Remote VPN mieten oder selbst auf VPS hosten -- suche Tipps

[hominidae]

Hi Folks,

aufgrund diverser "Rückschläge" macht meine lokale DMZ und RemoteAccess-Lösung wohl zu (ich erspare Euch die Details, nur soviel: double NAT und Portwirrwar zollen ihren Tribut) und ich habe keine Zeit mehr dafür, das selbst zu pflegen.

Ich brauche also eine Remote-Access Lösung für mein Heimnetz (Dual-WAN), ohne lokales Portforwarding.
Im Heimnetz kann ich einen Mikrotik Router oder Docker/VMs nutzen um zum VPN (Provider oder eigener VPS) einen Tunnel (Client, von "innen nach aussen", also kein Portforwarding nötig) zu verbinden.
Remote Clients (Familie, bis zu 5 Geräte, bestehend aus Android Tablets und PCs) sollen ebenfalls auf den VPN Service verbinden.
Ein Transfernetz würde reichen...Routing intern mache ich mit meinem lokalen Router selbst (habe mehr als ein Subnet).
Es gehen keine TB drüber, eher ein paar 10GB/Monat

- Zerotier hatte ich schon laufen, ist aber durch Double-NAT einfach Käse.

- Wireguard wäre gut (schnell), aber IP-Management ist wohl eher komplex/nicht von der Stange dabei

- OpenVPN, ja geht ... eine Lösung auf nem VPS, fertig (der OPenVN Access-Server, kann aber nur 2 User parallel) ist teuer.

- L2TP/IPSEC ... wäre ideal für den "Uplink" zum VPN/VPS von meinen Mikrotik daheim

- ein VPS Image dafür wäre schön, eine kommerzielle Lösung (unter 3EUR/Monat wäre schön) wäre mir lieber, weil Zeitsparend

Make or Buy? Was geht? Wer hat Infos/Links/Vorschläge?

Edit: schonmal jemand opnsense auf einen VPS gepackt und "sicher" bekommen? Zugriff über 2FA auf den opensense wäre eine ausreichende Option (neben ssh via Zertifikate usw)?.

Danke sehr vorab für Zeit und Mühen!

LG,
hominidae

 

[fdsonne]

Ist halt die Frage wie viel Aufwand du betreiben willst und wie viel Sicherheit du haben möchtest. Ein VPN Endpunkt, als eine Art Managed Service eingekauft ist halt "Insecure" an dem Punkt, dass ein Dritter den Traffic über diesen Endpunkt mehr oder weniger ungehindert mitschneiden kann/könnte. Den Spaß selbst zu fabrizieren, per irgend einen VPS macht wieder Aufwand, den du halt auch abfedern müsstest. Vor allem in Sachen Pflegeaufwand. In der Eigenbaulösung auf Basis eines VPS ist das zwar immernoch ein Risiko, aber deutlich geringer (Memory Dumps vom Host bspw. könnten Schlüssel auslesen) - alternativ einen echten Root Server. Machts aber teurer.

Ich für meinen Teil hab ne Kiste bei NetCup, es würde für nen reinen VPN Einpunkt sicher die kleinste Kiste reichen. Also unter 3€ im Monat. Nutze selbst OpenVPN in nem Docker Container auf diesem VPS, habe aber ne größere Kiste, weil noch paar mehr Dienste tuckern. Ne IPv6 gibts auch, wie halt ne statische v4 IP. OpenVPN Docker Container gibts fix und fertig zum Download. Im Endeffekt genau das was du brauchen würdest?? Docker kann man auch weglassen - macht es mMn aber ein klein wenig flexibler, weil du halt nicht nativ auf den Host installierst.

 

[hominidae]

Hi, danke erstmal
Ja, das wäre in der Tat was in der Richtung....Hatte schon die kleinen VPS von Netcup mit Mikrotik Cloud-Router im Einsatz...die reichen voll aus von der Leistung.

Docker sind flexibel ist super...man könnte zB Portainer zur Verwaltung laufen lassen.
Das Problem bei nem VPS ist die Absicherung (nicht das VPN, sondern der VPN-Host und die Apps/Docker...insbesondere wenn man mehr Dienste hat...wie machst Du das?
Ich dachte an nen Nginx und Authelia mit 2FA...aber sowas habe ich noch nicht hingekriegt...
Daher auch die Frage ob man ein opnsense auf nem VPS "dicht" bekommt ...

 

[fdsonne]

Naja, was heist Problem... SSH mit Key ist schon recht brauchbar. Ich für meinen Teil habe zudem noch die Option, den SSH Port nur bei Bedarf auf zu machen, weil ich über die IP Range von Arbeit immer und zu jederzeit hin komme. Fail2Ban schützt auch in gewissen Situationen. Wenn da natürlich wer in die Software rein kriecht, dessen Port zwingend offen sein muss - ja dann bist du eh gearscht. Da hilft dann auch kein Docker mehr. Aber das lässt sich quasi nicht fixen. Muss man sich halt bewusst sein.

Wenn das Ding nix anderes macht als VPN Endpunkt - dann kannst du auch alles dicht machen außer die entsprechenden Ports. Das SSH Thema würde man möglicherweise auch mit nem Script gelöst bekommen, welches einfach Rückwärts per DynDNS ähnlichem Dienst immer deine (idealerweise v6, weil direkt von deinem Router ohne CGN) frei macht und den Rest dropt. "Docker" ist ja nicht von public erreichbar - sondern läuft nur auf der Maschine. Im Endeffekt ist nix public erreichbar, außer SSH und die Ports für die VPN Thematik. Dessen Absicherung erfolgt dann mit entsprechenden Maßnahmen im OpenVPN. Hier hilft dir dann wieder sowas wie Fail2Ban ungemein. Zu viele gescheiterte Versuche = FW Regel mit nem Drop für/von der Source IP.
Alles was HighPorts sind ist häufig eh vergleichsweise uninteressant für die Bots, weil vergleichsweise aufwendig überhaupt erstmal zu finden. Sehe das weniger Problematisch. Der Software muss man halt trauen. Aber das sollte man eh, sonst setzt man aufs falsche Pferd.