IP-Adressen Ihres Servers festlegen

Ein Zugriffsschlüssel teilt Apps mit, zu welcher Adresse sie sich verbinden sollen. Meist ermittelt der Server dies automatisch. Bei mehreren IP-Adressen können Sie genau festlegen, worauf der Server lauscht und welche Adresse in den Schlüsseln steht.

So ermittelt der Server seine Adresse

Standardmäßig lauscht der Server auf allen Adressen des Systems auf TCP-Port 443.

Für die Schlüssel ermittelt er die Adresse über den ausgehenden Datenverkehr via Webservice. Bei verwalteten Servern übernimmt VpnHood! MANAGER dies über Automatic Configuration und passt die Zugangspunkte automatisch an. Dies ist standardmäßig aktiv.

Das funktioniert auf den meisten Systemen optimal. Passen Sie es manuell an, wenn:

• Das System Datenverkehr über eine andere Adresse sendet als die Verbindungsadresse, z. B. bei einer separaten ausgehenden IP. Sonst würde die ausgehende Adresse verwendet.
• Das System mehrere öffentliche IP-Adressen besitzt und die Schlüssel eine bestimmte Adresse enthalten sollen.
• Die Adressabfrage fehlschlägt, z. B. wenn der Webservice nicht erreichbar ist. Ein Standalone-Server startet dann nicht und meldet im Protokoll PublicEndPoints has not been configured properly.

Auf einem verwalteten Server

Öffnen Sie in VpnHood! MANAGER Servers, wählen Sie den Server aus und gehen Sie zu Access Points. Jeder Zugangspunkt entspricht einer Adresse des Servers mitsamt ihren Ports.

Die neue Adresse, 203.0.113.10, wird in den Schlüsseln hinterlegt. Die alte, 198.51.100.20, wird daraus entfernt – der Server lauscht jedoch weiterhin darauf, um Apps mit älteren Schlüsseln zu unterstützen.

Um sie selbst festzulegen, deaktivieren Sie Automatic Configuration: Solange die Option aktiv ist, lässt sich die Liste nicht bearbeiten. MANAGER bittet um Bestätigung, da der Server mit den neuen Einstellungen neu startet.

Zwei Einstellungen bestimmen den Zweck jeder Adresse:

• Mode bestimmt, wer die Adresse erhält. PublicInToken fügt sie in jeden Zugangsschlüssel der Serverfarm ein. Public hält sie aus den Schlüsseln heraus; MANAGER weist sie einer App erst zu, wenn sie mit diesem Server verbunden wird. Private wird niemals an Apps weitergegeben.
• Listen legt fest, ob der Server auf dieser Adresse lauscht. Aktivieren Sie Yes nur für Adressen, die Ihr Anbieter auf die Instanz leitet: Unter Linux bindet der Server eine noch fehlende Abhöradresse automatisch ins Netzwerk ein.

UDP Port und QUIC Port sind optional; über -1 lassen sie sich deaktivieren.

In Cloud-Umgebungen mit rein privaten Adressen (wie AWS, Google Cloud, Azure oder Oracle Cloud) tragen Sie die private Adresse mit Mode Private und Listen Yes ein. Fügen Sie die öffentliche IP mit PublicInToken und Listen No auf demselben Port hinzu. Automatic Configuration richtet dies automatisch genauso ein.

Zur Überprüfung öffnen Sie die Serverfarm: Auf deren Seite finden Sie unter Access Points alle in den Schlüsseln enthaltenen Adressen.

Auf einem Standalone-Server

Der Server liest Einstellungen aus /opt/VpnHoodServer/storage/appsettings.json. Erstellen Sie diese Datei bei einer Neuinstallation einfach neu. Zwei Optionen unter FileAccessManager steuern die Adressen:

• TcpEndPoints definiert die Adressen und Ports, auf denen der Server lauscht.
• PublicEndPoints definiert die Adressen und Ports für die Zugriffsschlüssel. Verwenden Sie nur echte Adressen: 0.0.0.0 oder [::] verhindern den Serverstart.

Vollständige Konfiguration: Der Server lauscht auf allen Adressen und trägt 203.0.113.10 in die Schlüssel ein

{
  "FileAccessManager": {
    "TcpEndPoints": [ "0.0.0.0:443", "[::]:443" ],
    "PublicEndPoints": [ "203.0.113.10:443" ],
    "SslCertificatesPassword": null
  },
  "ServerConfig": {
    "LogAnonymizer": true,
    "AddListenerIpsToNetwork": "*"
  },
  "LogLevel": "Information"
}

Um nur auf einer bestimmten Adresse zu lauschen (etwa bei einer separaten ausgehenden IP), tragen Sie diese auch in TcpEndPoints ein. Außerhalb von Docker bindet der Server die Adresse bei Bedarf automatisch an das System.

Falls Sie auch UdpEndPoints oder QuicEndPoints nutzen, verwenden Sie dieselbe Adresse wie für TCP.

In Cloud-Umgebungen mit rein privaten Adressen (wie AWS, Google Cloud, Azure oder Oracle Cloud) lauschen Sie auf der privaten oder allen Adressen und tragen die öffentliche IP in PublicEndPoints ein.

Starten Sie den Server anschließend mit sudo systemctl restart VpnHoodServer neu (bzw. mit sudo docker restart VpnHoodServer unter Docker). Erstellen Sie zum Prüfen einen Schlüssel mit vhserver gen: Die Zeile HostEndPoints: zeigt die genutzten Adressen.

Bereits ausgegebene Schlüssel

Ein Schlüssel enthält immer die Adressen, mit denen er erstellt wurde. Apps mit älteren Schlüsseln versuchen daher weiterhin, die frühere Adresse zu erreichen. Da jede App bei der Verbindung den aktuellen Schlüssel automatisch abruft, empfiehlt es sich, den Server nach einer Änderung noch ein paar Tage auf der alten Adresse lauschen zu lassen, bevor man sie entfernt.

Auf einem verwalteten Server behalten Sie sie als Zugangspunkt mit Mode Private und Listen Yes bei: Apps erhalten den neuen Schlüssel automatisch, da Push token to clients standardmäßig aktiviert ist. Auf einem eigenständigen Server belassen Sie die alte Adresse einfach ausschließlich in TcpEndPoints.

Eine App, die die alte Adresse nicht mehr erreicht, benötigt einen neuen Schlüssel von Ihnen. Mit einem Domain-Namen und einem Zertifikat einer Zertifizierungsstelle finden Schlüssel neue Adressen direkt über DNS – so bleiben Änderungen unterbrechungsfrei.

Nächste Schritte

• IP-Sperren auf Ihrem Server verhindern
• Zahlreiche Server und Schlüssel zentral per Webpanel verwalten – mit VpnHood! MANAGER
• VpnHood! SERVER installieren