VPN Netzwerk mit eigenem externem Server und mehreren Endpunkten

[giraffenhals]

Hallo zusammen.

Thema:
VPN Zugriff von außerhalb auf mein Heimnetzwerk über einen eigenen externen Server.

Problem:

• Anschluss zu Hause hinter Double NAT
• krieg es nicht hin

Hardware:
- Heimnetz:
-- Fritzbox 7530 → baut Internetverbindung auf und ist für Telefonie zuständig
-- Lancom 1781VA → ist der Hauptrouter im Netzwerk, ist für Routing zuständig, verwaltet VLANs,.......

Genauere Beschreibung:
Ich möchte gerne auf mein Heimnetzwerk von extern zugreifen. Wenn ich z.B. in der Uni bin, mit meinem Laptop eine Verbindung nach Hause zu meinem Netzwerk aufbauen um Dateien, etc. auszutauschen.

Damit das ganze auch sicher durchgeführt werden kann, möchte ich diesbezüglich einen VPN nutzen.

Mein Problem ist jedoch, dass ich umgezogen bin und von zu Hause providerseitig hinter einer doppelten NAT sitze und ich somit nicht einfach in meinem Heimnetzwerk einen VPN-Server laufen lassen kann um dort hin zuzugreifen (da ich die IP hinter der NAT ja nicht erreichen kann).

Vorher in der alten Wohnung war das kein Problem, da ich nicht hinter einem doppelten NAT saß und somit einfach über den LANCOM VPN-Client eine VPN-Verbindung auf meinen Router herstellen konnte.

Also hab ich mir folgendes Überlegt:
Bei 1blu z.B. kann man sich online für günstiges Geld einen eigenen Server mit einer festen öffentlichen IP mieten, mit dem man so ziemlich alles machen kann, was man möchte (war vor ein paar Wochen für 1€/Monat (12 Monate Laufzeit) im Angebot, ansonsten kostet der ~6€ im Monat).
Der hat dann 4cores, 8GB RAM und 120GB Speicher..... aber für meine Zwecke wird das dicke genügen.

Die Idee ist jetzt, auf diesem Server einen VPN-Server aufzusetzen, mein Heimnetzwerk damit zu verbinden (sodass mein Heimnetz zu Hause permanent sich mit diesem VPN-Server verbindet) und ich dann nach Bedarf von extern mit meinem Notebook mich ebenfalls auf diesen Server verbinde,... und somit auf mein Heimnetzwerk zugreifen kann.


Hab mich diesbezüglich schon einiges angelesen und probiert, aber bin kein Profi im Bereich VPN und hab kein Zufriedenstellendes Ergebnis gefunden,....
Allerdings auch dem geschuldet, dass ich jetzt nicht sonderlich viel Erfahrung mit Linux-Systemen hab und die meisten Sachen, die ich zu dem Thema gefunden hab darauf aufsetzten (ist kein Problem, erschwert die Sache lediglich etwas für mich).

Mein bestes Ergebnis war bis jetzt:

• Proxmox als Hypervisor auf dem Server
• WireGuard-Server in einem Container
• Verbindung von der Fritzbox zu dem Wireguard server

→ so konnte ich zumindest von meinem Heimnetzwerk auf den Server per VPN zugreifen, aber von einem anderen Client hin zum Heimnetzwerk funktionierte irgendwie nicht (wie gesagt, wenig Ahnung von der Materie, vielleicht auch nur ein Konfigurationsfehler).


→→ Aber ich möchte eigentlich gerne von dem LANCOM aus eine Verbindung aufbauen lassen (der kann IKE/IPsec & IKEv2/IPsec).


Hat diesbezüglich schon mal jemand ähnliches Problem gehabt und kennt da irgend einen gutes How-To?
Welches wäre die beste Software-Option als VPN-Server auf dem externen Server?

 

[Pete11]

Lancom 1781VA → ist der Hauptrouter im Netzwerk, ist für Routing zuständig, verwaltet VLANs

Wer hat das denn eingerichtet und wozu genau ist das gut?

Der Zugriff auf Deine 7530 läßt sich einfach einrichten - Wireguard ist das Schlagwort.
Wie es dann von der 7530 weitergeht ???

 

[giraffenhals]

Wer hat das denn eingerichtet und wozu genau ist das gut?

Das war ich selbst.
Ein Freund von mir hat mir mal von den Lancom Routern erzählt, da war ich neugierig und hab mir einen besorgt.
Den Router hab ich für 20€ bei Ebay geschossen (die Dinger sind normal arschteuer aber das ist auch ein älteres Modell schon), aber bin eigentlich recht begeistert davon.

Den Lancom nutze ich, weil ich mir zu Hause mehrere Netzwerke mit VLANs gebaut hab (sind 4 verschiedene Netze) und das damit gut umzusetzen war, sowohl was die Erstellung der VLANs, sowie auch die funktionen der Firewallregeln und die Abgenzung der Netze zueinander angeht (klar eine gewisse Einarbeitungszeit war auch hier notwendig, aber mit der Fritzbox hätt das glaub nicht geklappt).

 

[ms007]

Das mit dem externen Server ist eher mit Kanonen auf Spatzen schießen.
Ich würde das Notebook via Wireguard direkt an die Fritzbox anbinden. Wenn auf der 7530 das FritzOS 7.56 läuft, kann die das. Damit bekommt das Notebook eine IP-Adresse aus dem (internen) Subnetz der Fritzbox. Dieser IP-Adresse dann im Lancom die gewünschten Zugriffe erlauben. Die Fritzbox sollte noch wissen, welche Segmente hinter dem Lancom laufen (Routing Einträge in der Netzwerk-Konfig der Fritzbox), damit sie Antworten richtig schickt und nicht an ihr Default Gateway.

 

[riversource]

Ich würde das Notebook via Wireguard direkt an die Fritzbox anbinden.

Geht ja nicht, wegen NAT beim Provider. Steht extra oben im Beitrag.

Die VPS Lösung ist genau die, die ich dafür auch verwende. Das funktioniert perfekt. Allerdings halte ich Proxmox für überdimensioniert. Einen kleinen VPN Container bekommt man mit weniger Overhead hin - wenn man überhaupt einen Container braucht. Das geht auch alles nativ auf dem Host.

Das Problem ist, wenn du die Fritzbox die VPN Verbindung aufbauen lässt, denn dann bist du "vor" dem LANCOM in deinem Heimnetz und musst noch an dessen Firewall vorbei. Für Anwendungsfälle wie Dateiaustausch kannst du das mit Portweiterleitungen etc. vergessen.

Entweder solltest du den LANCOM die VPN Verbindung aufbauen lassen, oder wenn der kein Wireguard kann, dann einen VPN Client ins Netz des LANCOMs hängen, einen Raspi zum Beispiel oder den Fileserver, mit dem du Dateien austauschen willst. Dann bist du direkt im Heimnetz und kannst sehr komfortabel dein Anliegen umsetzen.

Auf dem Server könnte man strongswan installieren für IPSec, aber das ist konfigurationsmäßig schon herausfordernd. Da muss man wirklich wissen, was man tut, und ein Howto hilft einem da vermutlich nicht weiter. Dafür sind deine Anforderungen zu speziell, und du musst den Aufbau so gut verstehen, dass du selber die Konfiguration anpassen kannst.

Wenn du IPv6 hast, dann gäbe es ggf. einfachere Lösungen. Aber da ist die Frage, ob du auch an der Hochschule IPv6 hast.