Server-IP-Adresse vor Sperren schützen

In manchen Netzwerken wird die IP-Adresse eines VPN-Servers innerhalb weniger Stunden nach der ersten Nutzung gesperrt. Mit wenigen Anpassungen lässt sich Ihr Server viel schwerer blockieren. Beginnen Sie mit einer zweiten IP-Adresse für den ausgehenden Datenverkehr: So erkennen Sie auch direkt, wie das Netzwerk Ihren Server aufspürt.

Wie Netzwerke VPN-Server aufspüren

Ein Netzwerk kann die Verbindung selbst erkennen: an typischen Mustern im Datenverkehr oder daran, wie der Server auf Prüfanfragen reagiert. Der Cloak Mode bietet dafür kaum Angriffsfläche. Ihr Server unterstützt ihn bereits, und Nutzer aktivieren ihn einfach in ihrer App.

Oder es analysiert das Ziel des Datenverkehrs. Manche Länder nutzen dafür Reputationssysteme: Greifen viele Personen von derselben ausländischen IP-Adresse auf lokale Banken, Behördendienste und andere Inlands-Websites zu, wird diese IP oft als VPN oder Proxy eingestuft und auf eine Sperrliste gesetzt.

Oder jemand gibt die Adresse unabsichtlich preis. Ein Zugangsschlüssel ist nicht verschlüsselt, und jeder mit diesem Schlüssel kann die Serveradresse auslesen. Teilen Sie Ihre Schlüssel daher mit möglichst wenigen Personen.

Eine IP für Verbindungen, eine für den Datenverkehr

Weisen Sie dem Server zwei öffentliche IP-Adressen mit klar getrennten Aufgaben zu:

Die Verbindungs-IP ist die Adresse, mit der sich die Apps Ihrer Nutzer verbinden. Sie steht in den Zugangsschlüsseln.
Die ausgehende IP ist die Adresse, über die der Server Websites aufruft. Nur diese IP ist für Websites sichtbar.

Websites können nur die Adresse melden, die sie sehen. Wird eine Adresse gemeldet, ist das die ausgehende IP – Ihre Nutzer verbinden sich einfach weiter über die andere. Sie können eine gemeldete ausgehende IP sogar austauschen, ohne neue Schlüssel zu verteilen, da sie in keinem Schlüssel vorkommt.

VpnHood! SERVER hat keine Einstellung für die ausgehende IP. Er greift wie jedes andere Programm auf Websites zu – das Betriebssystem entscheidet, über welche Adresse dieser Datenverkehr läuft. Sie legen die ausgehende IP im Betriebssystem fest und die Verbindungs-IP in VpnHood.

Zweite IP-Adresse hinzufügen

Bestellen Sie eine zusätzliche IPv4-Adresse bei Ihrem Hosting-Anbieter und weisen Sie diese dem Server nach Anleitung des Anbieters zu. Außerhalb von Docker übernimmt das der Server selbst: Er fügt Adressen, auf denen er lauschen soll, eigenständig hinzu.

Behalten Sie die Hauptadresse des Servers als ausgehende IP bei und nutzen Sie die neue als Verbindungs-IP. Das Betriebssystem sendet seinen Datenverkehr bereits über die Hauptadresse, wodurch weniger Konfigurationsaufwand entsteht. Sollte die Hauptadresse einmal blockiert werden, erfüllt sie diesen Zweck weiterhin problemlos.

Ausgehende IP festlegen

Dieser Befehl zeigt die Adresse an, über die der Server Datenverkehr sendet: der Wert nach src.

ip route get 1.1.1.1

Die Ausgabe mit 198.51.100.20 als ausgehender IP

1.1.1.1 via 198.51.100.1 dev eth0 src 198.51.100.20 uid 0
    cache

Wird dort die neue statt der Hauptadresse angezeigt, ist der Server umgekehrt konfiguriert. Die einfachste Lösung: Tauschen Sie die Rollen. Nutzen Sie die angezeigte Adresse als ausgehende IP und die andere als Verbindungs-IP.

In Docker teilt sich der Server das Netzwerk des Hosts – es gelten also dessen Einstellungen.

In Clouds, in denen der Server nur private Adressen hat (wie AWS, Google Cloud, Azure oder Oracle Cloud), ist jeder öffentlichen IP eine private zugeordnet. Verwenden Sie die privaten Adressen auf dem Server und dort, wo er lauscht – und die öffentliche Verbindungs-IP überall dort, wo eine Adresse in den Schlüsseln hinterlegt wird.

Verbindungs-IP im Server konfigurieren

Konfigurieren Sie VpnHood! SERVER so, dass er nur auf der Verbindungs-IP lauscht und nur diese in Zugriffsschlüssel einträgt. Die ausgehende IP antwortet dann nicht als VPN-Server – selbst bei gezielten Scans.

Legen Sie beides selbst fest: Standardmäßig ermittelt der Server seine Adresse aus dem ausgehenden Datenverkehr (sowohl verwaltet als auch eigenständig) und würde daher die ausgehende IP wählen. Die Anleitung IP-Adressen des Servers konfigurieren zeigt, wie es geht.

Bereits ausgegebene Schlüssel enthalten die alte Adresse. Lassen Sie den Server noch einige Tage darauf lauschen, damit Apps den neuen Schlüssel automatisch abrufen können, und entfernen Sie sie erst danach. Bis dahin antwortet die ausgehende IP weiterhin als VPN-Server.

Ergebnis prüfen

Verbinde dich über ein Gerät und prüfe deine IP-Adresse auf einer entsprechenden Website. Es sollte die ausgehende IP angezeigt werden.

Bleibt die Verbindungs-IP danach erreichbar, hat das Netzwerk deinen Server anhand des Ziels seines Datenverkehrs identifiziert. Wird sie innerhalb weniger Stunden wieder blockiert, erkennt das Netzwerk die Verbindung selbst: Bitte deine Nutzer, den Cloak-Modus zu aktivieren, und weise dem Server einen Domainnamen zu.

Über einen Domainnamen verbinden

Standardmäßig nutzt der Server ein selbstsigniertes Zertifikat mit einem erfundenen Namen. Weist du ihm eine eigene Domain mit einem Zertifikat einer Zertifizierungsstelle wie Let's Encrypt zu, sieht die Verbindung wie der Besuch einer normalen Website aus.

Eine Domain hilft auch, falls die Verbindungs-IP dennoch blockiert wird. Die Zugangsschlüssel enthalten dann die Domain, die von den Apps beim Verbindungsaufbau abgerufen wird. So kannst du den Server auf eine neue IP-Adresse umziehen, die Domain darauf verweisen lassen – und alle Schlüssel funktionieren nahtlos weiter.

Unter Über einen Domainnamen verbinden erfährst du, wie das bei verwalteten und eigenständigen Servern funktioniert.

Server hinter einen Reverse-Proxy schalten

Sofern dein Setup dies zulässt, kannst du den Server auch hinter einen Reverse-Proxy oder ein CDN wie Cloudflare schalten. Dadurch verbinden sich deine Nutzer mit dem Proxy statt mit der direkten IP-Adresse deines Servers. Die Verfügbarkeit und Funktionsweise hängen vom jeweiligen Land und Netzwerk ab.

Lokale Websites vom Server fernhalten

Bitte deine Nutzer, in der App Mein Land ausschließen zu aktivieren. Auf Websites im eigenen Land – wie Onlinebanking oder Behördendienste – wird dann direkt statt über deinen Server zugegriffen. So entstehen verdächtige Zugriffsmuster, die zur Sperrung ausländischer IP-Adressen führen, gar nicht erst.