DS-Lite Port Forwarding über Cloud Server - Erreichbar über IPv4 / IPv6
Вставка
- Опубліковано 5 лют 2025
- 🚩 pfSense/OPNsense Firewall Hardware: amzn.to/44UoEYL
🚩 Cloud Server - 20€ Startguthaben: bit.ly/3s7188g
🚩 Blog: schroederdenni...
🚩 Shop: amzn.to/3zUhIva
Mein PC: bit.ly/3nJBeEV
#dslite #vpn #wireguard
IT-Dienstleistungen (Coaching, Training, Beratung, Einrichtung)
bit.ly/3b20wc5
██ MINI PCs für Proxmox / pfSense / OPNsense / Server ██
Preis-/ Leistungssieger: amzn.to/2S92wJC
Leistungskiller: amzn.to/3glDHlM
Bester & Billig*: amzn.to/3crj9a2
██ NAS Systeme für Zuhause oder im Büro ██
Meine Empfehlung: amzn.to/2T8Awpf
Für Zuhause: amzn.to/34TBGYD
Preis-/Leistungssieger: amzn.to/3gfiXvL
██ Mini Reise Router Empfehlungen ██
Günstigster: amzn.to/3vWo4HQ
Der Sieger: amzn.to/3puC9Ke
Anfänger geeignet: amzn.to/2TPgEYQ
🔔 Social Media 🔔
► Twitch / rpicloud
► DynDNS-Dienst: ipv64.net/
► Amazon Analytics amzly.de
► 20€ Hetzner Geschenkt: bit.ly/3s7188g
► Spenden bit.ly/3saiyRn
► Discord / discord
► Twitter / dennis_schroed
► Webseite schroederdenni...
► Mein Browsergame www.seekampf.de
Impressum bit.ly/3gfQANZ
*Alle Links zu Produkten oder Dienstleistungen sind Affiliate-Links und verändern in keinster Weise deinen zu bezahlenden Betrag, sondern unterstützen mich und den Kanal. Dafür #Danke
Mich würde auch ein Step by Step Tuto mit Firtzbox, Wireguard, evtl. zusätzlicher Firewall und was es sonst noch so gibt interessieren! Top Vid.!
Super Video, würde mich über ein Tutorial freuen, wäre auch super wenn du darin zeigen könntest wie das mit der Fritzbox statt einer PFSense geht.
Bitte trotzdem „Step-by-Step“ Anleitung😂
Passt ja, gestern Glasfaseranschluss gebucht und schon Panik bekommen. Jetzt das Video, auf den Punkt. Danke
Boar.. dann haben wir ja Glück gehabt.
Super! Nachgebaut und funktioniert! Habe zum ersten mal im Leben eine feste IP und gerade noch rechtzeitig vor dem Glasfaseranschluß...
da schau ich mir fleißig das halbe Video an und warte gespannt auf die Anleitung und da kommst du mit "da seht ihr, das ist eine ganz normale WireGuard Verbindung". Dude, gerade deswegen bin ich hier lol
Schritt für Schritt Anleitung wäre großartig!
Super Sache, mich würde es auch interessieren wie das über die FritzBox einzurichten wäre und wie der Zugriff auf Ordner (Sysnology) möglich sind.
Hey, ich würde mich freuen wenn du ein kleines Tutorial bzw. eine Anleitung in deinem Blog machen könntest wie man dies so aufsetzt. Würde mich sehr freuen, da ich mich selbst mit der Deutschen Glasfaser rum ärgere und endlich gern mal Zugriff auf mein Heimnetz von außen hätte.
Genau so in der Art hab ich einem Freund mit seinem mobilen Internet geholfen auf seiner PS4 Nat typ 2 zu bekommen.
Hetzner pfsense aufgesetzt, LTE router mit Openwrt geflasht und Port forwarding für die playstation über den wireguard Tunnel. Funzt einwandfrei. 👍
Bei mir funktionert alles super, danke! Jetzt müßte man nur noch den Source-Port ändern können (mein Wissen reicht da nicht aus). Von -sport 1000 auf - dport 2000 zum Beispiel. Ich danke für jede Hilfe!
Danke, hast soeben mein Leben gerettet
Schritt-für-Schritt-Anleitung wäre schön.
Ich habe das bei mir mit einer anderen Lösung "gebastelt" (CG-NAT von Deutsche Glasfaser).
Ein Mini-PC zu Hause mit Linux verbindet sich mit einer virtuellen Maschine bei Hetzner (dort mit V4-Adresse). Die virtuelle Maschine ist also mein "Eingangspunkt" zum Heimnetz. Der Mini-PC und die virtuelle Maschine "sprechen" über V4. Wichtig war mir nur, dass ich VPN auch aus entfernten V4-Netzen nutzen kann. Ging sonst ja nur aus entfernten V6-Netzen.
Eine andere interessante Möglichkeit wäre natürlich auch das ganze über Nebula Networking von den Slack Entwicklern laufen zu lassen. So können die Geräte sogar Peer-to-Peer sprechen, obwohl keine Ports freigegeben sind. Der Tunnel fällt dann einfach weg, weil UDP hole punching benutzt wird.
Hallo Zusammen,
finde ich so recht spannend.
Das Konzept bringt mich zu der Frage, ob ich nicht praktisch den Cloudserver als VPN Gateway nehmen kann, sowohl für den HomeRouter als auch meinen Client für unterwegs. Da sollte es doch auch möglich sein ein Routing zu machen. Oder irre ich mich?
Warum bauen wir eine VPN Verbindung vom Cloud Server zum Heimnetzwerk auf? Wenn wir das ganze umdrehen würden Spart man sich das öffnen von Ports, es kann nichts vom Provider geblockt werden und was glaube ich ganz wichtig ist, nicht jeder hat direkt eine Pfsense etc. am Internet. Viele nutzen vielleicht auch Doppeltes NAT weil Routerfreiheit ja nicht wirklich von den Providern gelebt wird.
Wenn also der VPN Server auf dem Cloud Server läuft kann sich die Firewall oder auch z.b auch der Service direkt mit dem VPN verbinden.
Es gibt eine ähnliche schon etwas ältere Methode die ich mal gefunden habe: ua-cam.com/video/m5c19HjKPtk/v-deo.html
Was muss ich denn machen wenn ich teilweise in einem WLAN- Netzwerk unterwegs bin in dem ich nur eine (statische) IPv4 Adresse habe und garkein Ipv6? Kann man die Anleitung dann auch teilweise verwenden?
wie schaffe ich es so ein port forwarding auf der pfsense eizurichten auf der wireguard läuft. ich sitze hinter einem cgn nat und habe mir eine pfsense bei hetzner installiert. pings funktionieren alle einwandfrei. aber ich bekomme das port forwarding in mein homelab nicht hin. wahrscheinlich wegen dem rückweg wie im vidoe erwähnt das die packete dann direkt bei mir im homelab rausgehen und nicht zurück in den tunnel zu hetzner. also wie kann ich so ein masquerade auf einer pfsense einrichten? Danke
Da muss man dann aber schauen wie die Bedingungen für den incoming/outgoing Traffic beim VPS sind. Je nach Anwendung und Hoster kann das sonst schnell mal weitere Kosten verursachen.
Gestern bei Vodafone angerufen und von DS-Lite zu dualstack schalten lassen. Die Vodafone Station kann dann auch in den Bridge-Mode geschaltet werden, sodas man auch seinen eigenen Router nutzen kann. (NRW Unitymedia)
Nur dann macht die Vodafone Station plötzlich kein IPv6 mehr.
@@MarcoSchwan Muss sie dann ja auch nicht mehr, da man seinen eigenen Router dahinter schaltet und dieser das IPv6-Subnet zugewiesen bekommt sowie die öffentliche IPv4-Adresse.
Wie sieht es mit Starlink aus ?
Cool, mache bitte mal eine Anleitung ohne pfsense
Interessant wäre das Thema mal mit mehreren IPv4 Adressen die man nach hause über wireguard routet und in Proxmox verteilt
Hallo, wäre dies auch eine Möglichkeit auf die lokalen Adressen der Fritzbox zuzugreifen welche im Internet von Starlink das lokale Netzwerk verwaltet?
Eine Frage, ich habe nach eine VPN Verbindung zwischen meiner FritzBox und pfSense in der Cloud eingerichtet.
Nun kriege ich ums verrecken nicht hin, dass meine NAS die zuhause steht erreichbar ist. Habe das wie hier probiert, aber auch NAT Konfiguration. Kannst du das vielleicht nochmal in einem Video aufgreifen?
Moin, ein echt geniales Video. Hatte dieses Thema schon mal selber versucht umzusetzen ich kam nur nicht weit. (Masquerading vergessen)
Du bist do so für Mikrotik könntest du die Einrichtung statt mit der PFsense auch mit einem Mikrotik vorstellen?
Hallo, kommt hierzu in Zukunft noch eine Anleitung oder ehr nicht? LG
Ist das Ganze auch Side-to-Side über zwei pfsenses möglich?
Super Video.Könntest du die Alternative 6Tunnel mal zeigen? Ist ja ein ähnliches Prinzip.
Noch eine frage :) Kann man nun auch extern bei nem ipv4 only Standort auch eine wireguard über ipv4 meines VPs durch diesen ipv6 tunnel schicken ? Da ich vom ipv4 Standort ja kein wireguard direkt auf mein Router der nur ipv6 machen kann.
Welche anderen Videos sind da gemeint? Die Ping Tests am Tunnel funktionieren bei mir, aber von außen erreichbar bekomme ich das ganze bisher nicht... braucht es da noch eine Outbound Nat, ein Gateway oder spezielle Firewall Regeln am Interface?
Es braucht bei mir kein Gateway, nur den Port 3000 musste ich auf 443 bzw. dem von der GUI anpassen. Ansonsten braucht es nur ein paar typische Firewall Regeln.
Yo, geht die Freigabe auch für Gameserver Zuhause mit UDP und bestimmten Port?
Bitte step by step :-)
Moin! Danke!
Hat schon jemand probiert das ganze Netz bzw. die komplette Portrange zur Firewall durchzujagen? Single Point of Administraton! Keine Lust die Ports auf der Sense freizugeben und dann nochmal auf dem VPS. Doppelte Arbeit.
Wenn ich 2 RPI4 habe die jeweils via VPN (Wireguard) in meinen Router verbunden sind. Kann ich ssh auf jeden rpi machen. Starte ich aber eine Portainer Installation auf meinem Master, kann ich plötzlich nicht mehr auf die Ports zugreifen (von Porteiner) obwohl der Dienst läutt.
Wie würde also das Routing aussehen wenn man sich ein 2. (Internes) Netz aufbauen möchte um seine RPI zu managen. (Docker swarm)
Kannst du mal ein Video machen wie man sich ein 2. Netz (Labornetz) aufbaut?
Gute Idee. Werde ich bei meinem neuer Wohnung, die leider nur ds-lite hat umsetzen. Was ich mich frag, warum muss man auf explizit auf die IPv6 Adresse verbinden. Wenn der Server eine öffentliche ipv4 Adresse hat, ist es doch egal ob ipv4 oder IPv6 weil so bald der wireguard Tunnel besteht können in beide Richtungen die Daten übertragen werden. Da die NAT vom ds-lite dann weiß wo hin mit den Paketen.
Was mir beim Steam nicht eingefallen ist: Um die ClientIP durch das Masq nicht zu verlieren kann man dem Server auch einfach eine zweite IP geben und dann allen Traffic von der IP ausgehend über das WireGuard per Firewall Regel schicken. Dazu muss nur ein weiteres Gateway hinzugefügt werden (der Hetzner Server) und dann eine Regel der nach der Src das Gateway umschreibt. Alternativ muss man dem Server auch keine zweite IP geben, sondern kann auch mit IPtables den Port "mirrrorn" und Traffic für Port 80/443 auf 8443 und 8080 natten. Dann geht das gleiche Prinzip wie eben, nur dass auch der Src-Port überprüft werden muss.
Schau mal meine Antwort. Ich habe das bei mir so eingerichtet und das läuft stabil. Man braucht keine 2. IP oder so.
@@schossel deine Antwort wurde anscheinend wieder von dem ach so schlauen UA-cam Algo gelöscht... Aber doch man braucht schon entweder ProxyProtokoll, Port oder IP. Anders geht es nicht, es sei denn man nimmt in Kauf, dass dee gesamte Traffic über WireGuard geschoben wird
Wenn man eine PFsense hat, kann man auf dem VPS das masquerading abschalten und erstellt auf der PFsense eine Regel, welche incoming traffic tagged, z.B. mit wgvps. Dann erstellt man für Wireguard einen Gateway und dann eine neue Regel, welche allen Traffic welcher mit wgvps getagged ist über das Wireguard Gateway schickt. Somit kommt bei den Clients die tatsächliche IP an und nicht 10.0.0 2
Bitte ein step by step Video. Würde das ganze gern umsetzen, allerdings klappt hier gar nichts 😢
Bitte trotzdem eine schrittweise Anleitung ohne pfSense für die Einrichtung auf einem Proxmox Container (CT).
Hi Dennis, kann du das mal für eine Fritzbox 7590 mit Wiregurad zeigen. Bekommen demnächst auch Glasfaser mit IPV6
Hi Dennis, danke für Dein ausführliches Video! Ich stelle mir die Frage ob du mal erklären könntest wie man mehrere Feste IPv4 Adressen zu einer PFSense geleitet bekommt und diese dann auf der PFSense auf eine interne 192.X.X.X IP umleitet. Wäre es möglich das du uns hierzu ein Video und eine Erklärung machst? Beste Grüße aus dem Norden!
Hallo phillip das ist relativ einfach. Du brauchst nur ein IP Netz und dein Provider muss den next hop auf die VM setzen und die erste IP nicht auf dem Router binden. Der Rest ist gleich
Vorteil davon ist, du kannst dann die IP lokal bei dir verwenden wie als ob du diese vom RZ bekommen hast
Du kannst auch, so wie im Video, auf mehreren VPS einrichten. Dann musst du halt mehrere Wireguard Tunnel erstellen. Auf der PFSense kannst du dann ja eingehend ein ganz normales Port Forwarding machen.
@@schossel ist dann halt kein komplettes Netz 😉
@@servusrene hat er auch nicht gefragt.
Frage muss man da nicht dauerhaft die Verbindung aktiv halten auf dem Router zum VPN Server?
Wireguard hat ein Keepalive.. Bleibt immer offen die Verbindung.
@@RaspberryPiCloud was benötigt der so an Datenvolumen für das offen halten? Ich würde gerne einen Standort vernetzen wo nur LTE zur Verfügung steht.
Hallo, kannst du die Einrichtung der Cloud Server bei Hetzer mal erklären? Vielen Dank
Da gibt es nichts großartiges zu erklären.
Das Gleiche habe ich mit IPSec, aber mit einem kompletten IPv4 /28 Netz gemacht. Ich kann somit bei mir im Serverschrank jeder Client eine öffentliche statische IPv4 haben.
Wo hast du das /28er Netz gemietet und warum IPSec statt WireGurard? Danke!
@@baba2k das Netz habe ich bei LUMASERV GmbH gemietet. Hat historische Gründe dass ich IPSec verwende. Hab’s einfach noch nicht auf wireGuard umgestellt. #neverchangearunningsystem
@@servusrene Ich kann auf der Webseite von Lumaserv dazu nichts finden. Gibt es das so nicht als Produkt?
Wie ist deine Meinung zu Cloudflare Tunnels? Habe überlegt meine HomeLab-Services auf diese umzustellen.
Die Service Idee ist super. Problem: Cloudflare stellt das Zertifikat die können also alles mitlesen.
Dennis, danke für das Video. Wenn man den Input - Trafic maskiert, dann wird es mit Fail2Ban auf dem Zielsystem ein Problem geben, oder? Ich meine, dass z.B. ein Hacker auf ein System zugreift und über Fail2Ban gebannt wird. Somit sind dann doch alle gebannt, weil ja die IP des Tunnels durch die Maskierung gebannt wird und nicht der Hacker alleine.
Gibt es denn eine andere Lösung?
Hatte überlegt meinen Mailserver / Mailcow zuhause hinzustellen und über so eine übliche Lösung wie du sie vorgestellt hast zu betreiben. Damit hätte ich quasi eine feste-in zuhause.
Ich habe dir jetzt 4x geantwortet und jedesmal löscht UA-cam meinen Kommentar. Wenns dich interessiert, schreib mir eine Nachricht.
@@schossel würde ich gerne machen, wie kann ich Kontakt zu dir aufnehmen?
@@SigiJackson ich kucke nachher. Die letzten 2 Kommentare mit Kontakt wurden auch gelöscht...
Genau das gleiche Problem habe ich auch gerade! Gibt es denn schon eine Lösung? Für den Kontakt kann man ja eine Discord ID nehmen oder? Ansonsten kann man den Ansatz ja auch in einem Kommentar zusammenfassen. Zerbreche mir jetzt schon ewig den Kopf darüber, wie ich X-Forwarded-For Header richtig zuordnen kann für z.B. Fail2ban. :D
Hat sich erledigt, hab jetzt einfach auf dem Server Wireguard installiert und leite mit RouterOS auf dem Cloudserver einfach die nötigen Ports über Forward direkt an die Wireguard-IP vom Mail-Server weiter und das ohne Masquerade. :D
Jetzt sieht Fail2Ban die richtigen IPs.
Ich sag danke Vodafone hab Glasfaser 1GB down 500 Up znd damit keine Probleme
Hab das Problem gelöst indem ich die Vodafone telefonisch penetriert habe und die mir dann ne fixe ip gegeben haben, weil ich gesagt hab, ich brauchs für Homeoffice
Ja das ist ja auch die richtige Lösung. Aber irgendwann ist eben mit v4 Ende.
@@RaspberryPiCloud Wann wird es so weit sein? Kann mir das echt schlecht vorstellen.
Hatte es letztens beim Kunden. Alles versucht. Das video kam ein wenig zu spät haha. Hab auch genervt wie die Sau bis der Provider endlich nachgegeben hat.
@@PepperinooDe v4 ist schon zu Ende. Schau dir die Handelsbörsen für IPv4 an, da werden 8er Blöcke für Millionen gehandelt. Die 56er Netze von IPv6 kriegste hinterher geschmissen.
Ich würde niemandem empfehlen den 1€ VPS ("VPS Linux XS") von IONOS dafür zu benutzen, da man bei diesem keine IPv6 dazu konfigurieren kann.
mitlerweile gibt es kostenlos IPv6 im /80 Subnetz dazu
Also auf dem VPS bei ionos kann er keine schlüssel erstellen wohl irgendwie geblockt? Hat noch jemand Probleme? 2. Wie schaut es mit der Sicherheit aus? Kommt man auf den Server dann kommt derjenige ja in mein lokales Netzwerk
Wenn du eine Portweiterleiting bei dir einrichten würdest, dann wäre das ja genau gleich.
@@roeggi1 Hast recht es werden ja nur die Ports angegeben. Wobei wenn ich zugriff auf diesem VPS hätte könnte ich ja alles ändern/öffnen. So ein offenen Port sehe ich da nicht so kritisch als einen Tunnel von einem Server irgendwo im Netz in mein Netzwerk zuhause
Deswegen zieht man das eig. auch andersrum auf. Nicht der Public Server verbindet sich mit deinem Netzwerk, sondern die VMs die öffentlich sein müssen verbinden sich mit dem Public Server bzw. tunneln nur bestimmte Ports. Hier kann man sich den SSH-Tunnel zunutze machen.
@@AuftragschilIer okay mir geht es hauptsächlich ein VPN von einem ipv4 Standort zu mein Standort Zuhause ipv6 aufzubauen.Nutze dazu VPS Server mit "6tunnels" geht aber kein UDP für Wireguard
@@ChrisW1234 Dann nimm doch irgendwo für 2-3€ eine anständige VPS. Was soll denn eine VPS mit 6tunnel sein. Dann brauch ich gar keine.
dann kannst den Dienst auch gleich aufm Cloud Server hosten Oo