VPN oder WebDAV

[tuep]

Hallo,

ich besitze eine DS413 und nutze sie zu Hause hauptsächlich als Medienserver und als zentralen Speicherort.
Ich greife auch gerne vom Büro aus oder von unterwegs aus darauf zu.
Dazu nutze ich zur Zeit WebDAV über den port 5006 und den DynDNS dienst von Synology. Dafür habe ich auch ne weiterleitung im Router. Ansonsten nutze ich eigentlich keine weiteren Dienste der DS, es sei denn die wären irgendwo mal Default gesetzt gewesen und ich hätte sie übersehen.
Soviel zum Status.

Ich hatte letztens mal gehört, dass das nicht unbedingt so eine tolle Lösung ist, diesen Port offen zu haben.
Ist es besser für die Verbindung mit der DS VPN zu nutzen? kann ich dann über die VPN Verbindung auch WebDav nutzen oder müsste ich dann trotzdem diesen Port aufmachen? Nein oder, weil ich wäre dann ja virtuell wieder zu Hause und schon hinter meiner Firewall richtig?

Ich habe da auch gleich zwei anschließende fragen, die so leicht zusammenhängen.


1) Ich hatte generell überelgt, ob ich mir einen VPN dienst leiste, und das gleich im Router einstelle, dass mein Internetverkehr darüber geht. (Ich glaube zumindest, dass das so funktioniert.)
Wenn ich das machen würde, hätte ich ja nach aussen immer eine andere IP. Da würde das mit dem DynDNS doch gar nicht mehr funktionieren, oder?

2) Angenommen ich würde nur noch über einen VPN-Server ins Internet gehen, kann ich mich dann trotzdem noch mit der DS über deren VPN verbinden?

Ich bin mir noch nicht ganz so sicher, ob ich das mit dem VPN als solches und mit dem VPN-Servern als Vorschaltung vor "dem eigentlichen Internet" richtig verstanden habe.

Vlt. kann mir ja jemand von euch bei meinen Fragen helfen.

Edit: Mir fällt gerade ein, eine dritte Option wäre ja auch noch, ein VPN über die Fritzbox einzurichten und dann so auf das heimnetz und die DS zuzugreifen.
Ist es denn möglich mit der Fritzbox ein VPN zu erstellen und gleichzeitig einen VPN-Server "für anonymes" Surfen zu nutzen?

Wobei das mit dem VPN-Server eh nicht so fest steht, ob ich das tatsächlich mache.

 

[Tommes]

Hi!

Ich greife auch gerne vom Büro aus oder von unterwegs aus darauf zu.
Dazu nutze ich zur Zeit WebDAV über den port 5006 und den DynDNS dienst von Synology.

... und weiter ...

Ich hatte letztens mal gehört, dass das nicht unbedingt so eine tolle Lösung ist, diesen Port offen zu haben.

Nun, da die WebDAV-Verbindung über den Port 5006 und damit TLS/SSL-Verschüsselt ist (https://) hast du jedenfalls schon mal eine recht sichere Verbindung, die meines Erachtens auch ausreicht. (Mal abgesehen davon, das die NSA wohl auch diese Verschlüsselung ausheblen kann ) ) Ich selber nutze u.a. auch diese Art der Verbindung.

Ist es besser für die Verbindung mit der DS VPN zu nutzen? kann ich dann über die VPN Verbindung auch WebDav nutzen oder müsste ich dann trotzdem diesen Port aufmachen? Nein oder, weil ich wäre dann ja virtuell wieder zu Hause und schon hinter meiner Firewall richtig?

VPN ist natürlich noch eine ganze Schüppe besser und kannst dich damit (je nach Protokoll (PPTP, IPSec, OpenVPN)) wirklich sehr sicher fühlen. Und da du dich innerhalb einer VPN-Verbindung wie in deinem "lokalen" Netzwerk bewegst, hast du auch auf alles Zugriff (wenn du das denn möchtest). So auch WebDAV. Ports brauchst du keine zu Öffnen, wenn du die VPN-Verbindung in deinem Router konfigurierst (jedenfalls bei meiner Fritzbox so). Wenn du den VPN-Server des DSM nutzt, dann mußt du je nach Protokoll (PPTP, IPSec, OpenVPN) auch die entsprechenden Ports im Router weiterleiten.

1) Ich hatte generell überelgt, ob ich mir einen VPN dienst leiste, und das gleich im Router einstelle, dass mein Internetverkehr darüber geht. (Ich glaube zumindest, dass das so funktioniert.)
Wenn ich das machen würde, hätte ich ja nach aussen immer eine andere IP. Da würde das mit dem DynDNS doch gar nicht mehr funktionieren, oder?

Wenn du die Möglichkeit hast, würde ich immer den Router als VPN-Dienst vorziehen. Das VPN-Netz wird über deine DDNS gespannt, da ja der "entfernte" Rechner wissen muß, mit welcher Adresse er die VPN-Verbindung aufbauen soll. Hierzu gibt es auch eine recht informative Seite von AVM

2) Angenommen ich würde nur noch über einen VPN-Server ins Internet gehen, kann ich mich dann trotzdem noch mit der DS über deren VPN verbinden?

Du kannst einmal eine DDNS in der DS hinterlegen, den VPN-Server der DS aktivieren, im Router die Ports weiterleiten und dann über die DS-DDNS per VPN auf diese zugreifen und nur auf diese.
Du kannst auch eine weitere (andere) DDNS in deinem Router hinterlegen, den VPN-Dienst im Router einrichten und dann über die (andere) DDNS wiederum auf dein lokales Netzwerk zugreifen. Möglichkeiten gibt es da viele.

Tommes

 

[tuep]

Hmm lassen wir das mal mit dem externen VPN-Server mal kurz aussen vor. Das steht eh auf wackeligen beinen.

Wenn ich das richtig verstanden habe ist das so.
Ich kann die Fritzbox als VPN-Server einrichten.
Dann kann ich auf Rechnern ausserhalb meines Netzwerks über einen VPN Tunnel eine Verbindung mit meiner Fritzbox aufbauen und für diesen Client und die Geräte bei mir zu Hause sieht es so aus, als ob sie alle in einem LAN wären.

Daneben würde es noch die normale Kommunikation der einzelnen Computer Geräte etc. mit dem Internet geben. Also quasi zwei parallele Wege.

Wenn ich mich mit meinem Laptop von unterwegs mit dem VPN verbinde, dann bräuchte ich doch für die DS gar keine DDNS mehr oder? Weil ich dann doch mit der IP von zu Hause arbeiten könnte oder halt mit der internen ddns die sowieso im heimnetz vergeben wird.

Allerdings brauche ich dann für den Router eine DDNS nach aussen, dass ist es was du mit der Antwort zu punkt zwei meintest oder?

Wenn bis hier hin alles richtig war, dann noch mal zur hypothetischen Nutzung von VPN diensten.
Wenn ich das richtig verstanden habe würde das so funktionieren.

1)Meine Fritzbox baut eine Verbindung mit dem Internet auf und bekommt vom ISP eine IP zugewiesen.

2) Diese IP würde die Fritzbox einem DDNS-Dienst mitteilen, damit die adressierung mit einer adresse eindeutig ist.

3) Über die DDNS könnten Clients eine VPN-Verbindung mit meinem Heimnetz aufbauen. Diese Verbindung wäre ziemlich sicher und ich könnte alle Dienste darüber nutzen. Ich müsste im Router die entsprechenden Ports öffnen, brauche aber kein Portforwarding mehr.

4) Wenn ich daneben noch mit meinen Geräten zu Hause über einen VPN Dienst surfen möchte, könnte ich einstellen, dass ein zweiter VPN-Tunnel aufgebaut wird, über den die Geräte aus dem Heimnetz ins Internet gehen. Es wäre also nicht ineinander geschachtelt, sondern es wären parallele Wege.

Ich hoffe das ist so jetzt richtig.

 

[Tommes]

Ich kann die Fritzbox als VPN-Server einrichten.

Genau so ist es und ich würde das an deiner Stelle auch so machen. Auch würde ich in der Fritzbox den DDNS-Dienst einrichten, jedoch funktioniert hier nicht der DDNS-Dienst von Synology (bitte berichtigen, wenn ich falsch liege). von daher müßtest du dich dann um einen anderen DDNS-Anbieter kümmern.

Dann kann ich auf Rechnern ausserhalb meines Netzwerks über einen VPN Tunnel eine Verbindung mit meiner Fritzbox aufbauen und für diesen Client und die Geräte bei mir zu Hause sieht es so aus, als ob sie alle in einem LAN wären.

Genau, du sprichst deine "lokalen Netwerkgeräte" über VPN genauso an, wie du es sonst im LAN auch tust, also z.B. mit der IP 192.168.178.xxx:5006

Daneben würde es noch die normale Kommunikation der einzelnen Computer Geräte etc. mit dem Internet geben. Also quasi zwei parallele Wege.

Jein. Bei VPN kannst du entscheiden, ob du entweder einmal einen Tunnel zu deinem "entfernten" Netzwerk aufbaust und alle anderen Internetanfragen normal ablaufen (also an der VPN-Verbindung voerbei) oder aber du schleust alle Verbindungen durch den VPN-Tunnel. Letzteres wird gerne bei "hotspot" bzw. öffentlichen WLAN Verbindungen verwendet um alle Internetanfragen durch den VPN-Tunnel -> über sein eigenes Netzwerk (Router) zu leiten.

Wenn ich mich mit meinem Laptop von unterwegs mit dem VPN verbinde, dann bräuchte ich doch für die DS gar keine DDNS mehr oder? Weil ich dann doch mit der IP von zu Hause arbeiten könnte oder halt mit der internen ddns die sowieso im heimnetz vergeben wird.

Richtig. Den VPN-Server sowie die DDNS-Adresse in der DS brauchst du nicht wirklich, wenn du alles über die Fritzbox steuerst. Du könntest es aber und könntest somit mit zwei unterschiedlichen DDNS-Adressen auf die DS zugreifen (wofür man das auch immer brauchen mag)

Allerdings brauche ich dann für den Router eine DDNS nach aussen, dass ist es was du mit der Antwort zu punkt zwei meintest oder?

Yep!

1)Meine Fritzbox baut eine Verbindung mit dem Internet auf und bekommt vom ISP eine IP zugewiesen.

Yep!

2) Diese IP würde die Fritzbox einem DDNS-Dienst mitteilen, damit die adressierung mit einer adresse eindeutig ist.

Yep!

3) Über die DDNS könnten Clients eine VPN-Verbindung mit meinem Heimnetz aufbauen. Diese Verbindung wäre ziemlich sicher und ich könnte alle Dienste darüber nutzen. Ich müsste im Router die entsprechenden Ports öffnen, brauche aber kein Portforwarding mehr.

Nein, du brauchst im Router keine Ports öffen und Portforwarding zu betreiben, du mußt einzig und allein das VPN konfigurieren.

4) Wenn ich daneben noch mit meinen Geräten zu Hause über einen VPN Dienst surfen möchte, könnte ich einstellen, dass ein zweiter VPN-Tunnel aufgebaut wird, über den die Geräte aus dem Heimnetz ins Internet gehen. Es wäre also nicht ineinander geschachtelt, sondern es wären parallele Wege.

Schau dir dazu nochmal die Hilfeseite von AVM an. Man muß da, wenn ich deine Frage richtig verstanden habe, zwischen Verbindungen zu einzelnen Benutzern und Verbindungen zwischen zwei Netzwerken unterscheiden.


Tommes

 

[tuep]

Das Jein gilt für das Gerät, dass sich von ausserhalb verbindet oder?
Also Laptop von der Uni per VPN zur Fritzbox bedeutet dass der Laptop nicht nur im Heimnetzwerk angemeldet ist, sondern auch der Verkehr des browsers bspw. über die Fritzbox läuft, richtig?

Aber die Geräte zu Hause die kommunizieren, so wie ich es zuerst schrieb, neben dem VPN her ins Internet.

So jetzt hab ichs glaube ich.

Das zu punkt 4 ist vlt. nicht ganz klar geworden. Da geht es eigentlich indirekt um das Natzwerk, sondern darum die Kommunikation über einen Server zu schicken, damit man zB eine ausländische IP hat und auch die eigene IP nicht mitgeschnitten wird.

 

[Tommes]

Ich will mich jetzt nicht zu weit aus dem Fenster lehnen (ich arbeite mich auch erst gade in diese Materie ein), jedoch meine ich das so verstanden zu haben...

Man kann einmal seinen gesamten Datenverkehr über den VPN-Tunnel leiten.
Das heisst, ich buche mit z.B. in ein öfftentliches WLAN-Netzwerk ein und baue mir darüber einen VPN-Tunnel zu mir nach Hause, auf meine "Fritzbox" auf. Alle Anfragen, die ich dann ins Internet stelle, werden über meine Fritzbox "zu Hause" geleitet und ich kann so z.B. in einem "öffentlichen WLAN-Netz", gesichert z.B. meine Bankgeschäfte tätigen, oder halt auf meine DS zugreifen. Egal was ich auch tue, das "öffentliche WLAN-Netzwerk" bekommt davon nichts mit bzw. nur Verschlüsseltete und damit gesicherte Übertragungen

Man kann aber auch einen VPN-Tunnel innerhalb eines öffentlichen WLAN-Netzwerkes" aufbauen und seine Daten an das Ziel dieser Verbindung verschlüsselt und gesichert weiterleiten, alle anderen Anfragen ins Internet laufen jedoch nicht über meine Frritzbox zu Hause, sondern über das "öffentliche WLAN-Netzwerk", also parallel zum VPN-Tunnel.

Ob man meherer VPN-Verbindung mit unterschiedlichen Ziel parallel betreiben kann, weiss ich leider nicht. So fit bin ich dieser Thematik leider noch nicht.

Ich hoffe auch, das ich das grade geschriebene auch richtig interpretiere und nicht irgendeinen Bullshit verzapft habe.

Tommes

 

[tuep]

Ja, so hatte ich das jetzt verstanden.
Vielen Dank für deine Erklärungen.
JEtzt muss ich das nur noch zum laufen zu kriegen.
Leider scheint das einrichten nicht ganz so simpel zu sein. Gerade auch nicht unter Linux.