Veilige thuisserver via VPN mogelijk?

[pmeter]

Ik heb een thuisserver die draait op een Raspberry Pi met Raspberry OS (Debian based Linux). Ik heb nooit aan port forwarding willen doen om deze server (via Ziggo) bereikbaar te maken vanaf het internet. Toch heb ik de wens om mijn server via het internet te bereiken. Ik lees online dat een VPN een veiliger alternatief is voor port forwarding. Maar vervolgens kan ik hier weinig informatie over vinden. De Google zoekresultaten staan vol met sites over het opzetten van een eigen vpn-server of over het verbinden van het thuisnetwerk met een VPN. Wat ik wil is een bepaalde server-instantie isoleren van het thuisnetwerk en via een VPN-tunnel (fysiek wel over het thuisnetwerk) met het internet verbinden.

Vragen:
* Is dit een handige en veilige manier om mijn server bereikbaar te maken en is dat te doen voor een hobbyist zonder uitgebreide netwerkkennis?
* Kun je een server-instantie op een Raspberry pi 4, bijvoorbeeld als Docker Container, isoleren van je thuisnetwerk en via een VPN bereikbaar maken?
* Is het mogelijk om tegelijk de andere server-instanties op de Raspberry pi 4 gewoon aan het thuisnetwerk te hangen?
* Moet die VPN dan aan bijzondere eisen voldoen zoals port forwarding of hebben vrijwel alle betaalde VPN's dat? En betekent dit dat ik op mijn thuisrouter geen port forwarding doe, maar de vpn-server dat voor mij doet?
* Is dit veilig, of ben ik dan via de vpn-server net zo kwetsbaar als dat ik met port forwarding zou zijn?
* Waar kan ik hier meer over lezen?

[sniper20]

Als je helemaal geen port-forwarding wilt doen dan zal de VPN-server op de router moeten draaien. Er zijn routers en firewalls die als VPN-server kunnen dienen. Als je een interne VPN-server wilt opzetten ontkom je niet aan portforwarding naar die server. Maar dat hoeft zeker niet onveilig te mits als de VPN-server zelf niet te hacken is. Het is altijd nog beter dan meerdere poorten forwarden naar je server(s) voor andere doeleinden.

[pmeter]

sniper20 schreef op dinsdag 11 oktober 2022 @ 22:16:
Als je helemaal geen port-forwarding wilt doen dan zal de VPN-server op de router moeten draaien. Er zijn routers en firewalls die als VPN-server kunnen dienen. Als je een interne VPN-server wilt opzetten ontkom je niet aan portforwarding naar die server. Maar dat hoeft zeker niet onveilig te mits als de VPN-server zelf niet te hacken is. Het is altijd nog beter dan meerdere poorten forwarden naar je server(s) voor andere doeleinden.

Dank. Kan ik niet een betaalde VPN-server zoals NordVPN nemen en de thuisserver (waarop bijv. NextCloud draait) via OpenVPN als client daaraan verbinden? Dan draai ik zelf geen VPN-server.

[Voor 6% gewijzigd door pmeter op 11-10-2022 22:24]

[KirovAir]

Zoek eens op cloudflare argo tunnels. Het is gratis, geen portforwarding en super makkelijk / veilig. Ik sta er versteld van dat het gratis kan. Ik heb zelf al mijn 'thuisdiensten' lopen via deze service. Het vangt ook de SSL voor je af.

[Voor 24% gewijzigd door KirovAir op 11-10-2022 22:27]

[i-chat]

@sniper20 of je delegeert het vpn gedeelte aan een hosted oplossing zoals zerotier, of soortgelijke diensten, dat is niet altijd gratis maar het biedt wel mogelijkheden omdat je bijvoorbeeld geen vast ip of dyndns nodig hebt, en ook niet bezig bent met zaken als updaten van de services, of het regelen van 2FA ...

Een nadeel is dan weer dat je, zolang je binnen een prive-netwerk blijft je dus ook geen public-signed cert krijgt (zoiets als een ssl-cert van LetsEncrypt gaat dan niet werken.

maar goed we hebben het over VPN's en niet zozeer over de diensten erachter... zodra je op je pi (of op de router waar die pi aan hangt) een VPN server of client gaat hangen zul je goed moeten bedenken waar je die vervolgens mee laat verbinden,

mijn vraag aan @pmeter is eigenlijk waarom hij wel service x maar niet service y via z'n vpn beschikbaar wil maken. in principe kan het wel, vooral als je docker gebruikt en iedere instance aan een eigen IP koppelt dan zou je in principe die bind ook aan je vpn kunnen hangen... bij sommige software is dat makkelijker dan anderen....

ik zou vooral zeggen dat hoe meer je van zulke eisen gaat stellen hoe kwadratisch veel langer je bezig gaat zijn met het zoeken van howto's en het doorspitten van de Manuals en wiki's. terwijl er bij een goede VPN (vooral hosted) eigenlijk weinig risico is om je hele lan beschikbaar te maken.

[pmeter]

[b]i-chat in "Veilige thuisserver via VPN mogelijk?"
mijn vraag aan @pmeter is eigenlijk waarom hij wel service x maar niet service y via z'n vpn beschikbaar wil maken. in principe kan het wel, vooral als je docker gebruikt en iedere instance aan een eigen IP koppelt dan zou je in principe die bind ook aan je vpn kunnen hangen... bij sommige software is dat makkelijker dan anderen....

Oh simpel, maar dat had ik nog niet gezegd. Ik wil mijn Raspberry pi 4 gebruiken voor de binnenshuis bereikbare servers en de buitenshuis bereikbare servers tegelijk. De interne zijn niet buitenshuis bereikbaar. Ze dienen bijv. als netwerkschijf die alleen binnenshuis bereikbaar hoeft te zijn. Maar dit is niet de kern van mijn vraag. Als deze combinatie lastig is, dan kan ik een tweede Raspberry pi, dat wordt dan een 3b, inzetten voor de extern bereikbare servers. Maar qua stroomverbruik combineer ik het liever.

[Voor 30% gewijzigd door pmeter op 11-10-2022 22:56]

[jeanj]

Met alle respect, maar aan de vraagstelling zie ik dat je weinig kaas van de materie hebt gegeten.

Als je eerst eens beter specificeert wat je functioneel wil bereiken, met name welke externe services je wilt gaan, nu en in de toekomst, gebruiken en hoe, kunnen we een beter advies geven

( Al PL in mijn werk wordt ik ook wel eens gevraagd om iets technisch te realiseren, maar vaak blijkt dat je iets geheel anders nodig hebben. Functionele ontwerpen of specificaties zijn dan erg handig voor mijn architecten)

[pmeter]

jeanj schreef op dinsdag 11 oktober 2022 @ 22:56:
Met alle respect, maar aan de vraagstelling zie ik dat je weinig kaas van de materie hebt gegeten.

Als je eerst eens beter specificeert wat je functioneel wil bereiken, met name welke externe services je wilt gaan, nu en in de toekomst, gebruiken en hoe, kunnen we een beter advies geven

( Al PL in mijn werk wordt ik ook wel eens gevraagd om iets technisch te realiseren, maar vaak blijkt dat je iets geheel anders nodig hebben. Functionele ontwerpen of specificaties zijn dan erg handig voor mijn architecten)

Ah, dank voor deze reactie.

Ik wil van buiten mijn huis gebruik maken van selfhosted services. Ik wil het alleen doen als dit als hobbyist betrouwbaar veilig te realiseren is. Het gaat mij dan niet om veiligheid op onveilige wifi op bijv. een terras. Ik hoef mijn selfhosted services buitenshuis alleen te kunnen bereiken vanaf een betrouwbare verbinding zoals bij mijn ouders thuis, op mijn werk of met 4G in de trein. De veiligheid waar het mij om gaat is om mijn thuisnetwerk niet onnodig kwetsbaar te maken. Selfhosted services waaraan ik denk zijn:
- Een http-server voor een persoonlijke website die alleen ik zelf gebruik. Hierop kan ik bookmarks bijhouden en persoonlijke knowledge-base (second brain) opzetten.
- Een Spotify kloon om onderweg mijn eigen muziekverzameling bij me te hebben.
- Nextcloud voor bestandsdeling.
- Photoprism voor een persoonlijk fotoalbum.

Het liefst draai ik services via Docker, omdat dat de installatie vereenvoudigd.

Ik zou het liefst die services ook kunnen bereiken vanaf pc's waarop ik niets mag installeren. De mogelijkheid om iets te delen met vrienden via een wachtwoord is ook een wens. Maar als het vele malen veiliger kan worden als ik die wensen opgeef, dan kies ik voor veiligheid.

Ik zou dat alles kunnen draaien op Amazon AWS. Nadeel is dat dit zo'n 5 euro per maand kost. Extra opslag en een server die Docker kan draaien (vooral meer geheugen) is duurder. Als ik het thuis draai werkt Docker en kan ik er gratis 1 TB aan hangen. Als er een goedkopere cloudserver is waarop bovenstaande kan (liefst toegang tot de command-line in Linux) en ik mijn 1 TB Onedrive kan inzetten voor de opslag van grote bestanden, dan zou dat een goed alternatief kunnen zijn.

[Voor 6% gewijzigd door pmeter op 11-10-2022 23:42]

[i-chat]

hoewel ik me oprecht afvraag hoeveel van de hierboven genoemde diensten op één pi te draaien zijn zonder dat het ding van ellende in de fik vliegt**, blijf ik bij mijn initiële antwoord. kies gewoon voor een simpele hosted oplossing om je services te benaderen.

dat kan een VPN services setting zijn in de firmware van je router, of een hosted oplossing zoals zerotier, of als je echt wild wilt doen dan een selfhosted zerotier.

Echter als je aangeeft ook bestanden te willen delen buiten de personen die toegang hebben tot je Virtual Lan dan raad ik aan om dat via andere (online) diensten te proberen.

maar als ik ergens moet beginnen dan zou dat hier zijn:
verdiep je eens in hoe bepaalde docker hosts binds hebben naar IP-adressen,
en hoe je in een VPN software IPdressen kunt binden aan een specifiek virtueel netwerk... de default config is vaak * (wildcard) of 127.0.0.1 maar dat hoeft niet zo te zijn.

[NimRod1337]

pmeter schreef op dinsdag 11 oktober 2022 @ 22:23:
[...]

Dank. Kan ik niet een betaalde VPN-server zoals NordVPN nemen en de thuisserver (waarop bijv. NextCloud draait) via OpenVPN als client daaraan verbinden? Dan draai ik zelf geen VPN-server.

Dit snijdt geen hout, je hebt over 2 totaal andere netwerken. Mijn oplossing zou zijn Pivpn - en dan kiezen voor Openvpn - over poort 443. Maar voor VPN naar je huis moet er altijd een poort open. Met Nordvpn connect je naar het buitenland om een ander IP te krijgen. In vergelijking, ben je buiten en connect je naar je eigen huis VPN, dan "krijg" je op je device je Ziggo IP.

[NimRod1337]

KirovAir schreef op dinsdag 11 oktober 2022 @ 22:26:
Zoek eens op cloudflare argo tunnels. Het is gratis, geen portforwarding en super makkelijk / veilig. Ik sta er versteld van dat het gratis kan. Ik heb zelf al mijn 'thuisdiensten' lopen via deze service. Het vangt ook de SSL voor je af.

Hoe werkt dat dan? Met een daemon, welke eenmaal established connecties naar buiten en vv gebruikt?

[Orion84]

pmeter schreef op dinsdag 11 oktober 2022 @ 23:16:
[...]
Ik zou het liefst die services ook kunnen bereiken vanaf pc's waarop ik niets mag installeren.

Dat lijkt me een redelijk onhaalbare kaart in elk geval. Je zult op die PCs iets van een (VPN)client nodig hebben om verbinding te maken.

De mogelijkheid om iets te delen met vrienden via een wachtwoord is ook een wens. Maar als het vele malen veiliger kan worden als ik die wensen opgeef, dan kies ik voor veiligheid.

Daar zijn verschillende opties natuurlijk. Maar als dat gaan om diensten die je alleen via VPN te bereiken zijn moet je dus die vrienden toegang geven tot VPN (en zij moeten aan de slag met VPN clients op hun apparaten) en daarna nog specifiek binnen die diensten regelen dat ze toegang hebben tot alleen die dingen die je wilt delen.

* Orion84 heeft ook een VPN server thuis staan om:
• Vanaf buiten bij zaken in mijn thuisnetwerk te kunnen, waarbij een VPN een extra laagje beveiliging biedt in vergelijking met port forwarding
• Als ik op een minder betrouwbaar netwerk zit (publiek wifi ergens of zo) mijn verkeer via VPN veilig richting het internet te tunnelen
• Als ik op een buitenlands netwerk zit toch kan doen alsof ik via thuis het internet op ga, voor diensten die netwerk/regio beperkingen hebben (dat is sinds nieuwe Europese wetgeving wel wat minder relevant geworden

Maar dat is dus veel eenvoudiger dan wat jij allemaal wilt bereiken. In jouw geval kan het misschien veel makkelijker zijn om met portforwards te werken en vervolgens zorgen dat die naar docker containers wijzen die verder goed zijn beveiligd zodat men niet via daar in kan breken op je LAN. Maar ook dat is makkelijker gezegd dan gedaan als je er weinig kaas van gegeten hebt, maar wel ingewikkelde opties als toegang delen met vrienden etc. mogelijk wilt maken.

Zo heb ik ook een aantal zaken via portforwards beschikbaar vanaf buiten, zodat ik daar geen vpn client voor nodig heb en ook derden daar toegang toe kan geven. Maar een aantal zaken dus ook niet, maar daar kan ik dan via VPN alsnog wel bij.

[Voor 6% gewijzigd door Orion84 op 12-10-2022 17:05]

[i-chat]

In jouw geval kan het misschien veel makkelijker zijn om met portforwards te werken

dat is helemaal niet nodig....

@Orion84 wat jij doet is in wezen precies wat hij ook wil.
Het verschil zit hem in dat je voor een vpn (eigenlijk moeten we het virtual private lan noemen om geen verwarring te hebben met diensten zoals hide my ass of nordvpn), in principe lokaal (op de hostcomputer / server een extra virtueel netwerk inferface maakt...
Je kunt dan 2 dingen doen...
of je configureert docker zo dat elke container die via je vpn beschikbaar moet zijn ook gebind wordt aan een IP in je VPL en dus niet een lokaal ip (host only) of een bridged (op het netwerk van je router). Op die manier zou een Dockerhost feitelijk beperkt kunnen worden tot deelnemers aan je VPL ....
Als alternatief kun je dan OOK nog kiezen om een reverse proxy in te zetten en in het hostblock (dat stuk waar sni, ssl en portnummer geregeld wordt) ook bind-ip's configureren.. dan krijg je dus hetzelfde als eerst, ware het niet dat het voor een reverse proxy NOG makkelijker is aan meerdere IPS (en dus netwerken) te worden gebind.
bijvoorbeeld:

code:

bind:10.0.128.25,192.168.1.11

of je dan zerotire, openvpn, of wiregard of NOG iets anders inzet is een kwestie van kennis en persoonlijke voorkeur.

** note: merk op dat ik hier het engels woord bind bedoel omdat dit eigenlijk in alle config files altijd zo wordt bedoelt (van dns server, tot httpd.conf bestanden tot mailserver configs tot database servers etc. de enige andere term die ook wel veel voorkomt is listen al wordt die soms ook voor portnummers gebruikt

[Voor 10% gewijzigd door i-chat op 12-10-2022 17:45. Reden: leesbaarheid en spelvouten]