Beiträge von frank_m

Das hab ich zusätzlich, um die Desktop Apps nutzen zu können. Aber da fehlt halt Sharepoint und Mail.

Die Kombination aus einer (rabattierten) Home Single und der Business Basic ist günstiger, als ein Business Pro Abo. Ich schlag da gern mal zur Black Friday Zeit zu, da kann man die Home Single häufig recht günstig schießen, auch bei seriösen Anbietern.

Inzwischen ist Onedrive ja erwachsen geworden. Aber damals hatte Sharepoint noch Vorteile, vor allem der maximalen Dateigröße usw. Ich nutze Sharepoint auch nicht für Webseiten und so, sondern eher als Backup Speicher. Onedrive ist auf den mobilen und stationären Geräten für den Dateisync etc. eingerichtet, und rclone synct aus Cronjobs heraus Backups auf den Sharepoint. Die Kombi hat sich bewährt.

Da ich das ganze für mich privat nutze und der RS eher ein Hobby ist, hoste ich Mail nicht selber. Der Aufwand ist mir einfach zu hoch, denn ich halte einen Mailserver für so ziemlich den aufwendigsten Server - aus Sicht von Wartung und Pflege.

Ich hab mich für ein Microsoft 365 Business Basic Abo entschieden. Für 5 EUR im Monat 50 GB Mailkonto (+ geteilte Postfächer für weitere Domains oder Spezialadressen), Kalender, Kontakte, 1 TB Sharepoint und 1 TB OneDrive. Preis/Leistung ist da echt gut.

Kannst du rausfinden, ob die Antwort am Router noch ankommt? Vielleicht was mit Connection Tracking? Oder Protokoll 41 gesperrt?

Da ist definitiv eine Regel drin, die den Zugriff auf das Docker Wireguard erlaubt.

Chain DOCKER (2 references)
target     prot opt source               destination
ACCEPT     udp  --  anywhere             172.18.0.2           udp dpt:51820

Das erklärt den möglichen Zugriff. Wo die herkommt: Keine Ahnung.

Ja, zum Beispiel, bitte für alle relevanten Tables.

Und wie sehen die resultierenden Firewallregeln aus?

Dann stelle ich mir die Frage, wie genau hast du "alles verboten"? Vielleicht ist das nicht ganz so "alles", wie du denkst.

Wenn dem aber so ist, dann muss es ja eine Regel geben, die dem Docker-Wireguard die Kommunikation erlaubt. Die sollte doch zu finden sein, selbst bei ufw.

Vielleicht hast du UDP Ports in deinem Setup vernachlässigt und dich zu sehr auf TCP konzentriert?

Zitat von ahmedahmed

Aber alles andere ist geschlossen. Sogar vom WireGuard der Standardport für VPN

Dabei solltest du zwei Dinge bedenken: Du hast vermutlich nur auf TCP getestet, aber es gibt auch noch UDP, ICMP, und zahlreiche weitere Protokolle, die teilweise nicht mit Portnummern arbeiten. Der Umstand, dass du deinen Wireguard UDP Port nicht gefunden hast, zeigt deutlich, dass du nicht ordentlich getestet hast.

Dazu kommt: Im Moment mag nicht mehr offen sein, weil der Server frisch ist und nichts eingerichtet wurde. Aber sobald du ein neues Paket installierst oder ein vorhandenes Paket ein Update bekommt, kann das anders aussehen. Selbst SSH auf Port 22 zu belassen und vermutlich sogar Passwort-basierte Authentifizierung zuzulassen, ist ein Risiko, dass eigentlich nicht vertretbar ist. Schau mal in dein Log. Da sind mit Sicherheit haufenweise gescheiterte Login-Versuche auf SSH.

Alte Faustregel: Die Ports, die man nicht braucht, macht man zu. SSH auf andere Ports verlegen und Login nur via Zertifikat oder schlimmstenfalls noch per 2FA. Immer auch an UDP, ICMP und andere Protokolle denken. Und alles immer für IPv4 und IPv6, und bei IPv6 noch Routing Header Type 0 bedenken.

Ja, da ist einfach nichts. Dein Server hängt offen für alles erreichbar im Netz. Mich würde das nervös machen.

Übrigens: Wenn du das ganze in Code Tags verpackst, dann ist es deutlich besser lesbar.

ufw oder ähnliches ist nicht aktiv. Ich persönlich mag das, andere mögen das anders sehen. Da aber auch dein Installationsscript direkt auf iptables setzt, ist das vermutlich gut so.

Du solltest dir jetzt das iptables Howto deiner Wahl suchen und dann die Basiskonfiguration vornehmen. Dabei sollte die Maßgabe sein, alles zu blocken, was du nicht wirklich brauchst. Anschließend kannst du dann die Regeln fürs Portforwarding einfügen, wie Homwer es gepostet hat.

Zitat von ahmedahmed

Wie kann ich das herausfinden?

Eigentlich solltest du das nicht herausfinden müssen, sondern wissen, denn das ist das erste, was man an einem VPS einrichtet.

Gib erst mal "iptables -L", "iptables -t nat -L" und "ip6tables -L" ein. Die Ausgaben verraten vielleicht schon eine Menge.

ahmedahmed: Ist bei dir denn die iptables Variante aktiv? Das Script bietet ja mehrere Optionen. Oder sind andere Firewall Frameworks aktiv? ufw oder so? Das musst du bei den Portweiterleitungen ja auch beachten.

Dann noch sicherstellen, dass der Server grundsätzlich gegen Fremdzugriffe geschützt ist. Dann sollte es funktionieren.

Es scheint wirklich schwierig zu sein, aus dir mal gezielt sinnvolle Informationen herauszubekommen.

Du MUSST was auf dem VPS gemacht haben, um das Routing zu ermöglichen. Vielleicht war es Bestandteil der Wireguard Anleitung, dann schreib doch wenigstens, welche du da befolgt hast. Dazu ein paar Infos bezüglich IP Netzen etc, damit man mal einschätzen kann, was da bei dir überhaupt läuft.

Meine größte Sorge: Da selbst auf mehrfache Nachfrage einfach gar nichts Brauchbares zurückkommt, steigt bei mir der Verdacht, dass du nicht den Hauch einer Ahnung hast, wovon wir eigentlich reden. Das ist beim Betreiben eines VPS äußerst gefährlich, du musst dabei auch an Mitstörerhaftung etc. denken. Wenn dein Server hops genommen wird, dann landen die IPs von Netcup wieder auf irgendwelchen Blacklisten, und die Folge ist das hier:

Sowas ist inakzeptabel.

Das beantwortet nicht die Frage. Auf dem VPS musst du etwas unternommen haben, was den Raspi ins Internet lässt. Vielleicht eine iptables Regel, vielleicht was mit ufw oder ähnlichem. Dort musst du auch für die Portweiterleitung aus dem Internet ansetzen, und dort musst du auch dafür sorgen, dass dein Server abseits der VPN-Verbindung nicht angreifbar ist.

Also: Wie sieht das momentan bei dir auf dem VPS aus?

Zitat von ahmedahmed

→ Wie erreiche ich jetzt mein Raspberry außerhalb des VPN-Netzes.

Kommt drauf an. Benutzt du ein privates Netz im VPN? Und gibt es dann NAT Regeln für den ausgehenden Datenverkehr? Oder wie hast du das geregelt, dass dein Raspi über den VPN Tunnel ins Internet kommt?

Hier von einem Anschluss der Deutschen Glasfaser funktioniert IPv6 Ping ebenfalls nicht, aber das Forum problemlos per IPv6.

pasted-from-clipboard.png

Zitat von alhazred

Ist IP Forwarding und (ich denke das braucht auch Wireguard wenn man darüber raus will) Masquerade?

Stimmt, das läuft so, wie auf jedem anderen NAT Router auch. Aber wenn er darüber surfen kann, dann scheint es schon entsprechende Regeln zu geben.

Prinzipiell warne ich davor, die Firewall komplett offenzulassen. Unbenutzte Ports sollten für den Zugang von außen gesperrt sein.

"Weshalb willst du das, das brauchst du nicht?"

Spaß beiseite. Ich gehe ebenfalls fest davon aus, dass sich die IPv6 nicht an das zweite virtuelle Interface binden lässt. Ich glaube auch nicht, dass die Verlagerung in ein anderes Subnetz daran was ändern wird, denn damit hat IPv6 auch kein Problem. Link-lokale und globale Adressen teilen sich ja auch friedlich ein Interface.

Prinzipiell brauchst du das wirklich nicht. Es wird an den Paketen, die deinen Rechner verlassen oder erreichen, nicht den geringsten Unterschied machen. Auf Applikationsebene siehst du es auch nicht, Sockets werden an Adressen gebunden. Ich würde nicht zu viel Zeit drin versenken.

Zitat von Virinum

Woran erkennt man an welcher Partei das liegt? Wie gesagt, von netcup zu mir geht der Weg auch über Amsterdam.

Die Frage ist doch: Wird es schneller, wenn du über einen Wald-und-Wiesen-Interconnect in Hinterpuckelmuckelsdorf geroutet wirst?

Anexia hat zu Akamai (und Telia?) einen guten Link in Amsterdam. Das kann auch ein Vorteil sein.

Zitat von ThomasChr

Das ist jetzt sogar fürs längste Thema Off Topic, aber wer eine (selbstgebaute) Wetterstation hat kann gern mal schauen was die gestern so zwischen 20 und 21 Uhr aufgezeichnet hat…

https://en.m.wikipedia.org/wiki/2022_Hung…ion_and_tsunami

Aufgezeichnet mit meiner Netatmo Station an der Grenze Niedersachsen/NRW.

pasted-from-clipboard.png