DDNS en op afstand toegang tot je thuiscomputer(s)

[Martud]

Ik heb een vraag over DDNS.
Momenteel heb ik via mijn provider een extern vast IP-adres. Omdat dit nogal een duur abonnement is wil ik veranderen van provider. Maar de meeste providers werken met een dynamische IP-adres en dat is niet handig als je allerlei apparaten (beveiligingscamera, alarminstallatie, Hue-lampen, verwarming, enzovoort) in huis van buiten (waar dan ook ter wereld) wilt bereiken. Nu zullen velen zeggen dat het dynamische IP-adres bij de meeste providers bijna nooit wijzigt, maar als het wel wijzigt moet ik alle apparaten en apps die naar het vaste IP-adres verwijzen veranderen en daar heb ik niet zoveel zin in. Nu schijnt DDNS daarvoor een oplossing te zijn, maar als leek snap ik (bijna) niets van hoe dit DDNS werkt.
Ik heb bij NO-IP.com inmiddels een domeinnaam xxx.ddnd.net gekregen en ingevoerd in mijn Fritzbox. Als ik in mijn browser dit adres (met poort) invoer dan kom ik na inloggen in mijn Fritzbox. Maar eigenlijk wil ik via een browser of via mijn apps de desbetreffende apparaten rechtstreeks kunnen benaderen. Weet iemand hoe dit precies werkt?

[SVMartin]

Al jouw apparaten en apps wijzen als het goed is niet naar jouw externe op adres?

Wat je volgens mij zoekt is op forwarding. Een functie die waarschijnlijk op je Fritzbox zit en waarmee je je externe op adres poort X koppelt aan een intern op adres poort Y (het intern op adres van een camera bijvoorbeeld)

Dit betekent wel dat die camera voor iedereen vanaf het internet te bereiken is. Ook al zit er een wachtwoord op, als er een security lek in de camera software zit is het voor een hacker een koud kunstje om in te breken op de camera en de rest van je thuis netwerk.

Wat je dus eigenlijk wilt is een vpn server draaien, die beveiligen (updaten!) En die via een port forward beschikbaar maken. Je zet dan vanaf een laptop op het internet een vpn verbinding op met thuis en dan is het net alsof je laptop gewoon thuis zit.

Een dynamisch dns zorgt ervoor dat je niet meer een op adres hoeft op te geven voor het verbinden met de vpn server, maar de voor mensen leesbare hostname.

[Martud]

Een aantal van mijn apparaten zoals camera's, beveiligingsinstallatie, enzovoort (met intern IP-adres) en daarbij behorende apps verwijzen naar mijn vaste externe IP-adres. En inderdaad via portforwarding zijn deze gekoppeld. Dit werkt prima, maar zou dus niet veilig zijn?

Wat betreft de VPN verbinding: hoe moet je dan bijvoorbeeld de beveilingscamera portforwarden?

Blijft de vraag hoe ik met DDNS via een browser of via mijn apps de desbetreffende apparaten rechtstreeks kan benaderen?

[Frogmen]

Wat jij wilt is eigenlijk lokaal een eigen DNS server draaien die je lokaal kan gebruiken. Volgens mij doet je fritsbox dat al. DDNS is voor van buitenaf benaderen van je IP adres. Je kan ook een eigen domein registreren kost wel geld en dan het zelf doen. Denk dat je je even moet verdiepen in de werking van DNS en hoe het in elkaar steekt.

[Oon]

Martud schreef op dinsdag 6 december 2022 @ 21:00:
Een aantal van mijn apparaten zoals camera's, beveiligingsinstallatie, enzovoort (met intern IP-adres) en daarbij behorende apps verwijzen naar mijn vaste externe IP-adres. En inderdaad via portforwarding zijn deze gekoppeld. Dit werkt prima, maar zou dus niet veilig zijn?

Wat betreft de VPN verbinding: hoe moet je dan bijvoorbeeld de beveilingscamera portforwarden?

Blijft de vraag hoe ik met DDNS via een browser of via mijn apps de desbetreffende apparaten rechtstreeks kan benaderen?

Je moet écht geen camera's gaan portforwarden. Als er iets lek is dan is het wel netwerkcamera's. Die zijn in eerste instantie helemaal niet gemaakt om zomaar van buiten af aan te spreken, en daarnaast worden ze vaak niet up to date gehouden, dus bij een exploit in de firmware kan iemand je camera letterlijk op Google vinden en meekijken met wat er te zien is.

Je kunt een VPN gebruiken om niet te hoeven portforwarden, je telefoon/PC op afstand verbindt dan met je VPN binnen huis en zit dan als het ware gewoon lokaal in het netwerk, dan gebruik je dus ook niet je externe IP maar de interne IP van het apparaat dat je wil bereiken (bijv. 192.168.2.150)

DDNS geeft je alleen een hostname voor je externe IP, als je een intern apparaat wil aanspreken moet je daar nu een poort voor gebruiken, of je moet lokaal met een reverse proxy gaan werken zodat ieder apparaat een eigen hostname krijgt. Maar ook daar geldt dat je de meeste netwerkapparatuur echt niet zomaar aan het internet wil blootstellen.

[Martud]

Tja, mij wordt gewezen op de gevaren van een ip-camera. Ik heb best geavanceerde ip-camera's en die van sterke wachtwoorden voorzien. Maar wat is er dan nog wel veilig? Ik lees dan VPN ook gehackt kan worden...
Maar goed, VPN dan. Zoals gezegd ben ik een absolute leek. Ik heb een VPN verbinding. Gebruik ik alleen om Formule 1 te kijken.

1. Hoe werkt VPN dan in relatie tot mijn beveiligingscamera's en andere applicaties?
2. Wat moet ik waar instellen?
3. In allerlei applicaties heb ik mijn vast IP-adres om van buiten te kunnen benaderen, wat moet ik dan bij gebruik van VPN als IP-adres ingeven?

[Groentjuh]

Normale DNS zet een adres om naar een IP.

Als voorbeeld bezoek jij "tweakers.net" en niet "31.22.80.152" of "213.239.154.31". DNS regelt dat tweakers.net wordt omgezet naar een IP.

Hetzelfde doet DDNS ook. Dat zet "xxx.ddnd.net" om naar jouw externe IP. De eerst D in DDNS staat voor dynamic. Deze dienst is zo ingeregeld dat als een externe IP wijzigt, jouw fritzbox het nieuwe externe IP kan doorgeven en zo "xxx.ddnd.net" aan het juiste IP kan koppelen, zodat xxx.ddnd.net na wijziging van het externe IP weer snel werkt en verwijst naar het juiste IP.

Het IP dat je invoert is dan ook geen IP, maar de hostname "xxx.ddnd.net".

[Martud]

#Groentjuh: oké, xxx.ddnd.net verwijst steeds naar het nieuwe variabele externe ip-adres. Maar hoe benader ik dan mijn beveiligingscamera's? Als ik xxx.ddnd.net invoer kom ik in mijn Fritzbox router terecht, maar wil na de invoer van xxx.ddnd.net direct mijn camera's kunnen benaderen. Maar hoe?

[SVMartin]

Dat zou met poet forwarding kunnen, maar dat raden we sterk af.

De vpn is net andersom dan je nu denkt. Je verbind nu met een vpn dienst op het internet om te doen alsof je van een andere locatie komt en daarmee blijkbaar f1 kunt kijken.

Wat je nodig hebt is dat je zelf een vpn dienst gaat maken op je Fritzbox of een ander apparaat in je netwerk. In dat laatste geval moet je port forwarden naar die vpn server.

Vpn kan ook gehackt worden, maar de kans is zeer klein. Voorwaarde: je kiest een sterk wachtwoord, en je zorgt ervoor dat je alle security updates snel installeert. Wanneer je leest dat een vpn gehackt is dan is dat meestal bij organisaties die al een paar maanden achter lopen met het installeren van updates.

Vraag is nu waar je een vpn op wilt installeren. Heeft de Fritzbox die functie zelf? Heb je een Raspberry Pi of een wifi router die dit kan?

[ElCondor]

Zorg in de allereerste plaats er in ieder geval voor dat de management interface van jouw Fritzbox niet meer vanaf Internet te bereiken is. Deze luister blijkbaar zowel op de Wan als op de Lan poort en hij moet eigenlijk alleen maar luisteren op de Lan poort. Nu kan iedereen proberen om jouw Fritzbox te brute-forcen.