VPN-tunnel naar mijn thuis netwerk

[Sickding]

Hoi,

Ik probeer vanaf scratch een vpn-tunnel op te zetten, zodat ik overal verbinding kan maken met mijn wifi/netwerk thuis. (ik heb niet heel veel netwerk kennis).

Is dit überhaupt mogelijk met alleen een connectbox van Ziggo of zal ik hiervoor toch een router moeten aanschaffen en de connectbox in bridgemodus zetten?

Ik heb een machine ter beschikking die als server kan fungeren. Zelf dacht ik aan OpenVPN op linux.
is dit mogelijk en makkelijk te doen? Ik kan moeilijk ergens een goede guide vinden.

[arjanw848]

Zoek eens op tailscale, dat is redelijk eenvoudig op te zetten.

[PhilipsFan]

Er zijn zat guides te vinden, maar de meeste gaan uit van Linux en een normale router waarbij de modem in bridgemode staat. Maar volgens mij kan het ook met een connectbox.

Ik raad je aan om Wireguard te gebruiken. OpenVPN werkt ook, maar is lastiger om te configureren en om te gebruiken. Je zult een server moeten inrichten die staat te luisteren. Op je connectbox moet je een poort openzetten die wijst naar die server en de poort daarvan. Op die manier kun je van buitenaf de server bereiken. Je moet nog wel iets verzinnen op het dynamische ip-adres. Dat kan met een dyndns account (of iets dergelijks), maar ik heb het nog simpeler: mijn server stuurt me elke nacht via een Telegram kanaal mijn externe ip-adres. Mocht dat veranderd zijn (gebeurt niet zo vaak bij Ziggo) dan kun je het handmatig aanpassen in de client.

Wireguard inrichten zijn guides voor, zie het internet. Je server kan een qr-code laten zien die je op je telefoon kunt inlezen (in de Wireguard app), dat is de makkelijkste manier. Als je het op bv een Raspberry Pi inricht, dan hoeft er geen PC dag en nacht aan te blijven en dat is wellicht nog wat veiliger voor als er ooit beveiligingsellende wordt gevonden in Wireguard zelf.

[Ben(V)]

Een andere router is niet nodig.

Installeer een Vpn server in je netwerk en forward de poort die deze Vpn server gebruikt in je Connectbox naar het device waar die Vpn server op draait.

Je kunt OpenVpn of Wireguard gebruiken als Vpn server.
En je het uiteraard een erbij horende Vpn client nodig om de tunnel op te bouwen.

[Nobby]

Tailscale draait op Windows, Android, Linux en MacOS/iOS.

Kijk maar eens naar https://tailscale.com/

Hoef je niet te port forwarden of andere instellingen te wijzen op je router.

[ Voor 28% gewijzigd door Nobby op 08-03-2022 01:25 ]

[Sickding]

is het ook mogelijk om met mijn thuis wifi te connecten via tailscale of is dit alleen mogelijk via een wireguard/Openvpn.

[Christoxz]

Sickding schreef op dinsdag 8 maart 2022 @ 08:04:
is het ook mogelijk om met mijn thuis wifi te connecten via tailscale of is dit alleen mogelijk via een wireguard/Openvpn.

Ja, je krijgt met een VPN toegang tot je virtuele netwerk, die dan (standaard) weer hangt aan je eigen netwerk.

Hou er wel rekening mee dat bij Tailscale het niet altijd gegarandeerd een directe verbinding is met thuis, dit kan ook lopen via een relay.

Zelf gebruik ik Wireguard, staat om bekend om een stuk makkelijker te zijn dan OpenVPN, en dat klopt ook.
Na de installatie krijg je gelijk je certificates en kan je direct aan de slag zonder complexe configs.(Kan natuurlijk wel, maar bij default niet nodig)

Vereist dan wel 1 port forwarding, maar dat is prima te doen in de Connectbox, daar heb je geen bridge modus voor nodig.

[Lawwie]

https://github.com/angristan/openvpn-install

Een script wat de installatie voor je doet, alleen even poort 1194 (of een ander als je die instelt) forwarden naar de server/virtuele machine.

[pennywiser]

Pivpn https://www.pivpn.io/ Is een wrapper/shell met extra beheer commandos rond openvpn of wireguard. Erg handig in gebruik. Installatie gaat hetzelfde als met Pihole.

Zelf gebruik ik openvpn omdat je dan tcp poorten zoals 443 kunt gebruiken. Meestal staat udp of native vpn poorten dicht op het netwerk waar je bent (public wifi werk etc). Wireguard doet geen tcp dus daarmee kan je nog poort 53 udp proberen, maar dat werkt iets minder vaak dan 443 https dat overal altijd open staat (anders kan je geen sites bezoeken). Openvpn kan zowel udp als tcp.

@Lawwie die is ook interessant tnx.

[ Voor 75% gewijzigd door pennywiser op 08-03-2022 08:20 ]

[Sickding]

Bedankt voor alle reacties!

Als ik Wireguard/Openvpn wil gaan gebruiken moet ik dus gewoon het private ip van de server (192....) forwarden met de juiste poort in mijn connectbox?

[Lawwie]

Sickding schreef op dinsdag 8 maart 2022 @ 08:27:
Bedankt voor alle reacties!

Als ik Wireguard/Openvpn wil gaan gebruiken moet ik dus gewoon het private ip van de server (192....) forwarden met de juiste poort in mijn connectbox?

Als je het middels een server wil bouwen ja. Dan forward je in het geval van openvpn alle inkomende verbindingen op je connectbox op poort 1194 naar dezelfde poort richting het private ip adres van je server.

[Ben(V)]

@Sickding
Je verwoordt het verkeerd, maar bedoelt waarschijnlijk het juiste.

Je moet in je Connectbox een forward doen van de poort die je VPN server gebruikt naar het ipadres van het device waar je die VPN server op installeert.

[pennywiser]

Poort 1194 gebruiken is de garantie dat je vrijwel nooit bij je vpn kunt van buitenaf.

[Sickding]

Eigenlijk moet ik dan bijv 443 openzetten ipv 1194 om die connectie van buitenaf te maken.

[noudi93]

Ik draai ook wireguard via https://www.pivpn.io/ in een linux vm, werkt perfect. Wel handig om de default poort aan te passen van 1194 naar iets anders.

Vervolgens in de connectbox een portforwarding maken die de door jou geconfigureerde poort openzet naar het lan ip van de wireguard server.

Naast dat wireguard een qr code kan genereren kan het ook gewoon config bestanden genereren die je in de wireguard client kunt inladen, dit heb ik zelf gedaan om mijn laptops en android telefoon. Werk perfect, ik kan vanuit overal bij mijn huisnetwerk en alles wat daarop draait.

OpenVPN kreeg bij mij problemen, ik moest een statische route in mijn router zetten wat de connectbox van Ziggo niet ondersteund. Maar het kan zijn dat ik bij Openvpn zelf wat verkeerd gedaan heb. Maar Wireguard was beduidend makkelijker op te zetten.

[Ben(V)]

@noudi93
Het is echt niet nodig een statische route voor OpenVpn op te zetten, een simpele poortforwarding is voldoende.

@Sickding
OpenVpn kan met elke poort werken, maar standaard wordt 1194 gebruikt.
Alleen als je client op een netwerk zit waar een firewall actief is die andere poorten blokkeert, kun je poort 443 gaan gebruiken, omdat die meestal niet geblokkeerd wordt.

[ Voor 3% gewijzigd door Ben(V) op 08-03-2022 09:07 ]

[pennywiser]

Sickding schreef op dinsdag 8 maart 2022 @ 09:02:
Eigenlijk moet ik dan bijv 443 openzetten ipv 1194 om die connectie van buitenaf te maken.

En in openvpn.conf aanpassen: udp naar tcp, poort 1194 naar poort 443.

Pivpn geeft je deze keuze in de install wizard.

[pennywiser]

noudi93 schreef op dinsdag 8 maart 2022 @ 09:02:


OpenVPN kreeg bij mij problemen, ik moest een statische route in mijn router zetten wat de connectbox van Ziggo niet ondersteund. Maar het kan zijn dat ik bij Openvpn zelf wat verkeerd gedaan heb. Maar Wireguard was beduidend makkelijker op te zetten.

Routes regelt Pivpn toch? Wireguard kan geen tcp, welke poort gebruik jij dan nu?

[Hann1BaL]

Ga je toch op een doosje pivpn installeren, Installeer dan meteen de duckdns updater zodat je gratis een vaste hostname hebt. Duckdns is super simpel en geeft je een vaste hostname.

Dat kun je mooi op hetzelfde doosje draaien zodat je externe IP altijd geupdate blijft. Al is bij Ziggo je IP wel semi-permanent.
http://www.duckdns.org/

WireGuard heeft ook een simpele instelling zodat je wireguard uitschakelt als je op je eigen wifi netwerk zit en automatisch daarbuiten inschakelt.
Ik ben eigenlijk altijd verbonden met mijn thuisnetwerk.

Het enige nadeel is dat de batterij van je telefoon een paar procent harder achteruitgaat en als je op een plek met zeer slecht databereik zit je het extra merkt (meer timeouts etc..)

[pennywiser]

Nog wat tips: installeer je pihole op dezelfde machine, dan vraagt pivpn of je deze dns wilt gebruiken. Adblocking dns on the go op elke public wifi.

SSLH kan je gebruiken om poorten te multiplexen. Bv. als je 443 al gebruikt voor Apache/https. SSLH filtert dan https en openvpn en stuurt het door naar de juiste service. In dat geval kan je wel weer 1194 gebruiken, omdat alleen 443 naar buiten toe open staat. Certificaten laat je dan wel pointen naar hostnaam:443

[ Voor 30% gewijzigd door pennywiser op 08-03-2022 09:21 ]

[noudi93]

pennywiser schreef op dinsdag 8 maart 2022 @ 09:11:
[...]

Routes regelt Pivpn toch? Wireguard kan geen tcp, welke poort gebruik jij dan nu?

ik heb gewoon een andere udp poort gepakt. Volgens mij 11944 uit mijn hoofd. Ben me ervan bewust dat dat ook niet de meest veilige poortkeuze is maar het is in ieder geval iets anders dan de standaard udp poort.

Betreffend openvpn. Ik heb openvpn ook niet proberen te installeren via pivpn die probeerde ik in te stellen in mijn Truenas setup. Kan zijn dat OpenVPN via pivpn gewoon prima gewerkt had hoor. En dat mijn static route probleem alleen kwam omdat ik het direct op mijn Truenas probeerde te doen. Uit mijn hoofd had dit te maken met dat je bepaalde variabelen die wel in Truenas Core aangepast konden worden in Truenas Scale (nog) niet aan kunt passen. Waardoor je een static route in je router aan moest maken. Maar dit is al een tijdje geleden dat ik hiermee heb zitten stoeien

[ Voor 16% gewijzigd door noudi93 op 08-03-2022 10:16 ]

[RVW]

Als je je modem in bridge laat zetten kun je bijvoorbeeld een Asus router er achter zetten. Die hebben standaard een OpenVPN server aan poort. Instellen daarvan is een fluitje van een cent.

[pennywiser]

noudi93 schreef op dinsdag 8 maart 2022 @ 10:12:
[...]


ik heb gewoon een andere udp poort gepakt. Volgens mij 11944 uit mijn hoofd. Ben me ervan bewust dat dat ook niet de meest veilige poortkeuze is maar het is in ieder geval iets anders dan de standaard udp poort.

Betreffend openvpn. Ik heb openvpn ook niet proberen te installeren via pivpn die probeerde ik in te stellen in mijn Truenas setup. Kan zijn dat OpenVPN via pivpn gewoon prima gewerkt had hoor. En dat mijn static route probleem alleen kwam omdat ik het direct op mijn Truenas probeerde te doen. Uit mijn hoofd had dit te maken met dat je bepaalde variabelen die wel in Truenas Core aangepast konden worden in Truenas Scale (nog) niet aan kunt passen. Waardoor je een static route in je router aan moest maken. Maar dit is al een tijdje geleden dat ik hiermee heb zitten stoeien

Tnx. Het is niet zozeer een veiligheids kwestie voor jou, eerder een hoe omzeil ik de dichte poorten in de public wifis kwestie. Het poortje aanpassen on the go buiten gaat niet, daarvoor heb je je ehh vpn nodig..

[ Voor 3% gewijzigd door pennywiser op 08-03-2022 10:56 ]

[Hann1BaL]

Sowieso kun je indien je geen VPN server op je router zzelf op zet, elke poort configureren en gewoon default laten op je VPN box.
Dan kun je met port forwarding altijd nog kiezen een andere poort te gebruiken.

Dat is soms wat onhandig omdat je de config naar de client stuurt, maar het is op zich technisch geen probleem.

Voorbeeld: Gebruik je openVPN en stel je default port 1194, kun je nog steeds 443 gebruiken omdat die poort niet geblokkeerd wordt. Dan zul je op je modem/router 443 moeten forwarden naar de locale IP van de box op poort 1194.

Het kan, dat is alles wat ik er mee wil zeggen

[GekkePrutser]

Nobby schreef op dinsdag 8 maart 2022 @ 01:25:
Tailscale draait op Windows, Android, Linux en MacOS/iOS.

Kijk maar eens naar https://tailscale.com/

Hoef je niet te port forwarden of andere instellingen te wijzen op je router.

Waar ik bij tailscale dan weer van baal is dat je niet gewoon een account kan aanmaken. Je moet per se inloggen met je Google, MS of GitHub account

Voor privacy en security niet echt de meest handige optie om alles zo te koppelen, juist iets gevoeligs als VPN. Maar ik ben erg gebeten op mijn privacy. Ik log ook bijv. nooit in op Google op mijn Android telefoon.

Maar er zijn meer opties die ongeveer hetzelfde kunnen:

Tinc (ook beschikbaar op Android nu): helemaal self hosted
ZeroTier (niet 100% self hosted zonder heel veel gerommel maar je kan wel een account aanmaken)
Nebula van Slack (kan wel 100% self hosted maar is wat extra werk)

Nebula en Zerotier zijn ook beschikbaar op mobiel trouwens, en ook op iOS (Tinc alleen op Android dus)

Dus er zijn best veel opties. Op zich vind ik deze mesh/p2p VPN techniek echt super. Je hebt geen centraal punt meer, als de clients VPN verkeer direct tussen elkaar kunnen routeren dan doen ze dat automatisch. Veel fijner voor het verbinden van je eigen spullen op verschillende lokaties dan een traditionele VPN vind ik. En je hoeft idd geen poorten te openen, maar dat vind ik niet eens het grootste voordeel er aan.

Zelf gebruik ik tinc, dat bestaat het langst, maar ik heb wel eens naar de anderen gekeken. Zo heb ik wel eens Nebula geprobeerd en ZeroTier gebruik ik voor onze makerspace omdat we daar Home Assistant als server hebben, en daar is een standaard ZeroTier plugin voor. Dus lekker makkelijk en voor de anderen ook te beheren zonder al te veel IT kennis.

Momenteel voldoet tinc me wel, met name omdat het nu ook op Android werkt. En als je het eenmaal werkend hebt is het erg simpel en stabiel. Ik vind het wel jammer dat ze nog steeds dat apache helikopter logo gebruiken want het ziet er niet echt professioneel uit zo. Maar het is erg licht en zit in elke distro ingebakken.

[ Voor 32% gewijzigd door GekkePrutser op 08-03-2022 17:23 ]

[Hendrik1987]

- Zerotier
- Tailscale
- Wireguard

Genoeg mogelijkheden om je hondje thuis te bekijken.

Groetjes, die jongeman met dat mooie vogeltje op zijn arm.

[ Voor 66% gewijzigd door Hendrik1987 op 08-03-2022 22:44 ]

[Thijsmans]

Wireguard kost minder accu-vermogen dan OpenVPN en lijkt me voor een mobiel daarom meer voor de hand liggen.

Let erop dat je met een Connectbox van Ziggo mogelijk de dual stack lite firmware hebt, waarbij je geen (IPv4) port forwarding kunt instellen. In dat geval kun je telefonisch aan de klantenservice vragen de IPv4 firmware te installeren. Na een kwartiertje je modem rebooten en de port forwarding verschijnt wel in beeld

[Sickding]

Ik heb nu pivpn op een Linux vm draaien en het werkt. Erg makkelijk te installeren.

[pennywiser]

Thijsmans schreef op dinsdag 8 maart 2022 @ 22:52:
Wireguard kost minder accu-vermogen dan OpenVPN en lijkt me voor een mobiel daarom meer voor de hand liggen.

Let erop dat je met een Connectbox van Ziggo mogelijk de dual stack lite firmware hebt, waarbij je geen (IPv4) port forwarding kunt instellen. In dat geval kun je telefonisch aan de klantenservice vragen de IPv4 firmware te installeren. Na een kwartiertje je modem rebooten en de port forwarding verschijnt wel in beeld

Welke udp poort gebruik jij en kun je buiten vervolgens altijd bij je netwerk?

[Hann1BaL]

Sickding schreef op dinsdag 8 maart 2022 @ 22:53:
Ik heb nu pivpn op een Linux vm draaien en het werkt. Erg makkelijk te installeren.

WireGuard of OpenVPN?

[Sickding]

Hann1BaL schreef op woensdag 9 maart 2022 @ 09:55:
[...]


WireGuard of OpenVPN?

Wireguard

[Buffalo]

Hann1BaL schreef op dinsdag 8 maart 2022 @ 09:12:
Ga je toch op een doosje pivpn installeren, Installeer dan meteen de duckdns updater zodat je gratis een vaste hostname hebt. Duckdns is super simpel en geeft je een vaste hostname.

Dat kun je mooi op hetzelfde doosje draaien zodat je externe IP altijd geupdate blijft. Al is bij Ziggo je IP wel semi-permanent.
http://www.duckdns.org/

WireGuard heeft ook een simpele instelling zodat je wireguard uitschakelt als je op je eigen wifi netwerk zit en automatisch daarbuiten inschakelt.
Ik ben eigenlijk altijd verbonden met mijn thuisnetwerk.

Het enige nadeel is dat de batterij van je telefoon een paar procent harder achteruitgaat en als je op een plek met zeer slecht databereik zit je het extra merkt (meer timeouts etc..)

Kun jij aangegeven waar die instelling zit in Wireguard om Wireguard automatisch in en uit te schakelen zodra je je eigen wifi netwerk verlaat of binnenkokomt?

[Hann1BaL]

Buffalo schreef op donderdag 17 augustus 2023 @ 10:39:
[...]


Kun jij aangegeven waar die instelling zit in Wireguard om Wireguard automatisch in en uit te schakelen zodra je je eigen wifi netwerk verlaat of binnenkokomt?

iOS:
Open de Wireguard app
Kies je verbinding (is er meestal maar 1) en kies Edit
Onderaan: On Demand Activation.
Except these SSIDs

En voeg daar de SSIDs toe op van de netwerken waar je WireGuard niet in wilt schakelen.
(kan ook andersom: alleen inschakelen op specifieke SSIDs. Zelfde opzet)

[ Voor 6% gewijzigd door Hann1BaL op 17-08-2023 11:41 ]

[EverLast2002]

Sickding schreef op dinsdag 8 maart 2022 @ 22:53:
Ik heb nu pivpn op een Linux vm draaien en het werkt. Erg makkelijk te installeren.

Je kan het ook in een Debian container installeren ipv een vm, kost nog minder resources.

[EverLast2002]

Hann1BaL schreef op donderdag 17 augustus 2023 @ 11:41:
[...]


iOS:
Open de Wireguard app
Kies je verbinding (is er meestal maar 1) en kies Edit
Onderaan: On Demand Activation.
Except these SSIDs

En voeg daar de SSIDs toe op van de netwerken waar je WireGuard niet in wilt schakelen.
(kan ook andersom: alleen inschakelen op specifieke SSIDs. Zelfde opzet)

Dank voor de uitleg/tip, handig om te weten!

[Buffalo]

Hann1BaL schreef op donderdag 17 augustus 2023 @ 11:41:
[...]


iOS:
Open de Wireguard app
Kies je verbinding (is er meestal maar 1) en kies Edit
Onderaan: On Demand Activation.
Except these SSIDs

En voeg daar de SSIDs toe op van de netwerken waar je WireGuard niet in wilt schakelen.
(kan ook andersom: alleen inschakelen op specifieke SSIDs. Zelfde opzet)

Dan zit dat kennelijk niet in de Android app.
EDIT: ik heb een vinkje 'prive ip adressen' uitsluiten. Kijken of dit iets veranderd vanavond.

[ Voor 9% gewijzigd door Buffalo op 17-08-2023 13:10 ]

[Hann1BaL]

Buffalo schreef op donderdag 17 augustus 2023 @ 13:07:
[...]


Dan zit dat kennelijk niet in de Android app.

Het lijkt wel te kunnen met 3rd party apps maar daar heb ik geen ervaring mee.
https://llamalab.com/automate/community/flows/39377

[Buffalo]

Het is jammer dat IFTTT dit niet kan.
Die Automate app kan wel veel zo te zien, zal er eens mee spelen.