Raspberry Pi VPN

Wiederholt wurde von Lesern gewünscht, einen VPN-Tunnel von einem IPv4-Client (Smartphone) in ein DS-Lite-Heimnetz aufbauen zu können. Ein verständlicher Wunsch, wenn man bedenkt, dass Heimnetzanbindungen (fast) nur noch als DS-Lite Version zu bekommen sind, aber umgekehrt, die Mobilfunknetze und WLAN-Hotspots noch häufig nur auf IPv4 setzen. Mit klassischen IP lässt sich ein VPN zwischen IPv4 und IPv6 nicht realisieren, aber Gastautor Stefan hat eine Möglichkeit der Übersetzung von IPv4 auf IPv6 gefunden, die mit socat auf einem gemietetem vServer eingerichtet werden kann. Gleichzeitig stellt Stefan mit WireGuard eine Alternative zu OpenVPN vor. Ich freue mich, Stefans Artikel hier in meinem Blog präsentieren zu können und bedanke mich gleichzeitig für die Mühe, die er sich damit gemacht hat.

In dieser Artikelserie haben wir ein Virtual Private Network (VPN) aufgebaut, über das sich das Smartphone unterwegs mit den Heimnetzwerk verbinden kann. Das bietet einen erhöhten Schutz durch Verschlüsselung in fremden und offenen WLANs. Dazu kommt die Software Pi-Hole auf dem VPN-Server, die Trackingdienste wirkungsvoll blockiert. Das Thema ist durchaus komplex weil mehrere Komponenten involviert sind und die Probleme, die auftreten können, sind zahlreich. Aus diesem Grund will ich in diesem Beitrag zumindest die Problemlösungen vorstellen, die mir bei den Recherchen und VPN Tests zu dieser Serie über den Weg gelaufen sind.

Nach den bisherigen 10 Artikeln ist das Thema Virtual Private Network (VPN) für das Smartphone an sich umfangreich genug beleuchtet und eigentlich abgeschlossen. Aber nicht jeder beschäftigt sich viel mit Netzwerktechnik und deshalb kann es vielleicht nicht schaden, noch einen Erklär-Beitrag nachzuschieben. Hier kommt jetzt nichts grundlegend neues, ich werde nur einige Netzthemen aus den vorangegangenen Artikeln noch einmal aufgreifen und anhand einiger Netzwerk-Schaubilder vertiefen. Dabei geht es um ein paar grundlegende Prinzipien, wie Dynamisches DNS, Freigabe am Router und die Wirkungsweise eines VPN-Tunnels und von Pi-Hole. Dem Einen oder Anderen ist vielleicht auch noch nicht ganz klar, wie genau man vom Smartphone über ein VPN ins Internet kommt. Also hier etwas Netzwerktechnik in Text und Bild.

Im Rahmen dieser Artikelserie haben wir aus Sicherheitserwägungen heraus einen VPN-Tunnel vom Smartphone ins heimische Netzwerk aufgebaut. Zentraler VPN-Server ist dabei ein Raspberry Pi. Auf ihm haben wir zusätzlich Pi-Hole installiert, um durch Beeinflussung der DNS Namensauflösung, Werbung und Tracking-Dienste blockieren zu können. Die Web-Oberfläche von Pi-Hole bietet dabei einen aufschlussreichen Blick auf alle Domänennamen, die durch Browser und Apps auf dem Smartphone angefragt werden. Und damit auf alle Kommunikationsbeziehungen, die das Smartphone eingehen möchte. Nun wollen wir einen Schritt weiter gehen. Pi-Hole zeigt nur die Domänennamen der Kommunikationswünsche an, mit Wireshark sehen wir jedes Datenpaket.

Mit der Einrichtung eines VPN-Tunnels vom Smartphone auf unseren eigenen VPN-Server haben wir bereits viel für die Sicherheit am Smartphone erreicht. Nun gehen wir einen Schritt weiter und installieren Pi-Hole zusätzlich auf den VPN-Server (Raspberry Pi). Pi-Hole klinkt sich in das System der Namensauflösung am Raspberry Pi ein und und hat dadurch die Möglichkeit, unliebsame Tracking- oder Werbe-Server zu blockieren. Gesteuert wir Pi-Hole über mitgelieferte Blacklists, die bekannte Tracker beinhalten. Darüber hinaus lassen sich vom Anwender eigene Black- und White-Listen anlegen und so die werksseitigen Vorgaben an die eigenen Bedürfnisse anpassen.

In Rahmen dieser Artikelserie habe ich mich ausgiebig mit der Entscheidungsfindung beschäftigt, ob ein VPN-Tunnel auf IPv4 oder IPv6 aufgebaut werden soll. Für beide Alternativen habe ich auch die Vorarbeiten (Dynamisches DNS und Routerfreigabe) und die Installation von PiVPN erklärt. Offen bleibt die Frage – wenn man denn am heimischen Router sowohl IPv4 als auch IPv6 zur Verfügung hat – ob man nicht auch den VPN-Tunnel dual stack – also auf beiden Protokollen – aufsetzen kann und sollte. Darum soll es in diesem Artikel gehen, ein VPN-Tunnel, der je nach Gegebenheiten die eine oder die andere IP-Version nutzen kann. All diejenigen, die keinen Dual Stack Internet Anschluss haben, können diesen Artikel getrost überblättern.

Bisher ging es hauptsächlich um die Serverseite des VPN-Tunnels. Wir haben herausbekommen, ob wir das Virtual Private Network auf IPv4 aufbauen können, oder ob wir IPv6 verwenden müssen. Und wir haben mit PiVPN einen OpenVPN Server auf Basis eines Raspberry Pi installiert. Nun wird es Zeit, dass wir uns der Clientseite des VPN-Tunnels zuwenden. Android verfügt zwar selber über VPN-Fähigkeiten, kann aber von sich aus nicht mit einem OpenVPN Server kommunizieren. Wir brauchen also eine App, die das ermöglicht. Ich werde in diesem Artikel drei OpenVPN Clients für das Android Smartphone vorstellen. Und sobald wir einen davon installiert haben, können wir den VPN-Tunnel zum ersten Mal testen. In diesem Artikel geht es ausschließlich um Android als Smartphone Betriebssystem, wer ein Apple oder Microsoft Mobiltelefon verwendet, der findet aber entsprechende OpenVPN Clients in seinem App-Store.

Dieser Artikel beschreibt, wie wir einen VPN-Tunnel auf Basis von IPv6 einrichten. Das geht nur, wenn am eigenen Internet Router auch eine öffentliche IPv6 Adresse anliegt, das dürfte aber heute eigentlich immer der Fall sein. Wer Zweifel hat, der lese bitte nochmal den Artikel IPv4 versus IPv6. Wessen Router vom Internet Service Provider auch eine IPv4 Adresse als Dual-Stack Anschluss zugewiesen bekommt, der kann sein VPN auch unter IPv4 aufsetzen, was zur Zeit sicher die bessere Variante ist. Also nochmal ganz deutlich: Hier bauen wir mit Hilfe eines Raspberry Pi einen VPN-Server auf, der IPv4 Daten durch einen IPv6 Tunnel transportiert. Warum man das zur Verbesserung der Datensicherheit seines Smartphones machen sollte und wie ein Virtual Private Network funktioniert, kann man in den ersten beiden Artikeln dieser Serie nachlesen.

Der vorhergegangene Artikel hat sich mit dem Aufbau eines VPN-Servers unter IPv4 beschäftigt. Nun kommt das gleiche für IPv6. Da dieses Thema etwas umfangreicher ist, teile ich es auf zwei Beiträge auf. In diesem ersten erledigen wir die Vorarbeiten. Der Raspberry Pi wird grundkonfiguriert und im Heimnetzwerk angeschlossen. Dann werden wir überprüfen, ob er auch eine IPv6 Adresse hat. Wenn das der Fall ist können wir dynamisches DNS und eine Freigabe am Router einrichten – alles mit IPv6 versteht sich. Wem die Funktion eines Virtual Private Network noch nicht vertraut ist, oder wer sich unklar ist, ob er IPv4 oder IPv6 verwenden soll, dem empfehle ich die ersten drei Artikel dieser Serie.

Dieser Artikel beschreibt wie wir einen VPN-Tunnel auf Basis von IPv4 einrichten. Das geht natürlich nur, wenn man am eigenen Internet Router auch eine öffentliche IPv4 Adresse anliegen hat. Wer hier Zweifel hat, der lese bitte nochmal den vorangegangenen Artikel IPv4 versus IPv6. Wessen Router vom Internet Service Provider lediglich eine IPv6 Adresse als DS-Lite Anschluss zugewiesen bekommt, der braucht hier nicht weiter zu lesen. Um IPv6 kümmere ich mich in den nachfolgenden Artikeln. Also nochmal ganz deutlich: Hier bauen wir mit Hilfe eines Raspberry Pi einen VPN-Server auf, der IPv4 Daten durch einen IPv4 Tunnel transportiert. Warum man das zur Verbesserung der Datensicherheit seines Smartphones machen sollte und wie ein Virtual Private Network funktioniert, kann man in den ersten beiden Artikeln nachlesen.