HTTPS Innerhalb von VPN notwendig

[Ghost108]

Moinsen,

vielleicht eine blöde Frage, aber bin mir mit der Antwort unsicher.
Ich habe zuhause eine Synology NAS.

Diese fungiert als VPN Server.
Clients verbinden sich via openVPN (SSL verschlüsselt) mit dem Synology VPN Server und haben dann Zugriff auf alle Geräte im LAN.

Nun die Frage:
Wenn der Client (iPhone) z.B. via Synology Drive App auf die Daten der Syno zugreifen möchte:


Sollte dieser dann via IP und HTTPS Port die Verbindung herstellen?
Oder reicht hier auch der "normale" HTTP Weg, da die komplette VPN Verbindung schon via SSL verschlüsselt ist?

 

[Thorfinn]

Jeder moderne Browser meckert wenn er kein https bekommt.
Wenn du VPN verschlüsselt ins LAN kommst dann aber nur http hast, kann man im LAN alles mitlauschen.

Was an Verschlüsselung "reicht" musst du selbst bewerten.
Ich habe meiner Tochter gerade über die Strasse hinterhergerufen, dass sie Brot kaufen soll. Das konnte jeder in Umkreis von 50 m abhören. Die nicht vorhandene Verschlüsselung der Botschaft bewerte ich nicht als Sicherheitsrisiko.

 

[Ghost108]

das verstehe ich auch und ist absolut richtig. Habe gerade ein Ticket dazu aufgemacht, aber vielleicht kann mir hier auch auch geholfen werden.
Das ist der Grund für meine Frage:

IST-Zustand:

Meine Synology fungiert als VPN Server.

Alle meine iPhones verbinden sich via openVPN (SSL verschlüsselt) mit der Synology und haben somit Zugriff auf das gesamte Heimnetzwerk. Für die SSL Verschlüsselung nutze ich ein Synology Zertifikat. Dieses Zertifikat nutze ich ausschließlich für den Synology VPN Server.

Für alle anderen Pakete / Schnittstellen nutze ich ein Lets Encrypt Zertifikat.

Warum?

Da ich einige Dateien für den öffentlichen Download freigebe, habe ich einen DDNS Namen angelegt (eigene Domain), welche via Lets Encrypt verschlüsselt ist.

Damit der User den Link dann problemlos öffnen kann, ohne den Hinweis (nicht vertrauenswürdiges Zertifikat), habe ich mich halt für das LE Zertifikat entschieden.

++ Soweit so gut ++

Wenn meine iPhones (welche VPN verbunden sind) via Synology Drive App auf die Daten zugreifen möchte, wird die Verbindung wie folgt hergestellt:

Synology_IP:HTTPS_Port
HTTPS: JA

Hier kommt natürlich die Meldung, dass das LE Zertifikat nicht vertrauenswürdig ist, was korrekt ist:

Denn das Zertifikat ist ja auf meinen DDNS Namen ausgestellt, nicht auf die IP.

Man kann jedoch die Meldung mit "Fortfahren" quittieren und alles ist gut.



Zur Info:

Ich nehme für die Drive App die IP statt dem DDNS Namen, weil die Portfreigabe auf der Fritzbox für den öffentlichen Zugang via DDNS nur dann aufgemacht wird, wenn ein Download bereitgestellt wird (danach wird dieser direkt wieder geschlossen)s

Soweit ist aber immer noch alles "OK", jetzt aber das Problem:

Wenn ich das LE Zertifikat erneuern / verlängern muss, kommt auf allen Endgeräten der Hinweis:



Gibt es eine Möglichkeit, dass diese Meldung nicht immer kommt?
Das Zertifikat muss (glaube ich) alle 4 Monate verlängert werde.
Oder haben Sie sogar noch eine bessere Lösung für meine Situation?