openVPN zu Wireguard wechseln / DS925+

[opheltes]

Moin,

ich interessiere mich im Docker für den Wireguard.

In der Vergangenheit habe ich seit 2017 die DS218play benutzt und dort stets den openVPN-Server verwendet, weil diese DS kein Docker unterstützt. Durch mein Aufrüsten der o. g. DS, interessiere ich mich für Wireguard.

Grund für den Wechsel: Ressourcenschonender für mobile Geräte (24/7)

Ziel: Eine Wireguard-VPN-Verbindung(24/7) für mobile Geräte zu bewerkstelligen.

Der Kernel wird offiziell nicht unterstützt und müsse den Kernelmodul nachrüsten.

Meine Kernfrage ist: Kann ein DSM-Update später Probleme verursachen, wenn ich das Kernelmodul verändere?

Grüße

und ein schönen Wochenstart.

opheltes

 

[plang.pl]

Es gibt doch einen WireGuard Docker Container. Da musst du nix am Kernel ändern. Aber: Ein VPN-Server gehört NIEMALS auf den File-Server.
Ist wie wenn ich den Haustürschlüssel im Briefkasten lagere...
Das gehört auf den Router oder ein anderes Device wie einen Raspi o.ä.

 

[Ronny1978]

@opheltes : Was für ein Router hast du?

 

[opheltes]

Hallo plang.pl

hier ist ein Auszug vom Log:

support the app dev(s) visit: WireGuard: https://www.wireguard.com/donations/ To support LSIO projects visit: https://www.linuxserver.io/donate/ ─────────────────────────────────────── GID/UID ─────────────────────────────────────── User UID: 1026 User GID: 100 ─────────────────────────────────────── Linuxserver.io version: 1.0.20250521-r0-ls95 Build-date: 2025-12-18T11:29:55+00:00 ─────────────────────────────────────── Uname info: Linux e411898d4f6a 5.10.55+ #86003 SMP Wed Oct 22 13:33:22 CST 2025 x86_64 GNU/Linux Error: Unknown device type. **** The wireguard module is not active. If you believe that your kernel should have wireguard support already, make sure that it is activated via modprobe! **** root@Sunny:/volume1/docker/wireguard#

Ronny1978,

fritzbox7520 - dort nutze ich wireguard nicht, weil ich zwei Profile brauche: 1 x mit traffic & 1 x ohne traffic.

Grüße

opheltes

 

[Ronny1978]

zwei Profile brauche: 1 x mit traffic & 1 x ohne traffic.

Das verstehe ich nicht ganz. Meinst du im Smartphone? Warum legst du dir dort keine 2 Profile an, oder verstehe ich da was falsch?

 

[plang.pl]

Ach lol. Dann ist vermutlich der Kernel der DS zu alt oder Synology hat da iwas nicht implementiert.
Was heißt mit und ohne Traffic?
Wenn es schon auf der DS sein muss, setze dir eine schlanke Linux VM auf und betreibe darin Docker. Da hast du den neuesten Kernel und kannst treiben, was du willst.

Also nativ auf der DS würde ich da nix am Kernel machen.

 

[JohneDoe]

Wenn es schon auf der DS sein muss, setze dir eine schlanke Linux VM auf und betreibe darin Docker.

Dann kannst du auch Wireguard direkt installieren und dir den Umweg mit Docker sparen. Hast viel weniger Aufwand, wenn du IPv6 nutzen willst. Das geht sehr leicht mit https://github.com/angristan/wireguard-install. Darüber läuft dann die komplette Verwaltung.

 

[plang.pl]

Klar, kann man auch machen. Ich bin halt eher der Freund, wo es geht Docker zu nutzen. Aber das ist Ansichtssache. Und wenn es nativ einfacher geht mit IPv6, würde ich es auch machen. Ich kann dazu nix sagen. Mein VPN läuft über die Firewall

 

[JohneDoe]

Ich nutze sonst auch überall Docker. Aber bis man alles konfiguriert hat, dass Docker auch mit IPv6 richtig arbeitet (Routing) ist man nativ schon fertig und hat alle Clients eingerichtet.

 

[opheltes]

Hallo,

bisher hat plang.pl sich nur geäußert, dass er nicht empfiehlt, den Kernel nativ zu ändern. Hatte auf mehr Erfahrung & Meinungen gehofft. Ich appelliere besonders an die DS-Nutzer, wenn vorhanden.

Ronny1978, ich meine zwei *.cfg - einmal mit redirect-gateway def1 und einmal #redirect-gateway def1.

Grüße

opheltes

 

[Ronny1978]

Ronny1978, ich meine zwei *.cfg - einmal mit redirect-gateway def1 und einmal #redirect-gateway def1.

Aber das sollte doch am Smartphone oder Laptop/PC möglich sein, 2 verschiedene Profile anzulegen, oder?

 

[plang.pl]

Du meinst die WG Client Config? Die kannst du doch einfach editieren nachdem du sie von der FritzBox exportiert hast?

 

[JohneDoe]

Ich würde nicht irgendwelche Kernel Sachen ändern. Im besten Fall ist das bei einem Update wieder weg. Im schlimmeren Fall hat man sich was zerschossen.

 

[opheltes]

@all Ich war noch nie in der fritz.box Wireguard drin und mir war nicht bekannt, dass die Datei editierbar ist - interessant.

Trotzdem fällt das flach, weil ich openvpn zu einer externen DS als Backup (hyperbackup) verwende.

In der fritzbox-wireguard ist es nicht möglich server- clientmässig etwas zu konfigurieren.

Nochmal mein Ansatz: Ich wollte openvpn ablösen durch Wireguard (idee docker in der DS), weil es ressourcenschonender ist. Da bin ich auf das Problem gestoßen -> Kernelproblem.

Vielen Dank für die Anstöße.

Grüße

opheltes

 

[prudishly]

Trotzdem fällt das flach, weil ich openvpn zu einer externen DS als Backup (hyperbackup) verwende.

Welcher Router steht denn am entfernten Standort?
Hyperbackup läuft verschlüsselt, könnte man auch ohne VPN nutzen

 

[Ronny1978]

Oder einmal über Tailscale nachdenken... dann könnten auf beiden NAS der Tailscale Client installiert werden und das Hyper Backup läuft dann über Tailscale und @opheltes kann auf der Fritzbox Wireguard nutzen.

 

[maxblank]

Laut dieser Anleitung kann Wireguard als VPN-Server lokal und ohne Docker per SSH auf dem NAS installiert werden.
https://itservice-hilfe.de/forum/th...-synology-installieren-per-ssh-inoffizielles/

 

[opheltes]

prudishly, der Router2 ist 20 km weiter weg.

Ronny1978 - darüber habe ich schon länger nachgedacht aber ich war schlicht dagegen, mich noch als 3. Anbieter sich anmelden zu müssen. Da ist mein Gewissen leider dagegen.

Maxblank - ich schaue mir das einmal an, vielen Dank. Aber ich vermute, weil dort inoffiziell steht, dass der Kernel verändert wird und nicht mehr Update-sicher ist - mal schauen.

Grüße

opheltes

 

[Ronny1978]

mich noch als 3. Anbieter sich anmelden zu müssen. Da ist mein Gewissen leider dagegen.

Verstehe ich nicht, aber gut. Sicherheit und Komfort geht bei mir vor Mühe. Bei Tailscale kannst du dich eh nur mir deinem Google, Microsoft, GitHub, Apple Account oder einem Passkey anmelden. Du hast also keinen üblichen Account. Und wie auch bereits @plang.pl im Post #2 gesagt hat: Ein VPN gehört immer auf die Router oder soweit wie möglich VOR DIE DS und nicht drauf. Das hat Sicherheitsgründe und verhindert auch, dass irgendwelche Ports in der Firewall geöffnet werden müssen.

Aber zum Beispiel bleibt es deine Entscheidung oder deine Wahl. Wir können nur Hinweise und Vorschläge geben.

 

[maxblank]

Aber ich vermute, weil dort inoffiziell steht,

Deutet nichts darauf hin, dass der Kernel upgedatet werden muss…