Cloudflare Tunnel - sicher, keine offenen Ports, HTTPS und min. Wartungsaufwand " mir schon sehr sympathisch 👍

Wenn es in Ägypten Internet gibt, dann ist auch eine VPN-Verbindung möglich

Danke auch an Dich und JA Du hast sicherlich Recht, aber ich hab nicht die Ahnung das zu verifizieren. Ich muss es hier von Zuhause aus vorbereiten und eventuell mit MobilDaten probieren. Im Ausland sollte es dann 100%ig klappen.

Schau dir mal Netbird an.

Vielen Dank für den Hinweis. Find ich Toll. ( ISt das nicht so ähnlich dann wie Nginx Proxy Manager ?) Da Du das ja bei Dir am laufen hast, würde ich Dich eventuell nochmal anschreiben, wenn ...

Da hilft es ggf. explizit einen nutzbaren Port einzustellen.

Danke Schön für Deine Antwort. Ja da kommt schon einige Zeit zusammen. Aber die Sache mit dem anderen Port finde ich als Idee nicht schlecht.

Eine Portfreigabe auf der Fritzbox zum Raspi wäre doch eine einfache Möglichkeit, oder? Einen DNS-Name hast per myFritz ja eh schon. Um die Absicherung musst du dich dann natürlich selbst kümmern.

Vielen Dank an Dich für Deinen Hinweis. Ja am Anfang erswchien mir das auch eine gute Möglichkeit. Jetzt würde ich erst mal versuchen den Cloudflare Anhängern den Vorzug zu geben. Wegen der MEHRARBEIT hier.

Cloudflare Tunnel, ist kostenlos und braucht keine portfreigabe

Vielen Dank für Deine Antwort. Sie bringt mich jetzt zwar ganz durcheinander, da ich mehr bei Portfreigabe war, aber wie man aus den nachfolgenden Antworten entnehmen kann, scheint das eine sichere und schnelle Möglichkeit zu sein. Hier brauch ich wahrscheinlich dann Deine Hilfe, wenn ich loslegen will.

Weiss jeman etwas über "telebit.cloud" ist das auch so etwas ähnliches wie Cloudflare?


@Franky4Finger's : Könntest Du mir bitte sagen/schreiben, wie ich da jetzt sinnvoller Weise anfange?

Vielleicht habe ich die Frage auch falsch angefangen: Es gibt doch sicherlich genügend Menschen, die eine Nextcloud auf einem Raspi aufgesetzt haben und per Dual Lite Stack über PiHole auf diese per ip v4 oder ip v6 zugreifen wollen und bei denen das auch mit funktioniert und dabei auch noch SICHER ist.

Also tendiere ich zu Cloudflare oder Telebit oder ???

 

[SportMönch]

Ne cloudflare ist da meines Wissens nach einzigartig in Einfachheit, Sicherheit usw.

Einrichtung dauert gut 15-20 Minuten und dann läufts halt.

Kann dir jede KI detailliert erklären. Deine Domain hinterlegen, Tunnel einrichten, sub Domains frei wählen und auf Nextcloud zeigen lassen (glaube localhost 8080), cloudflared installieren (obs nach Hause telefonieren kann wird direkt angezeigt) und fertig ist‘s

Mit ssl Zertifikat inkl. - optional kannst auch Extra Zertifikat mit 15 Jahre Gültigkeit erstellen und in deinen Programmen hinterlegen (sofern unterstützt).


Wenn über portfreigabe und FRITZ!box empfehle ich duckdns.org. Brauchst keine feste IP V4 und ist kostenlos

 

[SportMönch]

PiHole

Dann aber + Traefik für SSL Zertifikat. Hatte ich auch vor cloudflare und funktionierte ebenfalls gut, mit CF war es aber ne Millionen x einfacher

 

[Franky4Finger's]

Danke für die Infos.

In deinem Fall ist bei DS-Lite der Cloudflare Tunnel tatsächlich die sauberste Lösung:
keine offenen Ports, unabhängig von IP-Wechseln, HTTPS automatisch und minimaler Wartungsaufwand.

WireGuard oder NetBird sind ebenfalls sicher, benötigen aber auf jedem Endgerät einen Client, über den der gesamte Traffic läuft. Für einen einfachen Zugriff per Browser (z. B. Nextcloud) ist das oft unpraktisch.

Kurzfassung der Schritte:

• Subdomain anlegen
• Domain zu Cloudflare umziehen
• Tunnel erstellen
• Cloudflare Tunnel auf dem NAS einrichten
• Fertig

 

[SportMönch]

Domain musste nicht zu CF umziehen, geht einfach per DNS Eintrag da wo du die Domain liegen hast z.b. ionos. Nur CNAME, cloudflare gibt das gut und verständlich vor beim Durchgang, inkl. Befehl für die Windows/Linux Konsole

 

[fengshui]

ok, Danke erstmal . Jetzt brummt mir der Schädel und bevor ich Dummheiten mache und das ganze System neu aufsetzen muss mach ich erst mal ne Pause.
Ich weiss nicht warum, aber bei Euch hört sich das immer so an wie ein Vogelschiß.
Ich bin gut und gern wahrscheinlich Tage damit beschäftigt das Ding so ans laufen zu bekommen und dann bin ich mir immer noch nicht sicher ob ich alles richtig gemacht habe. 🤦‍♂️

 

[KitKat::new()]

Also wenn ich solche Threads lese, wunderts mich gar nicht mehr warum das ganze Internet down geht, wenn Cloudflare Mal wieder Probleme macht.

 

[h00bi]

Also mal davon abgesehen, dass das ein normales Heimnetz Thema ist und weit entfernt von "Professionelle IT-Netze und -Systeme", denk bitte dran, dass wenn du Nextcloud ohne VPN öffentlich errichbar machst, egal ob über Cloudflare oder eigenen DDNS, halte sowohl Nextcloud selbst als auch den Host immer aktuell und verwende unbedingt 2FA für alle Accounts.

 

[CoMo]

Und wieso ist ein externer Dienstleister nun eine "sauberere" Lösung als selbst hosten mit bspw.Pangolin?

 

[Franky4Finger's]

@CoMo Ein externer Dienstleister wie Cloudflare Tunnel ist „sauberer“, weil keine offenen Ports nötig sind, HTTPS automatisch läuft, IP-Wechsel egal sind und man sich nicht um Firewall, DynDNS oder Zertifikate kümmern muss.
Natürlich kannst du auch selbst hosten (z. B. Pangolin), dass erfordert aber volle Wartung und Absicherung! Für den normalen User, der einfach nur seine Nextcloud, Streams etc. erreichbar machen will, absoluter Overkill.

 

[mchawk777]

Wie kann ich meine Nextcloud (über Raspi, Docker, Portainer ) von Außen erreichbar machen, OHNE mein Internet ab dann angreifbar zu machen?

Nutze ein VPN - genau dafür sind VPNs da.
Damit meine ich ausdrücklich keine VPN-Diesnte, wie sie in den letzten Jahren aus dem Boden geschossen sind.

Da Du eine Fritzbox nutzt läge WireGuard nahe.

Edit: Gosh! Bitte ignorieren - ich hatte tatsächlich Ägypten überlesen.