VPN via VPN-Server oder Wireguard in Fritz!Box

[coxedfour]

Hi,

hab gerade etwas Freizeit und daher viel Zeit für das Thema Synology... ganz zu Eurem Leid

Bisher bin ich recht gut ohne VPN gefahren und konnte alles (HB, Photo, Drive, etc.) über die Synology Boardmittel via DDNS abwickeln. Nun bin ich aber über das Paket ABfB gestoßen. Hier kommt der recht charmante Gedanke auf, alle Rechner der Familie zu sichern. Ganz frei nach dem Motto: Wer keine Probleme hat, der macht sich welche! Bei den eigenen Rechnern ist das ja kein großes Thema, die sind ja (überwiegend) im eigenen Netzwerk. Aber um zB den Rechner anderer Familienmitglieder zu sichern, die nicht im Haushalt leben, benötige ich ja eine VPN Verbindung zu diesen Clients.

Leider speist sich mein VPN Wissensstand bisher nur aus den letzten ca. 3 Stunden Internetrecherche und Videos. Auf dieser Basis bekommt man das sicher auch alles hin mit der Einrichtung, nur eine Frage konnte ich mir nicht beantworten:

Aktuell greife ich über meinen Arbeitsrechner via DDNS gelegentlich gerne auf all meine Dienste in der Weboberfläche zu. Wie sieht das nun für folgende VPN Server Möglichkeiten aus:

1. VPN Server in der Fritzbox via Wireguard (hier oft empfohlen)? Denke nicht, da kein Cleint auf dem Arbeitsrechner installiert werden kann und ich daher nicht zur Synology durchkomme!?

2. VPN Server auf der Synology via OpenVPN? Ist der VPN Server hier der Syno vorgelagert und blockt auch dann die anderen Zugriffsarten ab oder ist der Server nur eine Ergänzende Zugriffsmöglichkeit

Leider etwas wild erläutert, aber ich denke Ihr wisst was mein Anliegen ist.

Vielen Dank für Euren Input!

 

[Benares]

Ganz klar, VPN über die Fritzbox, ganz einfach einzurichten.
Das verhält sich dann in etwa so, wie wenn der Client zu Hause im heimischen WLAN wäre.
Man muss nur entscheiden, ob nur der Verkehr zum Remote-Netzwerk über den Tunnel laufen soll, oder alles. Dazu dient die Einstellung AllowedIPs in der Konfiguration.

 

[Kachelkaiser]

Denke nicht, da kein Cleint auf dem Arbeitsrechner installiert werden kann und ich daher nicht zur Synology durchkomme!?

So wird es sein, da der Wireguard Client adminrechte für die Installation braucht. Habe selbes Problem.

 

[Benares]

Aber irgendein Client wird doch für jede VPN-Verbindung gebraucht. Oder heißt das, dass ihr mit Windows(?)-Bordmitteln auskommen müsst?

 

[coxedfour]

So wird es sein, da der Wireguard Client adminrechte für die Installation braucht. Habe selbes Problem.

Ok, wie gedacht. Aber in Variante 2 würde es noch klappen?

 

[coxedfour]

Aber irgendein Client wird doch für jede VPN-Verbindung gebraucht. Oder heißt das, dass ihr mit Windows(?)-Bordmitteln auskommen müsst?

Verstehe ich gerade leider nicht. Habe keine Ahnung wie die Jungs das auf meinem Arbeitsrechtes gebastelt haben. Aber egal wie, ich gehe nicht davon aus dort ohne Admin Rechte was bewirken zu können.

 

[Kachelkaiser]

Bei uns wird der VPN client per Softwareverteilung verteilt. Da kannst dann schön mit Adminrechtrn installieren.

Windows Boardmittel könnten gehen.

 

[Skyhigh]

@coxedfour

Also mal ganz unkonventionell gedacht:
Sofern du ein Wlan-Netzwerk hinzufügen kannst, könntest du einen mobilen Router nutzen, der den ganzen Netzwerkverkehr tunnelt.
Würde jedoch ein extra Gerät benötigen.

 

[coxedfour]

Hm okay! Soweit schon mal vielen Dank für Eure Hilfe.

Da ich hier nach Dauerlösungen suche, ist die Variante des VPN in der FritzBox also schon mal nichts für mich. Ich würde gerne jederzeit und von überall die Möglichkeit haben an zB meine Daten aus Drive zu kommen. Da ich mich nicht auf die IT eines Arbeitgebers verlassen kann, scheidet die Variante aus. Der VPN in der FritzBox würde die aktuell mit OneDrive oder GoogleDrive vergleichbare Usability beschneiden.

Bitte entschuldigt, dass ich hier so auf diesen UseCase Arbeitsrechner beharre. Aber was bringt mir das alles wenn ich nicht die 9-10 Stunden die man bei der Arbeit am Rechner sitzt problemlos auf seine Daten zugreifen kann. Dann sind sie zwar sicher, aber ich kann sie nicht nutzen...

Bleibt die Frage zum Synology NAS Server und OpenVPN. Ist damit die Syno ebenfalls von außen ohne VPN nicht mehr zu erreichen oder ist es eben nur eine zusätzliche Möglichkeit um ABfB für externe Rechner zu ermöglichen? Der Rest würde dann weiterhin über den ganz normalen DDNS Zugriff über jeden Browser von jedem x-beliebigen Rechner funktionieren?

 

[coxedfour]

@coxedfour

Also mal ganz unkonventionell gedacht:
Sofern du ein Wlan-Netzwerk hinzufügen kannst, könntest du einen mobilen Router nutzen, der den ganzen Netzwerkverkehr tunnelt.
Würde jedoch ein extra Gerät benötigen.

Ja, das wäre natürlich eine Möglichkeit. Allerdings ist dies schon wieder recht weit weg von "mal eben schnell und unkompliziert".

 

[ottosykora]

Also ich verwende für meine gaaanz alte private DS L2TP/IPsec. Das ist in jedem Windows eingebaut und damit kann ich meine alte DS zu hause erreichen.

Alternative ist dann Quickconnect, das wird oft vergessen. Kann etwas langsamer sein, aber so langsam wie es vor Jahren war ist es auch nicht mehr. Das geht dann von überall und braucht keine Installation oder Adminrechte auf dem PC

 

[ottosykora]

"mal eben schnell und unkompliziert".

Quickconnect ist eben schnell und unkompliziert, da brauch es keine Clients etc

 

[coxedfour]

Quickconnect ist eben schnell und unkompliziert, da brauch es keine Clients etc

Ok, damit könnte ich wohl leben. Aber das gilt jetzt für welchen Fall?

1. VPN Server in der Fritzbox
2. VPN Server in der DS

 

[ottosykora]

keinen von beiden

Quickconnect ist eine SW welche früher immer automatisch installiert war auf DS heute muss man es glaube ich teilweise nachinstallieren

Dann muss man es ganz wenig konfigurieren, nämlich sich einen Namen, also eine ID erfinden und dann geht alles ohne jede Installation von selber.

Es braucht dann keinen VPN Server, es geht automatisch ohne.

Also schau in Systemsteuerung, entweder ist dort schon ein Icon Quickconnect oder wenn nacht dann es nachinstallieren aus dem Paketzentrum

Beschreibung dazu hier:
https://kb.synology.com/de-de/DSM/help/DSM/AdminCenter/connection_quickconnect?version=7



Zu hause habe ich den VPN Server auf der DS in Betrieb und verbinde mich mit dem in Windows eingebauten VPN Client

 

[coxedfour]

ok, alles klar. Das gute Quickconnect kenne ich auch noch damals aus meinen Anfängen. War jetzt aber der Meinung bzw. hatte gelesen, dass der Anfang all meinen Übels - Sicherung eines Clients außerhalb meines Netzwerkes mit Active Backup for Business nicht mit QC sondern nur via VPN geht...!?

 

[ottosykora]

ABB geht nicht mit QC das ist richtig

aber ich weiss nicht wozu ABB wenn dein PC sowieso gesperrt scheint, dann kannst du kaum ABB verwenden und deinen gesperrten PC woanders kopieren.

VPN wird halt einen VPN Server brauchen, das kann irgendetwas sein in deinem Netzwerk, Router, Syno, Raspi oder was auch immer. Und dann brauchts du einen Clienten dazu auf dem Geräte welches sich verbinden soll. Also dein PC. Ich habe so weit verstanden dass dies eben gesperrt ist und keine Installationen erlaubt.
Ja, L2TP/IPsec ist wohl in jedem Windows schon dabei, aber um es zu konfigurieren brauchst du auch admin Rechte auf dem PC.
Also die Syno hat schon alles, fürchte dein PC jedoch nicht.

 

[ottosykora]

Ist der VPN Server hier der Syno vorgelagert und blockt auch dann die anderen Zugriffsarten ab oder ist der Server nur eine Ergänzende Zugriffsmöglichkeit

kommt darauf an was für Ports weitergeleitet werden. Bei mir geht alles, alle 3 VPN Arten, und maches andere auch. VPN sind einige Ports, andere Anwendungen sind über andere Ports erreichbar (Port ~ Anwendung)

 

[coxedfour]

Hab nun ebenfalls noch weiter recherchiert und musste zu dem Schluss kommen, dass sich das alles nicht für mich lohnt. Startpunkt war ja die Frage, wie ich den Rechner von einem Verwandten über ABB gesichert bekomme, der nicht in meinem Netzwerk ist.

Antwort: Nur über VPN.

Kompromiss für das Einrichten eines VPN Servers: Andere Dienste wie DSM, Photo, Drive und sicher auch die Container sind nicht mehr problemlos immer und von überall für mich nutzbar da ich nicht garantieren kann auf jedem Gerät das ich nutze einen VPN Client installieren/einrichten zu können. Und während des Tages/Arbeitstages easy auf meine Daten zugreifen zu können ist mir wichtiger als der Rest.

Abgesehen vom Sicherheitsgewinn hätte der VPN somit leider nur Nachteile für mich und die Zeit für das Einrichten des ganzen kann ich dann eher in das neu Aufsetzen und Einrichten des PCs des Verwandten investieren, WENN der mal ausfallen sollte.

Ist schade, wäre eine schöne Spielerei gewesen, aber irgendwo ist dann auch mal gut. Im Zweifel wäre ich dann schon wieder beim Vorschlag von @Skyhigh. Oder ich tausche das 216play Remote NAS das bei besagtem Verwandten steht mit einem Plus Modell aus. Dann sichert das dort im eigenen Netz.

Vielen Dank!

 

[ottosykora]

VPN Servers: Andere Dienste wie DSM, Photo, Drive und sicher auch die Container sind nicht mehr problemlos immer und von überall für mich nutzbar da ich nicht garantieren kann auf jedem Gerät das ich nutze einen VPN Client installieren/einrichten zu können.

aber das stimmt so nicht
wie schon erwähnt, ist VPN Server nur eine App, andere Apps können davon profitieren aber können auch selber funktionieren. Das ist kein entweder oder


meine alte DS212j ist via VPN Server erreichbar, aber gleichzeitig auch via andere Apps. So geht photobackup, Zugriff via Webdav, FTP, und was auch immer ganz normal weiter. Es sind nur andere Ports (Port ~ App)

 

[Amigamaverik]

Ich stell mal eine ganz dumme Frage;
Warum kein VPN von der Verwandschaft zu deiner Fritzbox um dann per ABfB die Rechner zu sichern? Man muss dann aber bedenken das die Verwandschaft das eigene Netzwerk mit allen Geräten sieht. Allerdings kommt ja dann noch die Anbindung dazu, wie lange soll denn die komplette Sicherung des entfernten Rechners dann dauern?
Wie sehen die beiden Internetanschlüße aus?
Vom Arbeitsplatzrechner dann den Zugriff Richtung Zuhause weiter über die Weboberfläche regeln. Wenn das klappt ist doch gut, man weiß ja außerdem nicht was die Firewall im Betrieb sonst alles abschottet. Viel anders mache ich das hier auch nicht, obwohl ich Adminrechte in der Firma habe.