Wie groß ist das Risiko, einen WireGuard Server zu hosten?
Ich überlege einen WireGuard Server zu hosten, um von unterwegs Zugriff auf mein Heim-Netz zu haben. Dafür muss ich natürlich einen Port öffnen. Wie groß ist das Risiko eines Angriffs?
Ich könnte den Server entweder auf dem Router (OpenWRT) hosten, oder auf einem anderen Gerät im Netz. Welche Variante würdet ihr vorziehen?
3 Antworten
Diese 2 Pakete werden meines Wissens nach von einer sehr großen Community auf dem neuesten Stand gehalten.
Noch dazu die Art der Verbindung ja nicht ein stupide Passwort darstellt.
Jenachdem was du im Netzwerk erreichen willst und von welchem Gerät aus ist die Frage ob ein DynDNS auch Abhilfe schaffen kann.
Indem die IP. Adresse hinter eine Domain gepackt wird und aktualisiert wird stetig und die Domain in der whitelist für das Netzwerk steht.
Bei bestimmten Diensten funktioniert das ich weiß nicht ob auch in deinem Fall das funktioniert.
Wie groß ist das Risiko eines Angriffs?
Mit einem geöffneten Port öffnest du natürlich ein Tor, was genutzt werden kann.
Hingegen sind Lösungen wie WireGuard und OpenVPN Open Source und jeder hat prinzipiell jederzeit die Möglichkeit, die Sicherheit selbst zu überprüfen - und Fehler / Bugs können schnell geschlossen werden. Gerade bei den beiden genannten Lösungen hätte ich weniger Bedenken, wenn du sie immer Up-to-Date hältst
Ich könnte den Server entweder auf dem Router (OpenWRT) hosten, oder auf einem anderen Gerät im Netz. Welche Variante würdet ihr vorziehen?
ich habe in meinem Setup meine VPN-Server auf dem Router mitlaufen.
Habe schon überlegt, ob es sinnvoll wäre, IPv6 statt IPv4 zu nutzen, weil da der Addressraum was größer ist, was brute-force Attacken unwahrscheinlicher machen sollte?
Aus dem Grund würde es mMn weniger Sinn machen, auf IPv6 statt IPv4 zu setzen
Ein Brute-Force passiert ja nicht einfach so ins Leere. Angreifer vergewissern sich zuerst, dass ein Ziel antwortet - und das frisst so gut wie keine Ressourcen.
Ja, der Raum möglicher Adressen ist größer, aber irgendwann wirst du halt doch gefunden und angepingt.
Zudem, wenn du daheim hostest, wirst du wahrscheinlich Dyndns nutzen. Damit ist dann deine aktuelle IP öffentlich hinterlegt
Ein Brute-Force passiert ja nicht einfach so ins Leere
Der IPv4-Raum ist halt nicht so groß, dass man da nicht einfach mal alles durchtesten könnte. Das passiert tatsächlich ständig.
Zudem, wenn du daheim hostest, wirst du wahrscheinlich Dyndns nutzen
Hatte überlegt, einfach jedes mal wenn ich eine neue IP kriege, die einfach manuell zu ändern.
Hatte überlegt, einfach jedes mal wenn ich eine neue IP kriege, die einfach manuell zu ändern.
Was meinst du mit "manuell ändern"? Du bekommst ja dann eine neue ... Vom Anbieter... Automatisch ...
Oder meinst du jetzt einen DNS-Eintrag? Wenn du mit der Downtime leben kannst, kannst du das bestimmt tun, aber für dein Problem ist es egal, ob du das Automatisch machen lässt oder nicht
Was ich meine ist, dass ich dann ja keinen DNS-Eintrag brauche.
ja... haben wir auch mal so gemacht... da musste man dann ab und zu anrufen und nach der aktuellen WAN IP fragen...
zudem verwenden wir auch noch einen ungewöhnlichen Port... die Hacker gucken meist nur nach 1194... oder 5060... oder 80... oder 22... aber nie nach 48123...
Das risiko ist eigentlich gleich 0.
Das gilt als sicher.
Wichtig ist dass du die software aktuell hälst, dass du da nicht jahre alte sicherheitslücken hast.
Klar gibt immer zero day exploits usw., aber dagegen kann man eigentlich nichts machen, außer dein rechner ist komplett offline...
Gibt halt trotzdem 0-day Lücken... Das ist so meine große Sorge, die ich habe. Habe schon überlegt, ob es sinnvoll wäre, IPv6 statt IPv4 zu nutzen, weil da der Addressraum was größer ist, was brute-force Attacken unwahrscheinlicher machen sollte?