Grundlagen VPN Netzwerktechnologie und die Diskstation

[Dracolein]

Hallo zusammen,

ich erhoffe mir hiermit ein wenig Aufklärung bzgl meiner augenscheinlich mangelnden Kenntnisse in diesem Bereich.

Was war die Idee?
Nun, ich bekomme seit ziemlich genau 2 Wochen alle paar Tage eine Info-Mail von meiner DS, dass gewisse IP-Adressen versucht haben, sich auf die DSM einzuloggen und gebannt wurden. Ich habe meine DS seit Jahren im Einsatz, aber das ist neu. Nun will ich mich mit der Sicherheit in meinem Netzwerk etwas mehr beschäftigen und stieß auf das Thema VPN. Der Idealfall wäre, dass meine tatsächliche IP_Adresse von meinem Internetprovider gar nicht großartig nach "außen" dringt und ich anonym surfe. Dann kann auch so gut wie niemand versuchen, irgendwelche offenen Ports o.ä. zu meinem Home-Netzwerk zu suchen.

Was habe ich bisher probiert?
Ich habe mir bei einem VPN Provider zunächst mal einen VPN Account gemacht und dies ausprobiert. Auf jeglichen Endgeräten (iPhone, MacBook, Windows PC, Fire TV Sticks...) konnte ich dank YouTube-Hilfe relativ problemlos die VPN Konfiguration einstellen und auch nachtesten. D.h. alle Endgeräte einzeln erscheinen nach "Außen" hin mit einer anderen IP-Adresse, als ich bei meinem Internet-Provider wirklich habe. Anonymes Surfen wäre damit gewährleistet. Das wollte ich nun auch auf die Diskstation übertragen, stieß hier aber auf Probleme...

Weiterhin habe ich den Syno VPN-Server als Paket installiert, konfiguriert und konnte auch hier mit der Synology QuickConnect ID meine ganzen Apps auf Iphone etc (DS-Note, DS-Cam...) eingeschränkt (!) weiternutzen. Entsprechende Ports im Router wurden weitergeleitet. Ohne VPN-Verbindung der Endgeräte zum VPN-Provider klappt eine VPN-Verbindung zum DS VPN-Server immer, aber...

Wo ist das Problem?
Habe ich die VPN-Verbindung zum VPN-Anbieter auf meinem Endgerät (hier am Beispiel: iPhone) aktiviert, kriege ich unter keinen Umstäden noch eine Verbindung zur Diskstation hin, egal mit welchen Versuchen. Ich habe eine eigene DDNS-Adresse wie auch die o.g. QuickConnect ID. Beides endet mit Timeouts o.ä.
Muss ich jetzt jedes Mal zuerst in den Handyeinstellungen rummachen und die VPN Verbindung zum Diskstation VPN-Server aktivieren?

Weiterhin will ich weniger mein Smartphone schützen, sondern mehr die Diskstation. Also ist das Synology Paket VPN-Server doch eigentlich der falsche Ansatz, oder nicht?
Mein Ziel ist es, die DS nach außen hin abzuschirmen, wie mein gesamtes LAN-Netzwerk auch.

Irgendwie stehe ich auf dem Schlauch, wonach ich nun suchen und recherchieren soll. Habe einen Knoten im Kopf sozusagen.
Ideal wäre wohl ein VPN-Router, wie ich gelesen habe. Anstelle aller Endgeräte im Homenetzwerk würde dieser Router dann die VPN Verbindung zum VPN-Provider aufbauen und für alle LAN-Geräte ebenso nutzbar machen. Leider in meinem Fall unmöglich, da ich auf dem Land wohne und hier den (")$(/"$... Telekom Speedport Hybrid nutzen muss...

Könnt Ihr mir weiterhelfen?

 

[Frogman]

.... Der Idealfall wäre, dass meine tatsächliche IP_Adresse von meinem Internetprovider gar nicht großartig nach "außen" dringt und ich anonym surfe. Dann kann auch so gut wie niemand versuchen, irgendwelche offenen Ports o.ä. zu meinem Home-Netzwerk zu suchen.

Du musst Dich leider damit anfreunden, dass dabei VPN nicht direkt helfen wird - denn das Anpingen Deines Anschlusses erfolgt heutzutage automatisiert über Bots, die ganze IP-Bereiche durcharbeiten - gut, dann könnte also zukünftig jemand versuchen, Lücken auf dem VPN-Port zu finden. Wenn Du darüber Dritten Zugriff auf die DS geben, Webserver betreiben möchtest usw., dann reicht VPN eben auch nicht. Ebenso kapituliert man bei VPN auch, wenn man bspw. größere Datenmengen/Streams nutzen möchte, weil die Performanz der DS für die notwendige Verschlüsselung dann nicht wirklich prickelnd ist. Ach ja, und anonym surfst Du mit VPN übrigens rein gar nicht... - es bleibt wie üblich, starke Passwörter zu wählen und nur diejenigen Dienste nach außen zu öffnen, die man unbedingt braucht. Und um auch bei Einsatz bspw. von owncloud und anderen Webdiensten, die vom Banning des DSM nicht abgedeckt werden, analog anzufangen und die Angreifer-IP zu blockieren, gibt's bspw. das nicht unbekannte und inzwischen auch IPv6-fähige fail2ban, was sehr performant auf DSM läuft.

 

[Dracolein]

Du musst Dich leider damit anfreunden, dass dabei VPN nicht direkt helfen wird - denn das Anpingen Deines Anschlusses erfolgt heutzutage automatisiert über Bots, die ganze IP-Bereiche durcharbeiten

Wenn ich den VPN-Provider nutze, kennen sie meine eigene IP doch gar nicht und können entsprechend bei mir auch nicht nach offene Ports suchen, oder irre ich?

Wenn Du darüber Dritten Zugriff auf die DS geben, Webserver betreiben möchtest usw

Ist nicht geplant. Zugriff auf die DS im Wesentlichen nur über LAN und bei bedarf über die genannten Apps

Ach ja, und anonym surfst Du mit VPN übrigens rein gar nicht.

Warum nicht?

 

[TeXniXo]

Ad 1) Doch, ist möglich
Ad 2) Alle Apps, die nicht nativ von deinem bevorzugten Anbieter/Betreiber sind, sind die "Dritten". Also doch
Ad 3) Weil die Daten, die du hinterlassen, auch so ausgewertet werden können in deinem Netz (VPN-Zielbereich sozusagen) und von dort werden die Daten halt "normal" hinterlassen. VPN = Verschlösselung der Verbindung zw. Clients und VPN-Server.

 

[Dracolein]

Das bedeutet (@ anonym surfen), die Info hier:

https://www.heise.de/tipps-tricks/Per-VPN-anonym-surfen-so-geht-s-3900830.html

ist falsch?

 

[Frogman]

Die Frage ist dabei eher, was Du unter 'anonym' verstehst. Der VPN-Dienstleister, über dessen Tunnel Du die Daten der diversen Clients leiten läßt, hat vollständigen Einblick, von wo nach wo kommuniziert wird (und darüber hinaus auch in die Inhalte, wenn Du innerhalb des Tunnels nicht zusätzlich noch SSL-verschlüsselte Dienste nutzt).
Der einzige Vorteil ist, dass bspw. der Webshopbetreiber, den Du auf diese Weise aufsuchst, nur die IP-Adresse des VPN-Dienstleisters sieht, nicht Deine am heimatlichen DSL-Anschluss oder die des Smartphones. Das kannst Du allerdings auch kostenlos dadurch haben, indem Du per Tor-Netzwerk unterwegs bist.