Beiträge von EndoMorph

Die Funktionalität ist bei mir genau so wie von dir beschrieben, gerne kann man auch Server und Client durch Responder und Initiator ersetzen.

Ich glaube so allgemein kann man das mit Wireguard nicht beschreiben.

Ich habe in meinem Szenario einen VPS, der als zentraler Server für die Clients dient.

Bedeutet, die Konfiguration des Servers besitzt ein Interface und die entsprechenden Peers der Clients (Handy z.B.).

Diese Peers haben aber auf dem VPS keine Angabe eines Endpoints.

Bedeutet, der VPS kann von sich aus keine Verbindung zu einem Client aufbauen.

Bei den Clients ist in der Konfiguration wiederum als Endpoint der VPS eingetragen und auch das KeepAlive ist auf der Seite des Clients konfiguriert.

Dieser Aufbau bereitet auch keine Probleme bei einem IP Wechsel der Clients, der Tunnel bleibt trotzdem bestehen.

Lediglich die IP Adresse des VPS darf sich nicht ändern.

Du scheinst da ein anderes Szenario aufgebaut zu haben, da es sich bei dir anders verhält.

Man kann Wireguard aber effektiv auch in einem Client Server Setup aufsetzen.

Ich hätte zu der Firewall auch noch mal eine Frage:

Es wird ja empfohlen, dass neben der neuen Firewall auch weiterhin eine auf den Servern eingesetzt wird.

Das leuchtet mir dann ein, wenn Beispielsweise ein TCP Port geöffnet werden soll, dann aber zusätzliche Einschränkungen für diesen Port konfiguriert werden sollen (Zugriff nur für IPs aus einem VPN Netz z.B.).

Im Grunde muss ich doch aber davon ausgehen, dass die neue Firewall trotzdem sicher ist oder?

Bedeutet, wenn ich z.B. den SSH Port von draußen Sperre und SSH nur über ein eigenes VPN nutzen möchte, sollte es doch reichen, dies an der neuen Firewall einzustellen und nicht noch zusätzlich die gleiche Firewall Regel auf dem Server einzustellen.

Ansonsten baue ich mir mit zwei Firewall doch nur unnütze Komplexität auf für eine Sperre, die theoretisch bei der ersten Firewall schon greifen sollte.