YouTube - c't 3003: Homeserver von außen erreichbar machen!

Hi!

Ein wirklich sehr interessantes und sehenswertes Video für alle, die mit dem Gedanken spielen, ihren Homeserver von extern erreichbar zu machen.

Homeserver von außen erreichbar machen!

Dann können wir zwei uns ja die Hände schütteln, denn genauso handhabe ich das auch. In meinem Netzwerk läuft zwar ein Nginx Proxy Manager, dieser befindet sich aber in einer DMZ um dort eine kleine Auswahl an Diensten entsprechend weiterzuleiten, ohne dabei Zugriff auf mein eigentliches Subnetz zu haben.

Quote from Stinkfrucht

...QuickConnect aktiviert und der Port im Router geöffnet...

QuickConnect benötigt keine geöffnete Ports im Router, da hier die Verbindung von innen heraus über einen externen Vermittlungsserver aufgebaut und gehalten wird. Alle eingehenden Anfragen laufen dann über diesen externen Vermittlungsserver und da die Verbindung bereits "established" ist, gehen die Anfragen durch. Das ist das, was in dem Video kurz ab Minute 9 über Tailscale und "UDP Hole Punshing" erwähnt wird.

Quote from Stinkfrucht

Aber das mit dem Subnetz ist eigentlich eine gute Idee. Hier könnte man ja den zweiten LAN-Port an der NAS nutzen.

Jaaaaaaa... kann man machen... wobei ich persönlich nicht viel davon halte, da hier immer noch auf ein und dieselbe Maschine zugegriffen wird. Je nachdem, welcher Service kompromittiert wurde und wie gut der Angreifer (oder Bot) seine Sache macht, spielen unterschiedliche Subnetze dann auch keine Rolle mehr. Trotzdem wäre es eine Möglichkeit und die eingebaute Firewall von UGOS Pro hilft dabei natürlich ungemein, wenn sie entsprechend gut konfiguriert wurde.

Bei mir werden insgesamt 3 Subnetze durch die pfSense Firewall bereitgestellt, die man durch entsprechende Regeln entweder miteinander oder auch nur einseitig kommunizieren lassen kann, oder vollständig voneinander trennt. Vor der pfSense befindet sich noch mein Fritzbox Subnetz (192.168.178.0/24), welches mir als DMZ dient, auch wenn hier jetzt sicherlich wieder einige den Finger heben, da die DMZ eigentlich "hinter" die pfSense, in einem entsprechenden Subnetz liegen sollte. Diese Diskussion möchte ich an dieser Stelle aber nicht weiterführen wollen. Jedenfalls befindet sich in diesem Fritzbox Subnetz ein Nginx Proxy Manager der eingehenden Anfragen aus dem Internet entweder direkt ins Fritzbox Subnetz (also meine DMZ weiterleitet) oder bei Bedarf in ein Subnetz "hinter" der pfSense.

In der Fritzbox selbst werden demnach nur zwei bzw. drei Ports weitergeleitet. Einmal Port 80/443 (wobei Port 80 i.d.R. ebenfalls zu ist) und einen Port für OpenVPN, der an die pfSense weiterleitet wird und worüber meine eigentliche Kommunikation von extern läuft.

Bei UGREEN heißt dieser Dienst UGREENLink. Du kannst den Dienst in UGOS Pro unter Meine Apps > Systemsteuerung > Geräteverbindung in der Registrierkarte Remotezugriff aktivieren, indem du den Haken bei UGREENLink Remotezugriff setzt.

Ich würde jedoch von Diensten wie QuickConnect oder UGREENLink abraten und stattdessen bestenfalls VPN nutzen. Falls es dann doch unbedingt eine Portfreigabe im Router sein muss, würde ich das ganze zumindest in Kombination mit z.B. dem Nginx Proxy Manager betreiben. Aber das muss jeder für sich abwägen und entscheiden.

Quote from Stinkfrucht

Ich habe übrigens ein UniFi Netzwerk...

... worüber ich mir noch nie wirklich Gedanken gemacht habe.