Server absichern vom Heimnetz?
Hi,
Betreibe einen Ubuntu 22.04 Server immer mit aktuellen Updates, sowie Sicherheitsprogrammen wie:
Fail2ban, SSH Keys, sicheren langen Passwörtern, Backups...
Der Server betreibt hauptsächlich zwei Minetest Server, eine Open Source Lösung gegenüber Minecraft.
Nun hängt der Server aber so wie alle anderen Geräte hier, ganz normal an der Fritzbox.
Der Server hat natürlich entsprechende Ports geöffnet, sodass die Minetest server von außen erreichbar ist. Aber nur die nötigsten. Und ssh auch, da ich nicht immer daheim bin.
Es ist mir aber jetzt bisschen heikel, weil er mit allen anderen Geräten ja zusammenhängt am gleichen Router.
Wie kann ich den Server, sicher von den anderen Geräten im Heimnetz trennen, sodass im Falle eines Angriffs auf den Server, keine Vollkatastrophe im Heimnetz mit den anderen Geräten passiert?
Oder seht ihr das unbedenklich ?
(Im Heimnetz laufen weitere private Server, dann, die aber keine Ports oder Dienste die Zugriff von außen erfordern haben, nas Server, active directory Server, usw.)
Ansonsten sind im normalen Heimnetz diverse Windows, Mac und Linux Clients, und smart home zeugs, wie smarte lautsprecher, Fernseher, Netzwerk Sound Anlagen etc.
4 Antworten
Du hast da ja schon mehr gemacht zur Absicherung als 90% der Menschen, die zu Hause einen solchen Server betreiben. Wenn du dann noch regelmäßig Updates machst und auch die minetest server regelmäßig aktualisierst, bist du schon gut dabei.
SSH macht man nicht nach außen auf, dafür gibt es vpn!
Du könntest dir eine Firewallösung mit z.b. opnsense bauen und den Server dahinter verbannen und dann nur Zugriffe ins Internet, aber nicht ins eigentliche Heimnetz von deinem Server in der FW erlauben. Lässt sich eventuell auch mit manchen heimroutern realisieren, ich glaube, zyxel Router lassen sich da ziemlich detailliert konfigurieren.
Wenn du da kein Nat machst, musst du in der FB eine Route für das neue Subnetz definieren, die dann auf die FW zeigt. Wenn du Nat machst, musst du auf der fw dann entsprechend auch Portforwardings einrichten
Wo müsste ich Opensense denn installieren, auch auf dem gleichen Server? Oder soll ich einen Pi o ä zwischenschalten?
na die Firewall sollte schon auf einem extra gerät laufen. Je nach Anzahl der Verbindungen kann ein pi da ausreichen.
VPN hat die FB inkludiert, das kostet nichts extra.
Würde ne Art DMZ bauen, sprich zweiter Router mit zwei Ethernetports und dahinter den Server hinstellen.
Ja, anders geht das nicht über die FB zu lösen, da sie keinen DMZ Port hat. Dann ne route auf die FB einrichten, über die das "DMZ Netz" dann über den zweiten Router geroutet wird.
Und auf dem Weg zwischen Router 1 und Router 2 könnte der Angreifer nicht ausbrechen, und Zugriff auf alle Geräte erlangen ?
So einfach ist das nicht. Es gibt immer Mittel und wege und mit der Lösung ist dein Server von allem anderen getrennt. Am besten wäre natürlich an vorderster Front ne Firewall stehen zu haben, über die der Zugriff geregelt wird.
Ok, wie würde das mit der Firewall funktionieren ?
Glasfaser / DSL / Kabel Anschluss in die Firewall rein, und dann ein LAN Kabel zum Server und das andere zum Heimrouter??
Und ssh auch, da ich nicht immer daheim bin.
Mach den SSH Port nach außen zu und benutze WireGuard um per VPN auf dein Heimnetz zu kommen.
Die Fritzbox hat eine Stateful Firewall erlaubt aber LAN to any per default inkl. VPN.
Wie kann ich den Server, sicher von den anderen Geräten im Heimnetz trennen, sodass im Falle eines Angriffs auf den Server, keine Vollkatastrophe im Heimnetz mit den anderen Geräten passiert?
VLAN.
Kann die Fritzbox aber nicht also brauchst du einen Switch dazwischen, der es kann.
Du kannst auch ufw/iptables und crowdsec nutzen um den Server selbst noch sicherer zu machen.
Der Server ist eine VM oder ein physisches Gerät?
Ein physisches Gerät, wie alle meine Server, ufw ist auch in Benutzung und streng auf die nötigsten Ports konfiguriert!
In ein separates Subnetz packen und sicherstellen das sie lokal nicht kommunizieren können.
Schön, das habe ich mir auch schon gedacht, das ist die Theorie. Und wie wird das durchgeführt ? Eine FB kann kein DMZ.
Ah das mit VPN wollte ich mir schonmal ansehen. Das mit opensense gucke ich mir auch an. Ich muss halt gucken das es kostengünstig wird.