VPN (gigantisches) Sicherheitsproblem: Jeder kann mein OpenELEC/LibreELEC anpingen und zugreifen (SSH)

Klingt alles plausibel.
So lange kein "richtiges" Betriebssystem, oder ein Router dazwischen ist, macht OE also rein gar nichts für die Sicherheit.
Du könntest die Dienste deaktivieren (also SSH, SMB-Share und Webinterface) - mehr bietet es nicht an.
Ist @CvH schon hier in der Diskussion? Vielleicht bietet ja LibreELEC schon ein Tool an?

LE bringt doch iptables mit, also könnte an da auch alles zunageln.

Bin mir aber wegen der Konfiguration absolut unsicher (schlicht nie gebraucht).

sowas evtl in die autostart.sh (Inhalt nur google fund)

#!/bin/sh
# Delete all existing rules
iptables -F


# Allow from local network
iptables -A OUTPUT -d 192.168.1.0/24 -j ACCEPT
iptables -A OUTPUT -s 192.168.1.0/24 -j ACCEPT


# Allow OpenVPN
iptables -A OUTPUT -p udp --dport 1194 -j ACCEPT


# Deny eth0 
iptables -A OUTPUT -o eth0 -j DROP

Zitat von bumblebee

ich hänge mich mal mit dran, bin aber windows nutzer.
Bin da etwas unerfahren in dem thema.

In meinem fall reicht da nicht die windows firewall richtig ?

Bei trifft es auch zu das ich über die externe ip zugreiifen kann über port 8080 wenn ich den webserver aktiviere, aber den brauche ich leider fur yatse.

Was sollte ich den am besten machen ? Aktuell ist meine vpn über “lp2p“ eingerichtet.
Sollte ich dieses lieber oder besser über openvpn machen ?
Und wie kann ich.mich noch absichern ausser der windows firewall?

Ich weiß nicht ob es in eurem Fall etwas bringt, aber bei der Windows Fierwall kann man für Öffentliche Netzwerke (und auch alle anderen) einstellen das aunahmslos alle eingehenden Verbindungen Blockiert werden (ist stadardmäßig nicht aktiviert).

Mir hat dies bei einem ähnlichen Problem mit dem Programm Connectify geholen, welches mir teilweise meine Netzwerkgeräte (DLAN Player/Server) auch bei der Einstellung Öffentliches Netzwerk im Netzwerk verfügbr machte. Wenn ich das Prgorgramm aus der Liste der Zuglelassen Apps entfernte, hat es sich nach einem Neustart einfach selbst wieder eingetragen. Der Support meinte damal das wäre ein Feature...

Zitat von don

So lange kein "richtiges" Betriebssystem, oder ein Router dazwischen ist, macht OE also rein gar nichts für die Sicherheit.

Nein. Die Problematik ist unabhängig vom Betriebssystem, OE ist unschuldig. VPN und OE funktionieren genau wie es der User eingestellt hat - nämlich falsch. Man tunnelt den Datenverkehr direkt ins Internet.

Um sicher zu gehen sollte man also eine schon eine iptables config bauen die alles blockt was von extern kommt außer Port 1194. Kann das jemand?

@membrane

Also doch in erster Linie das Problem des Anbieters?
Bei Getflix konnte ich gerade bei einem schnellem Gegentest zumindest nichts in der Art feststellen.
Das ist dann aber auch auf einem Linux-Mint, auf dem Serverdienste laufen, die aus dem Netz zumindest über DynDNS erreichbar sind.
Über die IP des VPNs hingegen nicht.

Zitat von infinity

Kennst du dich gut mit Iptables aus

http://www.mista.nu/iptables/ <- evtl hilft das ein bisschen, sonst nie wirklich benötigt dementsprechend auch keine Ahnung

Zitat von membrane

Kann man unter Windows nur ein Teil des Traffics über VPN Zugang schleusen? Ich würde nur die Videodienste drüber laufen lassen.

Ja, ist aber etwas kompliziert. Dafür musst du die routingtable manipulieren, was nur über die commandline geht. Eine Lösung wie Sophos UTM ist da schicht einfacher.

Zitat von don

@membrane

Also doch in erster Linie das Problem des Anbieters?

Nein. Der Anbieter ist ja nicht verantwortlich für die Konfiguration deines Rechners. Auch wenn der Anbieter von außen kommende Anfragen blockt sollte es niemals dessen Aufgabe sein dein Heimnetz zu sichern. Wer seinen Computer dennoch nicht absichert handelt fahrlässig.

Zitat von MaxRink

Ja, ist aber etwas kompliziert. Dafür musst du die routingtable manipulieren, was nur über die commandline geht. Eine Lösung wie Sophos UTM ist da schicht einfacher.

Genau das würde mich unter librelec auch interressieren. Letztlich möchte ich nur die Zattoo-Dienste über das Schweizer VPN routen. Der Rest könnte am VPN vorbei gehen, damit man z.B. Gleichzeitig auch SKY GO nutzen kann, ohne das VPN zu trennen

Zitat von Hagba20

Genau das würde mich unter librelec auch interressieren. Letztlich möchte ich nur die Zattoo-Dienste über das Schweizer VPN routen. Der Rest könnte am VPN vorbei gehen, damit man z.B. Gleichzeitig auch SKY GO nutzen kann, ohne das VPN zu trennen

Das selbe in grün: entweder dein Router macht das ( dafür gibts gute GUIs) oder es läuft über die routing table.
Vereinfacht gesagt steht in der routing table über welches Gateway (in diesem Fall über welchen (virtuellen) Anschluss ) ein Paket and die Adresse / das Netz x soll. Die halt passend zu füttern ist relativ schwer, da du halt für jeden Service die benutzten IPs / Hostnames eintragen musst.

@infinity

meine conf:

client
dev tun
proto udp
remote nl1-ovpn-udp.purevpn.net 53
ca ca.crt
tls-auth Wdc.key 1
cipher AES-256-CBC
comp-lzo
verb 1
mute 20
route-method exe
route-delay 2
route 0.0.0.0 0.0.0.0
auth-user-pass auth.txt
auth-retry interact
explicit-exit-notify 2
ifconfig-nowarn
keepalive 10 60

Zitat von infinity

Irgendwie kann ich deinen Standpunkt einfach nicht gutheißen. Selbstverständlich ist jeder selbst für die Absicherung seines Netzwerkes verantwortlich, jedoch mietet man mit einem Service wie PureVPN oder PIA, Oder VyprVPN eben einen Service, bei dem halt Privacy, Security, Geo-unblocking und Speed als primäre Features beworben werden. Man sollte dem nicht blind glauben, jedoch deutet eben nichts darauf hin, dass dadurch ein riesen Loch ins eigene Netz geöffnet wird, weil einige der Anbieter keine simple blockade als Grundsicherung (für ein Produkt, das an die Massen gerichtet ist) eingeschaltet hat. Warum stellst du diese VPN services mit einer regulären VPN Verbindung gleich, bei der man seinen Tunnel privat und nur für sich zwischen zwei von einem selbst kontrollierten Netzwerken Netzwerken aufbaut?

Ich stelle diese VPN Services mit allen Netzwerkverbindungen gleich, die nach außen gehen. Alle sind unvertrauenswürdig. Jeder Anbieter der in diesem Aspekt von Sicherheit redet lügt. Diese Einsatzart von VPN hab ich nie mit einem verglichen, das zwei private Netze verbindet.

Zitat von infinity

Erkläre mir sonst, für was hier privacy and security stehen soll, wenn das schon mal als Werbespruch hinhalten soll...

Inwiefern ist der Anbieter für fehlende Grundabsicherung oder Hinweise unverantwortlich, wenn er mit privacy and security wirbt?

Soll ich deren Werbeslogans interpretieren? Bei seriösen Anbietern sollte das in der Produktbeschreibung stehen. In dieser Branche bedeutet dies normalerweise, dass angeblich keine Logs vorgehalten und nie mit der Polizei geredet wird. In wiefern das eingehalten wird steht in den Sternen.

Zitat von infinity

Und es ist bei diesem Einsatzzweck und dem beworbenen Produkt doch ein Problem des Anbieters, da andere Anbieter dieses Problem nicht haben und - wie ich heute bereits schrieb - hat es PureVPN ja heute aufgrund meiner Beschwerde korrigiert. Gäbe es keinen Anlass dazu, hätten die es bestimmt nicht gemacht.

Das ist auch nur ein herumdoktern an den Symptomen. Die eigentliche Ursache ist noch da und sollte behoben werden. Das System ist immer noch anfällig, falls der Nutzer nichts unternimmt.

Faktisch hat der Anbieter nichts falsch gemacht, sofern ein NAT nicht in der Produktbeschreibung steht.

Ich habe hier nen Server stehen.
Plex-Server
Nas
DVBviewer-TvServer
Ich möchte den traffic vom Usenet auch über den VPN leiten und deshalb muß der Server also auch den RaspiVPNgateway eingetragen bekommen.

durch den Thread hier habe ich jetzt einfach mal versucht nen Portforward von Tun0 auf Plexserver einzurichten.
Verdammt das geht ja doch! Hätte ich das bloß vorher schon mal probiert.

Habe aber mit der stabilität von Purevpn ein wenig zu kämpfen. Manchmal läuft es drei Tage am Stück gut und dann gibts tage ,da muß ich die Verbindung 3 mal am Tag neu starten. Hast du da vielleicht ne Lösung für? dachte durch keepalive 10 60 bekomme ich das in den Griff. Klappt aber auch nicht so toll.

Ich glaube wir haben es nun alle kapiert (auch ich) dass VPN nicht gleich VPN ist.
Nächster Schritt wäre nun wie man die IPtabels so konfiguriert dass es einigermaßen sicher ist. Und bitte keine Trolls mehr wie schlimm doch die vpn Provider sind. Und hier geht's nicht nur um geoblocking. Es gibt hier genug User die nicht wollen dass man in den logfiles der tvdb oder Trakt Server die IP vom eigenen Internet Provider sieht, völlig egal wo der Content nun her kommt. Und die loggen ganz sicher mit, wenn content gescraped wird oder Infos in die Trakt Datenbank hoch geladen werden, da braucht man sich nix vor machen.

Zitat von Bane

Ich glaube wir haben es nun alle kapiert (auch ich) dass VPN nicht gleich VPN ist.
Nächster Schritt wäre nun wie man die IPtabels so konfiguriert dass es einigermaßen sicher ist. Und bitte keine Trolls mehr wie schlimm doch die vpn Provider sind. Und hier geht's nicht nur um geoblocking. Es gibt hier genug User die nicht wollen dass man in den logfiles der tvdb oder Trakt Server die IP vom eigenen Internet Provider sieht, völlig egal wo der Content nun her kommt. Und die loggen ganz sicher mit, wenn content gescraped wird oder Infos in die Trakt Datenbank hoch geladen werden, da braucht man sich nix vor machen.

passende Regeln spuckt dir z.b. http://firehol.org aus.Zwar nicht ganz einfach, für jemanden der nicht tief in der Matiere steckt aber einfacher zu begreifen als iptables rules selbst.