Pi4b - Pivpn, Adguard Home und Nextcloudpi. Sicherheitsbedenken?

[ace-drink]

Hallo,

Aktuell läuft bei mir Pivpn mit wireguard und Adguard Home auf dem Pi4b mit 4gb.

Ich würde nun gerne noch NextcloudPi installieren und es so einrichten dass die cloud nur erreichbar ist, wenn ich via VPN verbunden bin.

Wie das geht ist mir klar aber ich bin mir unsicher ob ich damit nicht doch eine Sicherheitslücke habe, wenn das alles auf dem selben PI läuft, oder sollte VPN und Cloudinstallation auf getrennten PI sein?

Hat das jemand so am laufen und sieht bestimmte pro und con die ich evtl. übersehe

 

[IBISXI]

Mit dem Pi hat das erstmal nichts zu tun.
Eher mit der Netzwerkkonfig.

Wenn der Tunnel die einzige Verbindung vom Internet zum Pi ist, sehe ich kein Problem.

 

[Azghul0815]

Wenn der Tunnel die einzige Verbindung vom Internet zum Pi ist, sehe ich kein Problem.

Genauso greife ich auf versch. Services in meinem Intranet zu.

 

[IBISXI]

Ich hab auch direkt (hinter einer OPN Sense Firewall) einige Werbservices offen und hatte noch nie Probleme.
Nextcloud, Zoneminder, Vaultwarden, Plex, Energievisu......

 

[ace-drink]

In der Tat der Pi ist letztlich irrelevant. Könnte auch sonst ein device sein.

Ja man kommt vom Internet nur via wireguard auf den Pi. Sonst nicht, da mir das viel zu unsicher wäre.

Ok. Dann hat mich der Security blog von Mike Kuketz wohl unnötig verunsichert da dieser in den comments davon abrät und ich die Infos dort sonst immer gut fand.

Mir ging's wirklich nur drum, ob alles auf einem Gerät ein Security risk darstellt

 

[Raijin]

In einer idealen Welt sind alle Services autark, d.h. eigene Hardware, eigenes OS, eigene Firewall. Das minimiert Angriffsszenarien, in denen einer der Services gehackt wird und der Angreifer darüber Zugriff auf das System und somit gleichzeitig auch auf die anderen Services erlangt. Wie gesagt, in einer idealen Welt.

In der realen Welt ist das so nur bedingt machbar, weil diese Strategie entsprechend viele Ressourcen in Anspruch nimmt, was ziemlich ineffizient und manchmal eben auch reine Verschwendung ist. Wenn aber letztendlich nur das VPN exponiert ist, bleibt zumindest die grundlegende Angriffsfläche gleich. Sollte es wirklich jemand durch das VPN schaffen, ist das Kind sowieso schon in den Brunnen gefallen