@ebu schrieb:
Hallo
Mein Plan sieht vor, dass hinter der IB3 ein Asus-Router (könnte auch ein Pi sein) steht, auf dem der Wireguard Server dann läuft.
Selbst betreibe ich 3 verschiedene VPN Server nachgelagert zu einer IB3.
Dabei besteht mein aktueller Setup insgesamt aus:
IB3 -> Asus Merlin Router -> Raspberry Pi 4
Auf dem Asus-Router sitzt je ein Open VPN-Server mit UDP- und TCP-Protokoll.
Open VPN Server 1: IB3 Portweiterleitung UDP 51511 von IB3 auf IP-Adresse des Asus Router
Open VPN Server 2: IB3 Portweiterleitung TCP 443 von IB3 auf IP-Adresse des Asus Router (wobei der Open VPN 2 nur zum gelegentlichen Einsatz als Wall-Breaker für Clients in geschützten Umgebungen benutzt wird
Auf dem Raspberry Pi, welcher bei mir dann nochmals dem Asus Merlin Router nachgelagert ist, sitzt dann noch der WireGuard-Server.
WireGuard-Server: IB3 Portweiterleitung UDP 52111 von IB3 auf IP-Adresse des Asus Routers, Asus Router Portweiterleitung UDP 52111 von Ausrouter auf IP-Adresse des Raspberry Pi (die Portweiterleitung ist also durchkaskadiert bis zum Gerät, auf welchem sich der WireGuard Server befindet)
Default-Ports für die Verbindungen (ausser beim “Wall-Breaker-VPN”) sind mit Absicht keine in Verwendung, denn sowohl bei Open VPN wie auch bei WireGuard empfiehlt es sich private selbstgewählte Ports auf den VPN-Server zu konfigurieren damit man weniger ins Suchmuster von Portscan-Bots aus dem Internet gerät.
Für jeden VPN-Server braucht man also einen einzelnen individuellen Port, eine Weiterleitung dieses Ports von der Internetbox bis zur Appliance, auf welcher der VPN Server gehostet wird und dann natürlich noch einen DynDNS, am einfachsten direkt von der Internetbox nachgeführt (muss jedoch nicht unbedingt der Swisscom-eigene sein)
Was es nicht braucht sind:
- statische Routen, welche für direkten Traffic aus dem Internet völlig nutzlos sind
- DMZ-Modus, welcher völlig unnötig viel tausende von Ports durch die Internet-seitige Firewall der IB3 durchlässt, obwohl Du ja vermutlich überhaupt nur einen einzigen Port benutzen willst.
Und noch zum Thema Sicherheit:
Ein einzelner bewusst geöffneter und direkt auf einem VPN-Server terminierter Port, ist kein Sicherheitsrisiko, sondern die sicherst mögliche Methode um aus dem Internet überhaupt auf ein privates Netz zugreifen zu können.
PS: WireGuard läuft, wie Du ja bereits weisst, sowohl auf moderneren Asus Routern, wie auch auf den Raspi.
Geht es Dir nur um den WireGuard-Server, würde ich die Raspi-Variante direkt abgehängt an einer Swisscom Internetbox empfehlen, geht es um ein weiter gehendes Bedürfnis, also tatsächlich ein eigenes von der Swisscom unabhängiges IP -Netz in eigener Verantwortung zu betreiben, dann wäre für die Netzkaskadierung ein Asus Router keine schlechte Wahl, wobei ich dabei immer auch auf die Kompatibiltät mit der zusätzlichen Firmware Merlin achten würde. Falls Du momentan gerade einen Asus kaufen möchtest, scheint mir aktuell ein GT-AX6000 die beste Wahl zu sein, denn da kriegt man gerade sehr viel Hardware-Leistungen für sehr wenig Geld.
