VLAN (kostenlos) vs wireguard

Interessent · Apr 14th 2024

Danke. Ich hab das jetzt mal probiert:

Server 1:

Code

1:
network:
    version: 2
    renderer: networkd
    ethernets:
        eth0:
            addresses:
            - 202.61.xx.xx/22
            - …./64
            gateway4: 202.61.xx.x
            gateway6: ...
            match:
                macaddress: xx:xx:xx:xx:aa:d3
        eth1:
            addresses:
            - 10.x.x.10/24
            match:
                macaddress: xx:xx:xx:xx:aa:d4


1: …
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether xx:xx:xx:xx:aa:d3 brd ff:ff:ff:ff:ff:ff
    inet 202.61.xx.xx/22 brd 202.61.xx.xx scope global eth0
       valid_lft forever preferred_lft forever
    inet6 …./64 scope global
       valid_lft forever preferred_lft forever
    inet6 …/64 scope link
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether xx:xx:xx:xx:aa:d4 brd ff:ff:ff:ff:ff:ff
    inet 10.xxx.xxx.10/24 brd 10.xxx.xxx.xxx scope global eth1
       valid_lft forever preferred_lft forever
    inet6 …./64 scope link
       valid_lft forever preferred_lft forever

Display More

Server 2:

Code

network:
    version: 2
    renderer: networkd
    ethernets:
        eth0:
            addresses:
            - 202.61.xx.xx/22
            - .../64
            gateway4: 202.61.xx.x
            gateway6: ...
            match:
                macaddress: xx:xx:xx:xx:a0:3b
        eth1:
            addresses:
            - 10.xxx.xxx.20/24
            match:
                macaddress: xx:xx:xx:xx:a0:3c



1: ….
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether XX:XX:XX:XX:a0:3b brd ff:ff:ff:ff:ff:ff
    altname enp0s3
    altname ens3
    inet 202.61.XX.XX/22 brd 202.61.XX.XXX scope global eth0
       valid_lft forever preferred_lft forever
    inet6 …./64 scope global
       valid_lft forever preferred_lft forever
    inet6 …./64 scope link
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether XX:XX:XX:XX:a0:3c brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    altname ens4
    inet 10.xx.x.20/24 brd 10.xx.x.255 scope global eth1
       valid_lft forever preferred_lft forever
    inet6 …./64 scope link
       valid_lft forever preferred_lft forever
4:...
...
5...
...
...




---

** (generate:67382): WARNING **: 15:15:11.387: Permissions for /etc/netplan/01-netcfg.yaml are too open. Netplan configuration should NOT be accessible by others.

** (generate:67382): WARNING **: 15:15:11.387: Permissions for /etc/netplan/50-cloud-init.yaml are too open. Netplan configuration should NOT be accessible by others.

** (generate:67382): WARNING **: 15:15:11.387: `gateway4` has been deprecated, use default routes instead.
See the 'Default routes' section of the documentation for more details.

** (generate:67382): WARNING **: 15:15:11.388: `gateway6` has been deprecated, use default routes instead.
See the 'Default routes' section of the documentation for more details.
WARNING:root:Cannot call Open vSwitch: ovsdb-server.service is not running.

** (process:67380): WARNING **: 15:15:11.787: Permissions for /etc/netplan/01-netcfg.yaml are too open. Netplan configuration should NOT be accessible by others.

** (process:67380): WARNING **: 15:15:11.788: Permissions for /etc/netplan/50-cloud-init.yaml are too open. Netplan configuration should NOT be accessible by others.

** (process:67380): WARNING **: 15:15:11.788: `gateway4` has been deprecated, use default routes instead.
See the 'Default routes' section of the documentation for more details.

** (process:67380): WARNING **: 15:15:11.788: `gateway6` has been deprecated, use default routes instead.
See the 'Default routes' section of the documentation for more details.

** (process:67380): WARNING **: 15:15:12.135: Permissions for /etc/netplan/01-netcfg.yaml are too open. Netplan configuration should NOT be accessible by others.

** (process:67380): WARNING **: 15:15:12.135: Permissions for /etc/netplan/50-cloud-init.yaml are too open. Netplan configuration should NOT be accessible by others.

** (process:67380): WARNING **: 15:15:12.135: `gateway4` has been deprecated, use default routes instead.
See the 'Default routes' section of the documentation for more details.

** (process:67380): WARNING **: 15:15:12.135: `gateway6` has been deprecated, use default routes instead.
See the 'Default routes' section of the documentation for more details.

** (process:67380): WARNING **: 15:15:12.135: Permissions for /etc/netplan/01-netcfg.yaml are too open. Netplan configuration should NOT be accessible by others.

** (process:67380): WARNING **: 15:15:12.135: Permissions for /etc/netplan/50-cloud-init.yaml are too open. Netplan configuration should NOT be accessible by others.

** (process:67380): WARNING **: 15:15:12.136: `gateway4` has been deprecated, use default routes instead.
See the 'Default routes' section of the documentation for more details.

** (process:67380): WARNING **: 15:15:12.136: `gateway6` has been deprecated, use default routes instead.

Display More

Pings gehen durch

S1: Ubuntu 20.0.4

S2: Ubuntu 22.0.4

frank_m · Apr 14th 2024

Du solltest die Warnings beachten. Die stehen nicht umsonst da.

Interessent · Apr 14th 2024

Interessant, dass S1 keine Warnungen bringt. Die Permissions habe ich auf 600 gesetzt, dieses Warnungen saind weg. Was hat es mit dem Gateway aufsich?

frank_m · Apr 14th 2024

Die Einträge sind veraltet und können prinzipiell nach einem Softwareupdate plötzlich ungültig sein. Die solltest du durch die aktuellen Aufrufe ersetzen.

Code

            addresses:
                - 46.38.x.y/24
                - 91.204.x.y/32
                - 2a03:4000:x:y::1/64
                - 2a03:4000:x:y::2/64:
                    lifetime: 0
                - 2a03:4000:y:x:y:x:y:x/64:
                    lifetime: 0
            routes:
                - to: default
                  via: 46.38.y.x
                - to: default
                  via: fe80::1

Display More

sclaren · Apr 16th 2024

so, mal ein Update zum ursprünglichen Thema. Im Moment leider etwas wenig Zeit, mich damit zu beschäfrgien.

Im Moment habe ich folgendendes Setup.

- Einen größeren VPS (A) und einen Piko (B)

- Beide sind via VLAN (100 MBit) verbunden

- B dient als Reverse Proxy und SSH Jumphost für A, d.h. per Firewall sind auf A nur mein Port für SSH, sowie Port 80 und 443 NUR für die interne IP von B offen, alles andere wird geblockt. Vielleicht separiere ich mal bei Gelegenheit noch den SSH Jump Server vom Proxy.

Dasselbe werde ich dann mal parallel für Tailscale machen. D.h. Tailscale auf beide Kisten und Firewall auf Tailscale IP erweitern. Tailscale deshalb, weil es schnell und einfach eingerichtet ist ;D.

Danach kann ich dann entweder den Proxy auf die Tailcale IP oder die interne IP von A leiten und mal erste Vergleiche machen.

Interessent · May 9th 2024

wie kopiere ich am besten über das eingerichtete VLAN von Server A nach Server B?

scp -r /Quellordner Benutzer@Ziel-IP:/Zielordner

scheitert mit dieser Meldung:

ssh: connect to host 10.xxx.1.20 port 22: Connection refused

Mein SSH Port ist auch nicht mehr 22, weder auf Server A noch auf Server B

frank_m · May 9th 2024

Dann gib doch den richtigen Port an ... man scp oder scp --help.

Interessent · May 9th 2024

Hab ich mit scp -r -P 1234 /Quellordner Benutzer@Ziel-IP:/Zielordner

Kommt die gleiche Fehlermeldung.

frank_m · May 9th 2024

Die Reihenfolge der Optionen ist wichtig bei scp. Lauscht der ssh Server auf dem VLAN?

Interessent · May 9th 2024

ja, Ping zwischen beiden servern gehen durch

frank_m · May 9th 2024

Ein Ping sagt aber überhaupt nichts darüber aus, ob der SSH Server richtig konfiguriert ist.

Interessent · May 9th 2024

Sorry, dann weiß ich nicht was du meinst

frank_m · May 9th 2024

Du kannst bei SSH Servern konfigurieren, auf welchen Schnittstellen oder IPs sie lauschen sollen. Genau da, wo man auch den Port einstellt. Überprüfe mit netstat -tulpen, auf welchen IPs der SSH Server lauscht und korrigiere es bei Bedarf.

Interessent · May 9th 2024

Ach Du meinst

Code

ListenAddress 10.xxx.xxx.xxx

Da hab ich jeweils die VLAN IP Adresse der Server eingetragen

Interessent · May 10th 2024

Nach einem SSH Neustart nimmt er zumindest VErbindung auf.

Allerdings jetzt noch mit Problem vom SSH Key.

Permission denied (publickey)

Da werde ich morgen mal entsprechende Keys erstellen

Hamsterbacke · Jun 1st 2024

Quote from H6G

Vorteil:

MTU 1500

Verbraucht keinen Traffic

Zweiter Host benötigt kein Netz

Einfaches Firewalling

L2

Benötigt keine Rechenleistung

Nachteil:

Unverschlüsseltes VXLAN

Nur innerhalb eines Standortes möglich

Sorry der Nachfrage aber wie ist das genau gemeint mit "Unverschlüsseltes VXLAN"? Im Vergleich zu Wireguard?

Ich habe VLan bis dato noch nicht wirklich benutzt, aber ich gehe mal davon aus das sonst keiner im gleichen Netzwerk ist außer ich. Könnte abgesehen von Netcup jemand sonst das Netzwerk mitlesen wenn ich zwei Server mithilfe von VLan zusammenschalte?

Vielen Dank im Voraus

H6G · Jun 1st 2024

Quote from Hamsterbacke

Sorry der Nachfrage aber wie ist das genau gemeint mit "Unverschlüsseltes VXLAN"?

Ein VXLAN ist erstmal nichts anderes als ein VPN welches unten drunter mit UDP läuft.

Im Gegensatz zu Wireguard ist der Tunnel in sich nicht verschlüsselt.

Wenn dir eine Verschlüsselung wichtig ist, musst du dann natürlich deine Dienste selbst über TLS laufen lassen.

Meistens verwendet man im VLAN allerdings doch eher unverschlüsselte Dienste, wie z.B. MySQL - sonst könnte man sie auch einfach ohne VLAN laufen lassen.

Quote from Hamsterbacke

aber ich gehe mal davon aus das sonst keiner im gleichen Netzwerk ist außer ich. Könnte abgesehen von Netcup jemand sonst das Netzwerk mitlesen wenn ich zwei Server mithilfe von VLan zusammenschalte?

Im Besten Fall kann nur Netcup mitlesen, allerdings würde ich das VLAN immer wie das Internet behandeln und abwägen, ob mir Autorisierung und Verschlüsselung wichtig sind.

Neben anderen Akteuren, wie z.B. Strafverfolgungsbehörden, Angreifern, Innentäter kann es auch durch Fehlkonfigurationen und Fehlfunktionen der beteiligten Hardware dazu kommen, dass Datenverkehr die von Netcup kontrollierte Hardware verlässt und anderen in die Hände fällt - oder es unerwünschte Gäste gibt.

Die Szenarien sind an sich unwahrscheinlich, aber dennoch nicht ausgeschlossen.

Wie du damit umgehst, ist letztenendes deiner Gefahreneinschätzung und Anforderung an Sicherheit überlassen.

Sowohl das Netcup VLAN, als auch Wireguard haben ihre Daseinsberechtigung und jeweiligen Einsatzzwecke.

Hamsterbacke · Jun 1st 2024

Danke für die Aufklärung! Ich kenne es tatsächlich auch genau so wie du es beschrieben hattest, aber ich dachte ich frage lieber nochmal nach ob das bei Netcup eventuell irgendwie anders gehandhabt wird und man da potenziell etwas beachten sollte. Ich war eigentlich nur verwirrt weil da "Unverschlüsseltes VLan" stand, da Netzwerke an sich ja unverschlüsselt sind, aber das war mehr eine Gegenüberstellung zur Wireguard.

andreas. · Jun 1st 2024

Ich glaube, dass der Provider mit dem Anfangsbuchstabe H und seinen Rechenzentren in Nürnberg und Falkenstein mit seinem Produkt vSwitches VLAN anbietet, welches gegenüber dem VXLAN, welches hier Netcup anbietet, auch die Protokolle TCP und UDP unterstützt. Weiß da jemand mehr drüber?

pital · Jun 1st 2024

Ich könnte wetten dass damit sogar ICMP geht

VLAN (kostenlos) vs wireguard

Similar Threads

der netcup Adventskalender startet wieder

Tags