Ein VPN (Virtual Private Network) ist die perfekte Lösung, um von unterwegs mit dem Smartphone sicher auf das heimische Netzwerk, Dokumente und Smart-Home-Dienste zuzugreifen. Doch was passiert, wenn das Smartphone verloren geht oder gestohlen wird? Plötzlich ist das eigene VPN ein offenes Scheuentor für sensible Daten.
In diesem Beitrag zeige ich dir, wie ich mein UniFi-basiertes Heimnetzwerk mit WireGuard und dem Nginx Proxy Manager (NPM) so abgesichert habe, dass kritische Dienste auch bei einem Geräteverlust geschützt bleiben – durch gezielte Sperren und zusätzliche Authentifizierungen.
Die Herausforderung: Deutsche Glasfaser & IPv6
Mein Heimnetzwerk basiert auf einem UniFi-System, das in verschiedene VLANs und Firewall-Zonen unterteilt ist.
💡Wie ich die Zone-Based-Firewalls von UniFi für die Sicherheit in meinem VLAN Setup nutze, habe ich hier anhand zweier Praxisbeispiele beschrieben: UniFi VLAN-Isolierung & Firewall-Regeln: 2 Praxisbeispiele für ein sicheres Heimnetzwerk
Als Internetanschluss kommt Deutsche Glasfaser zum Einsatz. Das bringt eine technische Besonderheit mit sich: Ich besitze keine öffentliche IPv4-Adresse, sondern bin nur über IPv6 von außen erreichbar.
Da die integrierten VPN-Lösungen von UniFi (einschließlich des Teleport-VPNs) zum aktuellen Zeitpunkt IPv6 nicht nativ bzw. nur unzuverlässig unterstützen, musste eine alternative Lösung her. Bastellösungen an Konfigurationsdateien meines UniFi Cloud Gateways kamen für mich nicht infrage, da es sich um ein Produktivsystem handelt. Die Wahl fiel daher auf einen selbstgehosteten VPN-Server.
Ubiquiti UniFi Cloud Gateway Ultra
Hinweis: Die mit Sternchen (*) gekennzeichneten Links sind sogenannte Affiliate-Links. Wenn du auf so einen Link klickst und über diesen einkaufst, bekomme ich von dem betreffenden Online-Shop eine Provision. Für dich verändert sich der Preis nicht, aber mit deinem Kauf über diese Links unterstützt du direkt diesen Blog – Danke dir! 🫶
Das Setup: WireGuard im Proxmox LXC-Container
Als VPN-Protokoll nutze ich WireGuard. Da ich die Kommandozeile zwar beherrsche, aber grafische Oberflächen für das tägliche Monitoring bevorzuge, läuft das Ganze in Kombination mit dem WG Dashboard.
Das Setup ist als LXC-Container innerhalb meiner Proxmox-Umgebung aufgesetzt. Für die reibungslose Kommunikation zwischen dem VPN und dem restlichen Netzwerk mussten in dieser Konstellation drei Besonderheiten umgesetzt werden:
1. Statische Route in Unifi (Return Traffic)
Damit die Datenpakete aus den verschiedenen VLANs den Weg zurück zum Smartphone im VPN-Subnetz finden, ist eine statische Route im Unifi Controller zwingend erforderlich. Ohne diese Route kommt die Antwort im VPN-Client niemals an.
2. IP-Forwarding im LXC-Container
Standardmäßig verhält sich ein LXC-Container wie eine Einbahnstraße: Er nimmt nur Pakete an, die direkt an ihn adressiert sind. Da er hier aber als Router fungiert, muss das IP-Forwarding im Container aktiviert werden, damit er Pakete zwischen dem VPN und dem LAN weiterleitet.
3. PostUp- und PostDown-Regeln in WireGuard
In der WireGuard-Konfiguration (wg0.conf) sind spezifische PostUp– und PostDown-Regeln hinterlegt. Diese öffnen beim Start des VPN-Tunnels die „Tür“ für den durchreisenden Datenverkehr zwischen dem VPN-Interface und dem LAN-Interface des Containers und schließen sie beim Stoppen des Dienstes wieder sauber ab.
Plaintext
# Beispiel für die WireGuard-Konfiguration
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
Zugriffskontrolle: Firewall-Regeln im Unifi Controller
Um den Zugriff der VPN-Clients einzuschränken, greifen im Unifi Controller entsprechende Firewall-Regeln. Mein VPN-Subnetz befindet sich in einer demilitarisierten Zone (DMZ).
Von dort aus erlaubt eine Firewall-Regel den Zugriff ausschließlich auf die Ports 80 (HTTP) und 443 (HTTPS) innerhalb des gewünschten Ziel-VLANs (z. B. VLAN 10). Ein direkter Zugriff über spezifische IP-Aderssen oder andere Ports ist dadurch blockiert. Das zwingt den gesamten Datenverkehr über meinen zentralen Reverse Proxy.
Advanced Security: Access-Listen im Nginx Proxy Manager
Da alle Anfragen nun über den Nginx Proxy Manager laufen, kann ich hier den Zugriff auf Applikationsebene feingranular steuern. Das bietet den riesigen Vorteil, dass ich direkt im Proxy Bedingungen knüpfen kann, die eine reine Firewall nicht beherrscht – wie zum Beispiel eine Benutzerabfrage.
Ich habe dafür zwei spezifische Access-Listen im NPM angelegt:
Regel 1: VPN Restricted (Zugriff blockiert)
Diese Regel blockiert das gesamte VPN-Subnetz für besonders sensible Dienste. Versucht jemand über das VPN auf diese Applikation zuzugreifen, wirft der Browser sofort eine 403-Fehlerseite (Forbidden) aus. Der Dienst ist von außen schlichtweg unteichbar.
Regel 2: VPN Authentication (Zusätzlicher Schutz)
Möchte ich von unterwegs auf bestimmte interne Tools zugreifen, erzwingt diese Regel eine vorgeschaltete HTTP-Authentifizierung (Benutzername und Passwort), sofern die Anfrage aus dem VPN-Subnetz kommt. Befinde ich mich stattdessen zu Hause im eigenen VLAN, entfällt diese Abfrage. Sollte das Smartphone also entsperrt abhandenkommen, scheitert der Angreifer an dieser zusätzlichen Hürde.
Fazit: Inspiration für dein Smart Home
Dieses Setup aus WireGuard, UniFi-Firewall und dem Nginx Proxy Manager zeigt, dass ein VPN allein oft nicht reicht, um ein Heimnetzwerk umfassend zu schützen. Erst durch die Kombination aus Netzwerk-Sperren und vorgelagerter Authentifizierung auf Proxy-Ebene wird der Fernzugriff wirklich diebstahlsicher.
Wie hast du deinen externen Zugriff gelöst? Nutzt du ähnliche Sicherheitsmechanismen oder bevorzugst du andere Tools? Schreib es mir gerne in die Kommentare!
📹 Das vollständige Video kannst du dir hier anschauen: 🔗 Video
❗Gerne darfst du natürllich auch meinen YouTube Kanal ➡️ „Haus und Technik“ besuchen. Dort findest Du weitere spannende Inhalte. Ich würde mich freuen! 😊
