OpenVPN und Wireguard auf einer SAT Box

[Maier]

Moin

ich habe eine Frage. Da ich irgendwie zu blöd war diesen OpenVPN Manager so zu installieren/konfigurieren, daß er mir nicht jedesmal openvpn vom System entfernt hat.....
habe ich openvpn manuell über opkg installiert und konfiguriert (nach /etc/openvpn) dort dann eine conf Datei in der mehrere VPN Server IPs stehen - die mit dem Parameter "random" schön auch alle nach der Reihe genutzt werden - ...(aeh wo war ich jetzt) installiert und auch problemlos am laufen habe....
Das einzige was mir fehlet ist eine GUI , die mir wie bei VTI die Möglichkeit bietet OpenVPN zu beenden und zu starten, ohne jedesmal über SSH die Befehle manuell ein zu klöppeln......aber egal.....

Jetzt zurück zu meiner eigentlichen Frage: Aus irgendeinem Grund habe ich mehrere VPN Anbieter, die einen bieten OpenVPN (siehe oben) die anderne haben Wireguard. Es gibt ja ein WireGuard Plugin für OpenATV......hat das schon jemand mal parallel betrieben oder zerschießt mir das die Box ?
Also mit parallel meine ich nicht das OpenVPN Verbindung und Wireguard gleichzeitig laufen, sondern nur, ob die sich parallel installieren lassen ohne daß da Abhängigkeiten installiert werden, die das andere zunichte machen ?
Falls das schon mal jemand am laufen hat ?

 

[Black Mirror]

Ich hatte selbst aus Testzwecken mal 2 Plugins am laufen. Aber nicht beide Plugins zu selben Zeit mit unterschiedlichen Protokollen.

 

[Maier]

...du meinst openvpn und wireguard als plugin vom feed. Und wechselseitig funktionieren noch beide.
Wenn du das sagst, bin ich confident dass es funktioniert......ich werde es testen, natürlich vorher ein Image Backup machen

 

[Black Mirror]

Ja genau.

 

[13speedtest37]

Ganz einfach: VPN auf Netzwerkebene!

Und egal welche Endgeräte, alle haben sie VPN Verbindung.

 

[Maier]

...hatten wir schonmal diskutiert.....VPN auf Netzwerkebene und dann den ganzen Tag Captchas bei vielen Seiten lösen, die Familie killed mich.....
Nix.....das Gerät welches immer VPN haben sollte wie die SAT Box bekommt das VPN
Die Webbrowser, der manchmal auf Webseiten wie tv-base.com rum surfen, die haben ein VPN Plugin am laufen (an und abschaltbar mit einem klick).
Zum Rest Surfen entweder PLugin aus oder anderen Browser nehmen, ein paar PLugins da mit installieren, daß die Coockies und der Verlauf gelöscht werden.....
auf der Fritte DNS over TLS eingestellt und am Raspberry Pi noch ein PiHole davor geschaltet um die bösen Seiten etc zu blocken, dann muss aber gut sein.
Wer dann noch sicher surfen will nimmt bei DNS over TLS dns.quad9.net (um böse Seiten auf DNS Ebene schon zu filtern oder eben direkt 9.9.9.9
Der Rest nbehindert nur.....kannste machen, wenn du der einzige bist der im Haus im INternet unterwegs ist.
Ich habe keinen Bock jedesmal wenn ich homebanking, ebay oder Amazon machen will micht zurechtfertigen ob ich ein Mensch bin oder nicht Nix da, VPN für das ganze Netzwerk behindert nur....

...und wie du unten lesen kannst, die kleinen Dinge entscheide ich und die großen meine Frau

 

[13speedtest37]

Captchas kommt auf IP und VPN Provider an. Ist je nach Anbieter alles gar nicht so wild. Sehe das Thema etwas anders. Aber ist wohl Ansichtssache. Und Pi Hole sowieso aber dann gleich per cloudflared Tunnel zum upstream DNS Server. Erstens schneller und zweitens gehts von der Verschlüsselung nicht besser. TLS hin oder her.

 

[Maier]

Ja, mag sein dass es auf den VPN Anbieter ankommt ob man captchas lösen muss oder nicht,wenn aber die IP Adresse ausserhalb def EU ist,oder der Bank beim Homebanking nicht passt, weil sie überhaupt keinem Land zugeordnet ist, noch nichtmal aus unserer Galaxy stammt und deren Wert auch jenseits von 255.255.255.255 liegt, dann macht das alles keinen Spaß. Wiegsagt, bei vielen Webseiten muss man dann erst beweisen dass man ein Mensch ist, indem man erst Puzzleteile hin und her schieben muss oder erst alle Busse 5 mal erkennen muss,danach die Ampeln, wo man nicht weiss ob dieStange nun zur Ampel dazu gehört odernicht, führt nur zur Unzufriedenheit.....und dass die Brut dann mit dem Handy oder Tablet über lte surfed.
Ganz zu schweigen von Alexa, die die Antworten dann auf Klingonisch gibt, weil plötzlich die IPAdresse aus dem Andromeda Nebel stammt
Bezüglich der Geschwindigkeit bei DNS Anfragen, kann ich auch beruhigen, wenn ich einen DNS nach einer Domain Anfrage, gibt der eineTTL mit,und solange cached der Rechner die DNS Ergebnisse lokal, und fragt die in der Regel nicht immer wieder an.
Die Mikrosekunden die man dann bei cloudflare spart, bringen es nun auch nicht......wobei Cloudflare ist schnell, aber bei weitem nicht der schnellste DNS

 

[blackdevil]

Einen Raspberry Pi als VPN Server nehmen und nur die gewünschten Geräte darüber laufen lassen.

 

[SledgeHammer]

Einen Pi ist ne gute Sache, aber da sollte ein squid noch mit drauf, damit man den Browser ggf auch darüber laufen lassen kann.

Aber zum Thema nerviges SSH. Du könntest einfach unter /usr/script deine Befehle ablegen, die du per GUI einfach ausführen kannst.

 

[13speedtest37]

Der Browser nimmt doch in der Regel als DNS Server die DNS Server von den System Settings. Da braucht man doch keine extra Proxies eintragen, damit man über Pi Hole geht? SQUID hat halt andere Vorteile noch. Oder hab ich hier nen Denkfehler?

 

[Maier]

@blackdevil Die Idee mit dem Raspberry als VPN Gateway ist ansich nicht schlecht. Dann muss man aber (wenn ich das richtig denke) bei all den Geräten die dann VPN machen müssen und bei den Geräten die hin und wieder VPN machen sollen das Default Gateway auf die IP Adress des Pi setzen. Das ist Prinzipiell möglich, aber wenn man dann mal ohne VPN ins Internet möchte, muss man erst das Default GW wieder auf die (zb) Fritzbox umlenken. man kann sich da unter Linux ein Bash und Windows eine bat schreiben, die das alles macht, aber ich bin mir nicht sicher ob der Wechsel des Default GW unter allen OS immer ohne Netzwerk Reset (also ifdown/ifup oder windows: netsh interface set interface....) funktioniert...aber egal. Deswegen denke ich, auf den Geräten die meist Webbrowsen, reicht doch ein VPN Plugin im Webbrowser.

@SledgeHammer Naja, ich weiss garnicht, ob Squid überhaupt noch irgendwo genutzt wird, oder Grundsätzlich Proxies noch genutzt werden. Der initiale Gedanke war ja damals, nicht für jede Angesurfte Seite von zb Firmenrechnern, jedesmal die Seite runter zu laden, sondern die lokal auf dem Proxy vor zu halten. Natürlich kann ein Squid mit den ganzen möglichen Filtern noch ein wenig mehr .....als nur Seiten zu cachen.....
...ja und das mit dem VPN bash Script, welches ich in OpenATV aus der Gui aufrufen kann, ist mir auch gestern abend, als ich das geschrieben habe, eingefallen.
Werde ich wohl so machen......eventuell schreib ich so was kleines auch mal in Python....und bau das als Plugin noch in die Gui ein....das kriege ich gerade noch so hin....

@sackwolle das stimmt, in der Fritzbox der ja auch der DHCP Server ist (Pihole kann übrigends auch DHCP und der Raspi native ja mit zb DNSMASQ auch) trage ich den Raspi mit PiHole als Primärern DNS ein und die Fritzbox als Sekundären. Die Fritzbox hat dann als DNS Server die "DNS over HTTPS" und nimmt da zb Cloud9 als DNS, gibt aber per DHCP den PiHole Raspi als Primären DNS raus....
Damit gehen dann von allen Geräten, die DHCP machen die DNS Anfragen an PiHole und dort kann man dann mit den ganzen schönen Filter Listen auf DNS Ebene schon die ganze Werbung etc wegblocken . Kann ich nur jedem empfehlen...als Beispiel mal die bild.de ohne jegliche Werbung......das spart auch massig CPU weil die ganzen Werbefilmchen rundherun garnicht erst runtergeladen werden.
Meiner Meinung nach ist dann auch ein Squid als Proxy vollkommen obsolet....es sei denn, mann möchte noch Filter wie zb Webseiten bestimmer KAtegorien blocken. Aber auch das würde gehen mit zum Beispiel "Ciscos OpenDNS Service" - Internet Seiten besitmmter Kategorien auf DNS Ebene blocken....wenn man den Kids zb den Zugriff auf Porn Seiten unterbinden möchte......

Aber ja, jeder hat da andere Vosrstellungen was über VPN geroutet werden sollte und was nicht.....

 

[SledgeHammer]

Natürlich werden Proxys immer noch genutzt. Nicht nur früher nutzt man die zum cachen. Sonder auch im URL-Filterung zu machen.
Selbst ne FritzBox nutzt die, wenn du da URL-Filterung einschaltest. Und das fällt dann unter Transparent-Proxy. Des weitern wird dieser auch als Virenscanner genutzt, somit wird jeder Download gleich überprüft und ggf. geblockt. Also Anwendungssfälle gibt es immer noch einen Haufen.
Wenn du den Pi, als VPN-Router nutzt ist es soweit richtig, das jedes Gerät Ihn als Default-Gateway eingerichtet haben muss, damit der VPN-Tunnel genutzt wird. Wenn du aber jetzt auf dem Pi, einen DNS-Server (ala AdGuard & Co) betreibst, werden deine DNS-Queries ebenfalls über den VPN Maskiert. Und dafür brauchen die Clients nur den Pi als DNS-Server eingetragen haben. Als nächstes läuft ein Squid auf dem Pi, somit kann dein Gerät normal in Netzwerk vertreten sein, aber z.B. Firefox, bekommt den Pi als Proxy eingetragen und schon Surfst du mit Chrome im Normalen-Netz und mit FireFox im VPN-Netz. Und das ohne irgendwas an deiner IP-Konfiguration zu ändern.
Unter Linux kannst du es noch weiter Treiben, das du sogar pro Anwendung einen Proxy definieren kannst.
Und ich muss sagen das DNS & GW bei mir per DHCP auf den Clients gesetzt werden, was selbst eine Kurzfristige änderung recht flott per LDAP ausgefürt werden kann. Da müssen die Geräte eifach in die entsprechenden Gruppen gezogen werden und schon wird die neue Konfiguration gepusht. Leider klappt dies mit der Proxy-Konfiguration nicht so einfach, aber ehrlich gesagt, kommt diese änderungen sehr selten vor.
Eine andere Lösung währe natürlich ein zusätzliches WLAN/VLAN zu konfiguriren, was einmal Ungeschütztes Internet hat und ein anderes wo alles übern VPN läuft. Jenachdem mit welchen ich mich verbinde, habe ich die passende IP-Konfiguration. Natürlich, wäre dies auch per RADIUS möglich, aber das würde jetzt hier viel zu weit führen.