[wiregate] - √ - Wiregate von extern zugreifen

[emax]

Das WG hat ja einen VPN Wartungszugang, aber weil ich schlicht nicht weiß, wie so was (VPN) funktioniert, weil ich Tunnels immer nur nutze aber nicht konfiguriere, wüsste ich gerne:

- was ich tun muss, um mein WG von außen zugreifen zu können.

Ich bin für ein paar Tage im Ausland, und würde über Web gerne mal nach meinem neuen Liebling schauen.

Meine Konfiguration hier ist

- ein Linksys Router mit DynDNS Adresse
- desses Ports sind von außen unsichtbar, weil komplett dicht. Ich kann also aktuell auch nicht auf die Linksys-Oberfläche von außen zugreifen. Das bekäme ich noch selber hin, da müsste ich z.B. wohl nur Port 80 aufmachen.
- hinter dem Linksys, auf dem eine SPI-Firewall läuft, beginnt mein Hausnetz, in dem auch das WG hängt.

Das ist sicher eine Standard-Konfiguration. Was müsste ich tun, um auch aus Italien auf mein WG zu schauen?


PS: Vorzugsweise natürlich in sicher ...

[greentux]

Im einfachsten Falle stellst Du das WG auf https (also den Webmin im WG) und schaltest Port 10000 in Deinem Router frei. Damit kann man schonmal das notwendigste sehen...

[emax]

Das ist schon mal ein Schritt, danke.

Frage: Das WG hat ja im Hausnetz eine andere Adresse, z.B. 192.168.111.222, als der Router via DynDNS, z.B. 84.85.86.87 oder so. Wird den durch den Port 10000 alles automatisch an das WG weitergereicht?

Oder muss ich Port 10000 im Router explizit zum WG forwarden?

[greentux]

Du trägst in Deinem Router ein s.g. Portforward für Port 10000 an die interne IP des WG ein. Damit geht alles von dort ans WG und zurück. Die Umsetzung ext./int. IP macht der Router.

[emax]

Werd ich so probieren, besten Dank!

[Shoko]

Dann aber bitte daran denken, dass auch jeder andere über diesen Port auf die Webmin Seiten deines Wiregate zugreifen kann.
Deshalb bitte unbedingt ein starkes Passwort für den Login wählen (> 8 Zeichen, Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen).

[makki]

brrr. genau so nicht

- Am Router Port 1194/UDP ans WireGate weiterleiten
- Am WG den VPN-Client einrichten, da gibts links oben einen Hilfe-button, da steht eigentlich das meiste
- OpenVPN-Client installieren, config importieren..
- Route nicht vergessen..

Makki

[emax]

Das hört sich zweifelsfrei solider an.

[emax]

Hab ich jetzt mal so gemacht, und per openvpn auf Ubuntu gestartet.

Das geht soweit ganz gut:

...
Mon Jul 11 23:12:07 2011 Data Channel Encrypt: Cipher 'AES-128-CBC' initialized with 128 bit key
Mon Jul 11 23:12:07 2011 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Mon Jul 11 23:12:07 2011 Data Channel Decrypt: Cipher 'AES-128-CBC' initialized with 128 bit key
Mon Jul 11 23:12:07 2011 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Mon Jul 11 23:12:07 2011 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 2048 bit RSA
Mon Jul 11 23:12:07 2011 [server] Peer Connection Initiated with [AF_INET]89.13.219.247:1194
Mon Jul 11 23:12:10 2011 TUN/TAP device tun0 opened
Mon Jul 11 23:12:10 2011 /sbin/ifconfig tun0 172.24.254.6 pointopoint 172.24.254.5 mtu 1500
Mon Jul 11 23:12:10 2011 GID set to nogroup
Mon Jul 11 23:12:10 2011 UID set to nobody
Mon Jul 11 23:12:10 2011 Initialization Sequence Completed

Aber jetzt steh ich auf der Leitung. Wenn ich mit

https://blafasel.dyndns.org

auf meinen Router gehe, dann bekomme ich meine Routeroberfläche angezeigt, was ich aber nicht will. Ich will ja aufs WG. Also hab ich diese beiden hier ausprobiert

https://blafasel.dyndns.org
http://blafasel.dyndns.org:1194

aber nur das hier erhalten:

Fehler: Verbindung fehlgeschlagen
Firefox kann keine Verbindung zu dem Server unter blafasel.homelinux.net:1194 aufbauen.
    *   Die Website könnte vorübergehend nicht erreichbar sein, versuchen Sie es bitte 
      	später nochmals.

usw ...

Der Port 1194/UDP ist am Router geforwarded (was für ein Wortkrüppel).

Fehlt da was bei der URL?

[Klausi]

Und wenn man nur die Diagramme von außen sehen möchte? Gibt es da eine andere sichere Lösung, da ich ich auch vom Handy z.B. schauen möchte, wo mir nicht unbedingt ein OpenVPN-Client zur Verfügung steht.

Dann kann man wahrscheinlich nur den Port 80 freigeben und zum Wiregate weiterleiten?

Grüße

Klaus

[greentux]

brrr. genau so nicht

- Am Router Port 1194/UDP ans WireGate weiterleiten
- Am WG den VPN-Client einrichten, da gibts links oben einen Hilfe-button, da steht eigentlich das meiste
- OpenVPN-Client installieren, config importieren..
- Route nicht vergessen..
Makki

Wo genau ist jetzt der Unterschied in der Sicherheit?
https vs. openVPN
Da bin ich gespannt...

[greentux]

Hab ich jetzt mal so gemacht, und per openvpn auf Ubuntu gestartet.
usw ...

Der Port 1194/UDP ist am Router geforwarded (was für ein Wortkrüppel).

Fehlt da was bei der URL?

Wie stehts mit der Eingabe der IP Adresse des WG? Funktionierts dann?

[makki]

Fehlt da was bei der URL?

Nee, da fehlt nix, aber man muss dann natürlich über die private, VPN IP-Adresse des WG zugreifen; Default wäre http://172.24.254.1
Es wird ja ein sicherer Tunnel gebaut, der hat keine öffentlichen IP's..

Und wenn man nur die Diagramme von außen sehen möchte? Gibt es da eine andere sichere Lösung, da ich ich auch vom Handy z.B. schauen möchte, wo mir nicht unbedingt ein OpenVPN-Client zur Verfügung steht.

Sicher ist relativ, ein VPN mit X.509-Zertifikaten ist für mich sicher, alles andere eher Schrott
Klar kann man den Port weiterleiten aber OpenVPN-Clients gibts für fast alles ausser i* (und dafür gäbe es PPTP-> suche, kürzlich erklärt)

Wo genau ist jetzt der Unterschied in der Sicherheit?
https vs. openVPN
Da bin ich gespannt...

Das eine ist kein HTTPS/SSL sondern HTTP mit per-se unsicheren Passwörtern, das andere 100J sicher, wir können das gerne vertiefen warum Passwörter immer ka*** bleiben werden (noch dazu in diesem Fall im Klartext) aber ich hoffe es reicht die kurzform
-> macht es bitte einfach richtig, nur dafür ist der vorkonfigurierte VPN-Server drauf

Makki

[greentux]

Bitte oben schauen. Im ersten Schritt empfahl ich das Webmininterface auf https umzustellen... Generell keine schlechte Idee, selbst im lokalen LAN. Je nach Paranoia...

[emax]

die private, VPN IP-Adresse des WG zugreifen; Default wäre http://172.24.254.1
Es wird ja ein sicherer Tunnel gebaut, der hat keine öffentlichen IP's..

Allmählich gehen mir ein paar Lämpchen an, so erklärt sich endlich auch mal das Wort 'Tunnel' für mich :-)

Besten Dank, funktioniert.