WireGuard hinter NGINX

Es gibt 30 Antworten in diesem Thema, welches 6.286 mal aufgerufen wurde. Der letzte Beitrag () ist von jkasten.

    Moin,


    ich würde gerne mal Wireguard ausprobieren. Da ich eh schon einen NGINX im Netz für Bitwarden habe, möchte ich darüber auch Wireguard routen.


    An sich sollte es ja kein all zu großes Thema sein:


    - Wireguard Docker in Portainer anlegen (evtl. WG-Easy https://github.com/WeeJeWel/wg-easy )

    - Subdomain erstellen z.B. wireguard.meinedomain.de und im NGINX an Port 51820 weiterleiten.


    Oder sehe ich das falsch? Ich möchte so wenig Ports wie nötig auf machen.

    Das sollte theoretisch genau so funktionieren. Habs aber nicht getestet. Hattest du nicht auch nen Proxmox laufen bei dir?


    EDIT: kann dir dann diese Anleitung empfehlen. Dann hast sogar ne GUI für Wireguard: https://forum.iobroker.net/top…-wireguard-ui-auf-proxmox

    Schau mal, da gibts Setupscripts für jede menge LXCs, u.a. auch Wireguard habe bisher nur gute Erfahrung mit gemacht.

    Timo19731 und ich haben beide den Wireguard genommen für ein paar tests. Lief oob


    Proxmox Helper Scripts
    Proxmox Scripts For Home Automation
    tteck.github.io

    Gruß

    defcon

    Proxmox läuft bei mir, da läuft Bitwarden nach deiner Anleitung also mit NGINX.


    Ich schaue mal ob ich das WE dazu Zeit finde.

    Gefällt mir 1
    Zitat von defcon

    Schau mal, da gibts Setupscripts für jede menge LXCs, u.a. auch Wireguard habe bisher nur gute Erfahrung mit gemacht.

    Timo19731 und ich haben beide den Wireguard genommen für ein paar tests. Lief oob


    https://tteck.github.io/Proxmox/

    Die Seite ist auch geil, weiß nur grad nicht ob der Wireguard da mit GUI ist. Hab kein bock jedes mal alles auf der Console zu machen.

    Gefällt mir 1
    Zitat von jkasten

    weiß nur grad nicht ob der Wireguard da mit GUI ist

    ist mit GUI, ja

    Gruß

    defcon

    Danke 1

    Sind aber jeweils normale LXC Container und kein Docker? Sonst müsste ich im NGINX einfach nur die IP des LXC eingeben anstatt vom Docker?

    Wenn du Proxmox hast ist LXC doch eigentlich erste Wahl, also meiner Meinung nach zumindest.

    Ja das sollte so klappen wie du dir das vorstellst.

    Gruß

    defcon

    Kommt immer drauf an, aber für so kleine Dinge wie Wireguard reicht ein LXC völlig aus. läuft bei mir mit einem CPU Kern und 128MB RAM. Da wäre ne VM übertrieben.

    Das ist mir klar, dachte WG könnte man im Docker laufen lassen. Ginge zumindest mit der WG-Easy Variante, die hat ne GUI im läuft als Docker Image.

    Ich mag an der Stelle Docker nicht so sehr, vor allem wenn man Proxmox hat.

    Ich frage mich aber gerade was du damit am Ende wirklich bezwecken willst?


    Klar den Standardport 51820 nicht freigeben zu müssen in der Firewall.


    Aber was ist denn des aktuelle Sicherheitsrisiko des offenen Ports? So lange der eventuelle Angreifer keine gültigen Peer Informationen übermitteln kann wird er damit nichts anfangen können

    Zitat von jkasten

    Ich mag an der Stelle Docker nicht so sehr, vor allem wenn man Proxmox hat.

    Das ist richtig, aber wenn ich z.B. uptime-kuma und openspeedtest nutzen will, wollte ich da keine LXC "Opfern" für so billo Programme. Für Mini Anwendungen nehme ich ganz gerne Portainer.


    Zitat von KJL

    Ich frage mich aber gerade was du damit am Ende wirklich bezwecken willst?


    Aber was ist denn des aktuelle Sicherheitsrisiko des offenen Ports? So lange der eventuelle Angreifer keine gültigen Peer Informationen übermitteln kann wird er damit nichts anfangen können

    Das Gewissen beruhigen :grinning_squinting_face:

    Zitat von hYtas

    Das ist richtig, aber wenn ich z.B. uptime-kuma und openspeedtest nutzen will, wollte ich da keine LXC "Opfern" für so billo Programme. Für Mini Anwendungen nehme ich ganz gerne Portainer.

    Mir geht es da eher darum das der VPN alleine läuft. Sonst fliegt mir der immer weg sobald ich mal an meinem Docker Containern rumspiele. So habe ich einen einzelnen Container der kaum Ressourcen braucht und im Notfall super schnell wieder da ist.

    Gefällt mir 1

    Dann wirst Du Nginx wahrscheinlich erstmal beibringen müssen mit dieses Datenpaketen umzugehen, denn es ist ja kein HTTP-Traffic.

    Vielleicht können das Nginx+ oder HAProxy "out-of-the-box".


    Bin aber auf Dein Test-Ergebnis gespannt. Bei mir läuft WireGuard einfach auf dem USG mit.

    Zitat von razor

    Bin aber auf Dein Test-Ergebnis gespannt.

    Ja ich auch, würde das dann auch umstellen. 1 Port weniger der auf muss.

    Zumindest findet man bei google kaum bis nichts zu dem Thema :neutral_face:


    Probieren geht über Studieren :grinning_squinting_face:

    Zitat von hYtas

    Zumindest findet man bei google kaum bis nichts zu dem Thema :neutral_face:


    Probieren geht über Studieren :grinning_squinting_face:

    Ich vermute mal, dass Nginx (PM) das nicht kann. Deswegen... Aber jkasten wird uns ja berichten:

    Zitat von jkasten

    Ja ich auch, würde das dann auch umstellen. 1 Port weniger der auf muss.

    WireGuard läuft jetzt erstmal ganz normal, nur bin ich iwie zu doof meine Geräte im Heimnetz durchs VPN zu erreichen.


    Hatte eine Port/IP Gruppe wie bei L2TP angelegt mit meinem Adressbereich Wireguard gibt 10.252.1.1/32 vor


    Ein LAN Weiterleitung auf mein 10.10.10.x Netz besteht ja bereits durch das UniFi VPN.


    Gebe die die IP + Subnet ein und drücke speichern:

    An error occurred when saving "WireGuard_VPN" Port and IP Group. Please ensure all firewall options have been entered correctly.


    Bei L2TP klappt es damit wunderbar. Was mache ich falsch?


    Früher hatte ich Probleme das es überhaupt läuft, da musste ich den 172.xxx Bereich nutzen.

    Einmal editiert, zuletzt von hYtas ()