Wireguard User IP range beschränken.

[voronoi]

Hallo allerseits,

ich hab einen kleinen Homeserver am laufen und ein paar wireguard user für meine Geräte (Handy, Smartphone, usw).
Der Zugriff funktioniert so weit.
Jetzt möchte ich einen GameServer mit auf dem homeserver laufen lassen, aber ich würde nur ungern einen Port freigeben weil ich mir unsicher bin ob ich es so hinbekomme das da keine sicherheits lücken entstehen.
Deshalb will ich weitere VPN nutzer für Freunde die auf dem Server mit spielen wollen erstellen, damit sie über Wireguard zugang zum Server haben.
Jedoch will ich natürlich nicht mein ganzes Homenetwork (mit smarthome & nas) exposen, sondern nur die IP des Homeserver ereichbar machen (oder falls möglich nur speizelle Ports des Servers).

Die Resources zum einschränkten von Wireguard-Usern die ich bis jetzt gefunden habe, haben nicht wirklich funktioniert und waren sehr unklar wie es einzurichten ist.

Die Fritzbox ist eine 5590 (Fiber).

Ich hoffe ihr könnt mir helfen

 

[Stationary]

Eine Variante wäre, den entsprechenden Server in das Gastnetz zu hängen. Damit ist er vom Heimnetz getrennt. Zugriff darauf dann über Tailscale.

 

[voronoi]

Die Idee hatte ich auch schon, aber auf dem server laufen auch noch ein paar dienste die ich im Heimnetz brauche.

 

[blurrrr]

Dann konfiguriere die Firewall des Servers richtig, dann klappt da auch... Alles aus Deinem Heimnetzwerk zulassen, Dinge via Tailscale dann halt nur das, was Du entsprechend freigeben möchtest. Ich kenne Tailscale nicht, aber ggf. kann man da auch "Profile" einrichten oder so, für welche dann bestimmte Regeln gelten, da weiss @Stationary aber bestimmt mehr drüber als ich

 

[Stationary]

https://ipetkov.dev/blog/transparently-exposing-services-over-tailscale-and-the-lan/

 

[blurrrr]

Die Idee hatte ich auch schon, aber auf dem server laufen auch noch ein paar dienste die ich im Heimnetz brauche.

Kannst dem Ding auch einfach eine 2. IP geben und dafür sorgen, dass alle anderen Dienste über die normale IP erreichbar sind und über die 2. IP nur der gewünschte Dienst (Thema "bind address"). Alternativ halt irgendwas Firewall-mässiges nutzen, wo man es vernünftig konfigurieren kann.