[Guide] Feste ip über Dedicated Server oder VServer

[Tuxist]

Feste ip über Dedicated Server oder VServer.

Was wird benötigt:
-eine Rootserver oder Vserver mit 2 öffentlichen IP Addressen
-ein Linux mit interalliierten Wireguard und iptables. (unter diebian apt install iptables wireguard)

Als erstes richtet ihr den wireguard tunnel ein dazu gibt einige howto's auch im internet wichtig hierbei keine Firewall regeln festlegen das machen wir später in der IPTables Config.

Beispiel Wireguard Server config:

[Interface]
Address = 10.253.0.1/24, fd25:3::1/64
ListenPort = 55820
PrivateKey = <euer privater wg key>
MTU = 1412
#nat client
[Peer]
PublicKey = <key vom wireguard client>
AllowedIPs = 10.253.0.2/32, fd25:3::2/128
PreSharedkey = <wireguard key muss auch in der client config nat client stehen>

danach ein:
systemctl enable wg-quick@wg0

damit wireguard das interface während des Bootvorgangs hochfährt.

jetzt kommen wir zu den iptables rules hierbei habe ich eins zu eins nat gewählt falls ihr nur eine ip Adresse habt müsst ihr eine andere nat art wählen.

jetzt legen wir folgende file mit nano an:

nano /etc/iptables/rules.v4 :

*nat
-A POSTROUTING -o eth0 -s 10.253.0.2/32 -j NETMAP --to öffentliche ip 1
-A PREROUTING -i eth0 -d öffentliche ip 1 -j NETMAP --to 10.253.0.2
COMMIT
*filter
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -d öffentliche ip 2 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i eth0 -d öffentliche ip 2 -p udp -m udp --dport 55820 -j ACCEPT
COMMIT

jetzt eine weitere file für ipv6:
nano /etc/iptables/rules.v6

#router rules
*nat
-A POSTROUTING -o eth0 -s fd25:3:0::2 -j NETMAP --to öffentlich ipv6
-A PREROUTING -i eth0 -d öffentliche ipv6 -j NETMAP --to fd25:3:0::2
COMMIT
*filter
-A INPUT -i lo -j ACCEPT
COMMIT

nach dem die filter regeln erstellt sind müssen Sie geladen werden mit folgenden befehlen:
iptables-restore < /etc/iptables/rules.v4
ip6tables-restore < /etc/iptables/rules.v6

Damit ist euer Wireguard Portmapper fertig falls gewünscht kann ich auch noch erklären wie man die Clientseite einrichtet anhand von opnsense.

 

[fdiskc2000]

Damit ist euer Wireguard Portmapper fertig falls gewünscht kann ich auch noch erklären wie man die Clientseite einrichtet anhand von opnsense.

Würde den Guide rund machen

 

[i-B4se]

Würde mich ebenfalls über so ein Tutorial freuen
Ich plane diese ebenfalls sowas, aber hauptsächlich für meine Gameserver.
Sprich gewisse IPs sollen dann über die VServer IP erreichbar sein und somit wird nicht meine eigene IP preisgegeben und vor allem hat man immer die gleiche IP.

 

[hominidae]

Würde den Guide rund machen

...was mir hier fehlt ist der Hinweis (und das WIE) darauf, den VServer auch zunächst mal abzusichern.

nach dem die filter regeln erstellt sind müssen Sie geladen werden mit folgenden befehlen:
iptables-restore < /etc/iptables/rules.v4
ip6tables-restore < /etc/iptables/rules.v6

...hier fehlt nämlich das "-noflush" um etwaige weitere, anderweitig spezifizierte Fireall-Regeln zu erhalten....hier werden nur die paar gezeigten Regeln eingebaut und vorhandene Regeln dabei gelöscht.
Die paar Regeln dort oben machen den vServer nicht sicher.
SSH auf default-Port 22 auf einem VServer freizugeben ist mMn nicht best practice...unabhängig davon, das ssh grundsätzlich über Zertifikate abgesichert werden sollte.
...und da gäbe es noch mehr was mir spontan einfällt.

 

[besterino]

Ahjo. Security ist ja quasi eine Wissenschaft für sich und stellt sich die Frage, wo man anfängt und aufhört. Für sowas sollte man da vielleicht einfach nur drauf hinweisen im Sinne von "Server im Netz betreiben am besten nur, wenn man weiss, welche Risiken das insgesamt beinhaltet und vor allem wie man diesen begegnet".

 

[sch4kal]

Nix exposen was man nicht braucht, den OpenSSH entsprechend absichern, das System aktuell halten und den firewalld entsprechend dicht schalten (ein und ausgehend). Mehr ist eigentlich nicht nötig.

 

[Tuxist]

den portmapper sollte man nicht ohne entsprechende Hardwarefirewall auf der Gegenseite betreiben nutze hier Opnsense. Das Howto habe ich denke ich nächste Woche fertig ist mehr geworden als ich dachte.

 

[Tuxist]

So habe es grob schon mal umrissen https://tuxist.de/files/portmaper.pdf werde die Formatierung noch verbessern und mehr auf die Feinheiten eingehen.