Nach VPN kein Zugriff mehr von extern

[tamen]

Hallo,

in den Netzwerkeinstellungen habe ich unter "Netzwerk-Schnittstelle" eine "VPN-Connection" hinzugefügt. Mein Problem ist nun, dass ich von außerhalb meines Netzwerks nicht mehr auf meinen NAS zugreifen kann.

Viele Grüße

 

[blurrrr]

Dann solltest Du vllt nicht das Standardgateway auf die VPN-Strippe setzen? Btw vermisst man hier die Frage, bisher sind es nur "Fakten" ?

 

[tamen]

Das hat funktioniert. Vielen Dank für deine Antwort. Ja, ich muss gestehen, mein Ausgangspost war echt nicht gut formuliert.

 

[blurrrr]

Hihi, alles gut! ? Hauptsache es funktioniert wieder bei Dir

 

[tamen]

Ok, es funktioniert leider doch nicht.
Jetzt bin ich mir nicht sicher, ob es eben funktioniert hat, oder ob ich einfach zu schnell war. Ich habe keine Möglichkeit mit Hilfe meiner DDNS auf den Server zuzugreifen.

Vielleicht hilft es, wenn ich Screenshots meiner Einstellungen poste:
https://imgur.com/D0RWJQrhttps://i.imgur.com/jjNSqzk.jpghttps://i.imgur.com/486gg5C.jpghttps://i.imgur.com/bL3MayY.jpg

 

[blurrrr]

Das ist nett, aber leider... völlig unbrauchbar... ?

Also, ich fass mal kurz zusammen: VPN aus, funktioniert alles, VPN an, funktioniert nix. (?)

Das Ding ist jetzt folgendes... normalerweise sieht es so aus:

NAS <-> Router <-DynDNS-Adresse-> Client

Wobei da die DynDNS-Adresse auf die Internetschnittstelle Deines Routers zeigt. Die Frage wäre jetzt: "Wer" (Gerät) meldet dem DynDNS-Dienst die eigene externe IP? Wenn es die Syno ist: Die Syno schaut nach, wo sie ins Internet purzelt. Ist das VPN aus, ist es ganz normal der Router. Ist das VPN aber an, wird es irgendwo hinter dem VPN sein (also nicht Dein Router).

Prüfe einfach mal folgendes:

1) https://www.wieistmeineip.de/ (IP merken!)
2) In der Windows-Eingabeaufforderung (WIN+R -> "cmd") folgenden Befehl ausführen: "nslookup <deine dyndns-adresse>"

Das was bei "1" raus kam, muss auch bei "2" rauskommen. Wenn das übereinstimmt, ist das soweit schon richtig. Ansonsten teste den Zugriff nochmal mit und ohne VPN.

 

[tamen]

Wieso muss bei "1" und bei "2" das selbe herauskommen? Wenn ich das VPN auf dem NAS aktiviert habe, besitzt er doch eine ganz andere IP als mein Computer, auf dem kein VPN aktiviert ist.

Ich teste es gerade und merke, dass ich nicht mal mehr einen Zugriff per DDNS habe, wenn das VPN ausgeschaltet ist. Komischerweise wird unter "External Access" die IP von www.wieistmeineip.de angezeigt und unter nslookup eine andere

 

[blurrrr]

@client - wie gehabt via cmd:
1) "ipconfig /flushdns"
2) "nslookup <dyndns-adresse> 8.8.8.8"

Scheint so, als hätte Dein Client da noch was falsches im Cache (daher löschen wir den mit "1") und ggf. hat der Router auch noch was falsches im Cache (daher fragen wir direkt Google via "2" und nicht den Router).

 

[tamen]

Variante 1: Eingeschaltete VPN-Verbindung:

• IP aus www.wieistmeineip.de unterscheidet sich mit der dyndns-Adresse (herausgefunden durch cmd Abfrage)

Variante 2: Ausgeschaltete VPN-Verbindung:

• IP aus www.wieistmeineip.de ist identisch mit der dyndns-Adresse (herausgefunden durch cmd Abfrage)

Und dieses mal durch deine Hinweise hat es auch sofort funktioniert.

Und nach einer gewissen Zeit ist es wieder möglich per dyndns-Adresse auf meinen Server zuzugreifen (bei ausgeschalteter VPN-Verbindung)

 

[blurrrr]

Jenau, daher musst Du auch bei der VPN-Verbindung das Standardgateway rausnehmen (an das Standard-Gateway geht alles, was nicht anderweitig bekannt ist). Durch das VPN sollte ja - denke ich zumindestens - nur das Remote-Netz erreichbar sein (und nicht alles andere auch). Verhält sich ein wenig wie folgendes:

Wir beide wohnen nebeneinander. Der Postbote sieht uns vor unseren Häusern und weiss wo wir wohnen. Wenn wir jetzt aber einen unterirdischen Gang zwischen den Häusern buddeln und Du Deine Tür garnicht mehr benutzt, sondern immer bei mir vor der Tür steht, wird der Postbote irgendwann annehmen, dass Deine Post auch zu mir geliefert werden soll. So "ähnlich" verhält es sich mit dem DynDNS:

Gehst Du ganz normal bei Dir ins Internet, ist die erste öffentliche IP-Adresse die Deines Routers. Gehst Du aber erst durch das VPN in ein anderes Netz und dann darüber ins Internet, ist die erste öffentliche IP-Adresse die des Routers vom entfernten Netz (und somit nicht mehr Deine, womit auch Deine Portfreigaben, etc. nicht mehr greifen - ist ja auch ein anderer Router)

EDIT: Im Zweifelsfall hilft auch ein Reboot eines Gerätes dabei, den lokalen DNS-Cache zu leeren (anstatt "ipconfig /flushdns"), da es bei manchen Geräten nicht so einfach möglich ist (Smartphone z.B.)

 

[tamen]

Vielen Dank für die Anschauliche Darstellung des Problems. Ich glaube ich verstehe es so einigermaßen

Dennoch weiß ich nicht, wie ich das Standardgateway bei der VPN-Verbindung rausnehmen kann.

 

[blurrrr]

https://www.synology.com/de-de/knowledgebase/DSM/help/DSM/AdminCenter/connection_network_vpnclient

Standard-Gateway auf Remote-Netzwerk verwenden: Aktivieren Sie diese Option, um den Netzwerkverkehr des Synology NAS zum angegebenen VPN-Server zu leiten.

Schau also mal in die VPN-Verbindung, da muss sowas zu finden sein

 

[tamen]

Wahrscheinlich soll es so aussehen?
https://i.imgur.com/5VifyM2.jpg

 

[blurrrr]

Genau, den zweiten Haken solltest Du allerdings auch rausnehmen, sofern dazu keine Notwendigkeit besteht (und die Clients die Route ins Remotenetz ggf. sowieso nicht kennen - das wäre aber sowieso nur mit einem Haken beim Gateway relevant).

 

[tamen]

Ok, habe ich gemacht und leider funktioniert es nicht. Bei eingeschalteten VPN zeigt er mir mit dem nslookup Befehl eine andere IP an, als meine Router-IP, was ja richtig ist, oder? Also scheint das doch zu funktionieren, aber eine Verbindung bekomme ich trotzdem nicht

 

[blurrrr]

Bei eingeschalteten VPN zeigt er mir mit dem nslookup Befehl eine andere IP an, als meine Router-IP, was ja richtig ist, oder?

Nein, genau das ist "falsch". Die IP die via nslookup auf Deine DynDNS-Adresse angezeigt wird, muss die gleiche sein, wie sie die o.g. Website anzeigt.

https://www.wieistmeineip.de/ (IP merken!)

Das NAS steht ja bei Dir Zuhause, also muss die DynDNS-Adresse auch auf die öffentliche IP Deines Routers Zuhause zeigen (sonst steht der Postbote nämlich vor der falschen Tür ).

 

[tamen]

Ok, dann hatte ich dich eben doch falsch verstanden. Leider klappt es nicht.

Ich habe gerade etwas gemacht, was etwas geändert hat, ich habe "enable multiple gateways" ausgeschaltet und wieder eingeschaltet. Nun klappt es.

Wenn ich nun nslookup dyndns ip eingebe, bekomme ich "meine IP" zurück. Ich habe zum testen im Docker Firefox installiert, um dort www.wieistmeineip.de aufzurufen und dort wird die VPN-IP angezeigt. Dann scheint es ja zu funktionieren.

 

[blurrrr]

Also - Deine öffentliche Router-IP und die der DynDNS-Adresse müssen identisch sein. Damit ist gewährleistet, dass die Adresse immer auf Deinen Router zeigt, welcher wiederum (via Portweiterleitung) auf Dein NAS zeigt. Dazu kommt, dass der zugreifende Client keine veralteten Informationen im Cache haben darf. Wäre dann nämlich der Effekt, dass zwar soweit alles richtig ist, aber der externe Client ggf. noch die andere IP anspricht.

Um das o.g. auszuschliessen, kannst Du anstatt mit der DynDNS-Adresse auch mal versuchen (je nach Anwendung) mal direkt über die IP (s.o. 1+2) zuzugreifen.