VPN selbst hosten VS Anbieter

[PaulAtreides]

Ich möchte per VPN auf ein Netzwerk zugreifen. Würdet ihr das selbst betreiben oder lieber einen Anbieter nutzen? Ich hätte etwas Sorge, dass das Gerät nach drei Minuten im Internet bereits durch irgendeinen Exploit kompromittiert wird.

Selbst gehostet
User -> Internet -> Router -> Server

Alternative
User -> Internet -> VPN Anbieter <- Rounter <- Server

 

[jmt]

Ich verwende Wireguard auf meinen Mobilen Geräten. Das routet zu mir nach Hause, bzw. über meinen Internet-Rechner nach Hause, da ich keine öffentliche IPv4 habe (Deutsche Glasfaser). Funktioniert tadelos. Damit habe ich dann auch Zugang zu meinen Services ohne das ich sie ins Internet stellen muss.

 

[CommanderZed]

Also bei sonnem szenario würde ich immer selbst hosten, da lässt sich viel Flexibiltät gewinnen, es ist wenig aufwand, relativ leicht relativ sicher zu betreiben und kostet auch nur relativ wenig Geld.

Wie ich das genau machen würde, hängt son bisschen von der größe und vor allem Netzwerkanbindung des Server bzw des vorgeschalteten Routers an ab und den gewünschten Client-Systemen.

Auch "User -> Internet -> VPN Anbieter <- Rounter <- Server" könnte ja "User -> Internet -> selbst verwalteter VPN Server <- Rounter <- Server" sein

Theoretisch könnte auch das VPN direkt auf dem Server laufen, kein grund den Router damit zu nerfen und man hat alles kompakt in der Konfiguration, noch besser wenn man eh mit vms arbeitet.

/edit: Schreib gerne mal nen bisschen mehr - wie viele clients mit welchem os, hat der server oder der router vorm server ne öffentliche oder sogar statische IP, geht es um etwas im kleinen privaten Rahmen oder um was für die kommerzielle nutzung usw ...

/edit2: Gibt es evl. mehrere Server bzw. gibt es ne chance das das "wächst"?

 

[jmt]

Das Problem mit einem VPN über ein VPS ist, dass man mittlerweile bei einigen Seiten geblockt wird. Wenn man das über seinen Internetanschluss routet, dann hat man das Problem nicht.

 

[midnight]

Ich verwende privat und in der Firma auch Wireguard. Laeuft problemlos und ist schnell konfiguriert. Auch die gefuerchteten Roadwarrior-Setups funktionieren ohne Probleme, da Wireguard stateless arbeitet.

 

[Azazyel]

Das Problem mit einem VPN über ein VPS ist, dass man mittlerweile bei einigen Seiten geblockt wird. Wenn man das über seinen Internetanschluss routet, dann hat man das Problem nicht.

Die Erfahrung habe ich mit einem Server bei Hetzer leider auch gemacht (trotz statischer IP - es hat gereicht, dass die IP aus dem Hetzner-Netz stammte).

Ich verwende privat und in der Firma auch Wireguard. Laeuft problemlos und ist schnell konfiguriert. Auch die gefuerchteten Roadwarrior-Setups funktionieren ohne Probleme, da Wireguard stateless arbeitet.

Heutzutage würde ich auch nur noch mit Wireguard starten. Je nach Router wird auch Wireguard out of the box unterstützt, so dass man es nicht mal manuell betreiben muss (wenn man nicht will).

 

[CommanderZed]

Das Problem mit einem VPN über ein VPS ist, dass man mittlerweile bei einigen Seiten geblockt wird. Wenn man das über seinen Internetanschluss routet, dann hat man das Problem nicht.

Naja es geht ja dem OP nicht um ein VPN um externe Seiten zu erreichen sondern einen eigenen Server der Dienste anbietet zu "verstecken".

Das dürfte dafür mehr als völlig egal entsprechend sein.

 

[jmt]

Es gibt da manigfaltige Möglichkeiten. Ich route derzeit den UDP-Port aus dem Internet auf meinen Heimrouter. So habe ich auch eine statische IPv4. Wireguard ist da sehr flexibel. Und beide Maschinen laufen mit OpenBSD. Mit Custom-Routern muss man halt schauen.

 

[CommanderZed]

Ich mach quasi umgedreht das was der OP möchte, ich sitz auch hinter DG und mache Wireguard von den VMs "lokal" auf dem Homeserver zu einer gemieteten VM mit statischer öffentlicher IP-Addresse - dort läuft dann ein reverse-proxy der dann die Anfragen zur jeweilige VM über den Wireguard-Tunnel schickt.

Dadurch kann ich flexibel zusätzliche Services/Seiten hinzufügen und kann die unterschiedlichen Web-Anwendungen auf verschiedene VMs verteilen - zurzeit macht das Archlinux und der Apache aber so ähnlich hatte ich das auch mit mit OpenBSD, relayd und httpd.

 

[PaulAtreides]

Ich möchte von unterwegs und von zu Hause auf Web-, Mail-, Adress- und Kalenderdienste zugreifen.

Von zu Hause aus funktioniert das bereits, indem ich den SSH-Server nur für meine IP-Adresse freigebe und anschließend einen Tunnel zum Server aufbaue. Mit dem Mobiltelefon wäre das jedoch zu umständlich, insbesondere wenn auch andere Personen den Dienst nutzen sollen.

E-Mails würden über einen Smarthost versendet. Der eigentliche Mailserver würde weiterhin beim Hoster betrieben werden.

Der Kalender läuft aktuell noch über Gmail, davon möchte ich mich jedoch ebenfalls lösen und die Kalenderdaten künftig selbst hosten.

 

[midnight]

Ich möchte von unterwegs und von zu Hause auf Web-, Mail-, Adress- und Kalenderdienste zugreifen.

Genau so mache ich das auch. Auf meinem dedizierten Server im Internet laeuft OpenBSD. Hier laeuft u.a. z.B. Vaultwarden fuer die Passwortverwaltung, Radicale fuer den Kalender und die Kontakte (CalDAV, CardDAV), Syncthing fuer die Synchronisation meine Daten, Mailserver, und vieles mehr. Vaultwarden, Radicale und Syncthing sind nur ueber Wireguard zu erreichen (auf den Desktops und den Smartphones). Dovecot (IMAP) ist auch ueber Wireguard moeglich, nutze ich allerdings nicht.

 

[medV2]

+1 für wireguard. Bei mir privat und beruflich im Einsatz. Auf nem openwrt Router lässt es sich auch über gui konfigurieren.

 

[CommanderZed]

Ich möchte von unterwegs und von zu Hause auf Web-, Mail-, Adress- und Kalenderdienste zugreifen.

Von zu Hause aus funktioniert das bereits, indem ich den SSH-Server nur für meine IP-Adresse freigebe und anschließend einen Tunnel zum Server aufbaue. Mit dem Mobiltelefon wäre das jedoch zu umständlich, insbesondere wenn auch andere Personen den Dienst nutzen sollen.

E-Mails würden über einen Smarthost versendet. Der eigentliche Mailserver würde weiterhin beim Hoster betrieben werden.

Der Kalender läuft aktuell noch über Gmail, davon möchte ich mich jedoch ebenfalls lösen und die Kalenderdaten künftig selbst hosten.

Dann wäre mein tipp, je nach dem, das vpn auf dem router oder sogar gleich auf dem server zu terminieren, das macht denke ich sinn.
Vorrausgesezt du hast eine öffentliche ipv4 und wenn die nicht statisch ist dir "dyndns" reicht.