vServer von Synology NAS aus konfigurieren?

[RalfPeter]

Hallo Zusammen,

da ich Linux / Unix nicht beherrsche, such ich nach einem Skript, dass ich aus dem NAS durch den Aufgabenplaner starten kann. Was soll es tun:

- Per ssh an einem vServer (feste IPv4) anmelden (ich musste einen SSH-Key einrichten, den ich gespeichert habe)
- Dann folgende Befehle ausführen:
-- killall 6tunnel
-- sleep 10s
-- 6tunnel 80<Ziel-IPv6-Adresse_des_Synology-NAS> 80
-- 6tunnel 443<Ziel-IPv6-Adresse_des_Synology-NAS> 443
-- exit (also abmelden)

Das würde ich gerne täglich nachts starten, damit mein vServer Anfragen an das NAS weiterleitet. Ist das eine gute Idee? Oder besser von Hand eintragen? Was passiert bei einem reboot des vServer?

Danke für eine kleine Starthilfe. (Btw: mit vServer mit IPv4 und 6tunnel komme ich auch bei Anfragen aus einem IPv4 Netz auf mein NAS. Endlich).

 

[Benares]

Was klappt denn nicht? Wozu 6tunnel neu starten?
Bedenke bitte, dass du über diesen Weg deine DS fast ungeschützt ins Internet stellst, zumindest was 80/443 betrifft.

 

[RalfPeter]

Meine Idee ist, das Skript sporadisch laufen zu lassen, um sicher zu sein, dass alle Prozesse (hier ja eher Freigaben) vorhanden sind und ich auch ggfsl aus dem Ausland (mit max 1 Tag Verzögerung) wieder auf mein NAS komme. Mein Erfahrung im letzten Urlaub: kein Provider / WLAN hatte eine öffentliche IPv6, lediglich IPv4.

In der Fritzbox sind diese Freigaben (80/443) auch vorhanden, damit ich Synology Photos usw. ausführen kann. Die Firewall in der Synology ist natürlich aktiv, alle Konten mit 2FA abgesichert. Was sollte ich noch tun?

VG und Danke

 

[Benares]

Das ist ein guter Ansatz, so ist dein NAS wieder per IPv4 und IPv6 erreichbar. Mir steht das noch bevor, wenn hoffentlich bald Glasfaser per "Deutsche Glasfaser" kommt.
Ich wollte nur davor warnen, weil viele übersehen, dass bei 6tunnel das NAS dann quasi ungeschützt im Internet steht.

 

[Wiesel6]

Verstehe ich richtig, dass du von unterwegs / aus dem Urlaub auf das NAS zugreifen willst?
Ich würde das einfach über VPN, speziell WireGuard, direkt in der Fritzbox lösen.

 

[RalfPeter]

Ich habe einen DS-Lite Anschluss ohne externe IPv4 Adresse. Und ich greife über die Apps auf Fotos zu (z.B für Foto Upload), gebe einzelne Fotoordner (in Synology Photos) für die Familie (ausserhalb meines Netzwerkes) frei (zum betrachten).

Wie würde ich denn das per WireGuard lösen können? Jeder müsste das VPN auf dem Handy haben (und aktivieren). Zudem würde ich ja immer noch nicht auf die Fritzbox kommen, sofern ich in einem IPv4 Netzwerk bin.

 

[Benares]

Na ja, VPN ist sicherlich die sicherste Methode für den Zugang zu deinem Heimnetzwerk.
Kommt halt drauf an, um wie viele Leute es sich da handelt.

 

[RalfPeter]

Die Personen sind Laien und können sicher keinen VPN Client auf dem Handy installieren. Noch dazu: die externen Netzwerke sind alles IPv4 Netzwerke und haben keine öffentliche IPv6. Ich aber habe DS-Lite und nur eine öffentliche IPv6.

 

[O.Berg]

Moin,
wo liegt das Problem. Vieles kann man doch aus dem I-Net finden. Leider finde ich Deine Frage sehr oberflächlich und was willst Du am vServer konfigurieren. Und das was Du da beschreibst, ist ja nur den Zugang von NAS zum vServer. Und wenn ich mich nicht irre brauche ich doch nur ein den IPv4 oder IPv6 Zugang.
Gruss

 

[O.Berg]

Die Personen sind Laien und können sicher keinen VPN Client auf dem Handy installieren. Noch dazu: die externen Netzwerke sind alles IPv4 Netzwerke und haben keine öffentliche IPv6. Ich aber habe DS-Lite und nur eine öffentliche IPv6.

Also ich bin kein IT Spezialist. Aber ich habe mit einem Freund der Cisco Spezialist ist. Habe ich mein Netzwerk umgestellt von Fritte auf Cisco Router und VPN zugriff. Sowie Mail-Server im eigenen Netzwerk. Zur Zeit beschäftigt ich mich mit meiner Synology weil ich Sie etwas mehr nutzen möchte als nur eine reine Datenplatte.

 

[metalworker]

Na die anderen Netzte brauchen nicht direkt eine öffentliche IPv6 Adresse ( hat wenn eh ja jedes gerät für sich )
Aber der Anschluss muss dazu fähig sein.
Und die Mobilfunknetze in Deutschland sind meines Wissens nach immer IPv6 fähig.

Also machbar ist das alles.

 

[RalfPeter]

@O.Berg
bei einer Person kann man ja noch den Support übernehmen. Ich möchte aber der Verwandschaft die Synology Photos zur Verfügung stellen. Das sind schon einige Handys die einzurichten wären ...
@metalworker
Für Deutschland mag das zutreffen (ist das Internet nicht Neuland ). Aber es gibt Anbieter im Ausland, die keine IPv6 haben.

 

[metalworker]

Dann kommst nicht drum herum und musst das über nen Vserver bei nem Hoster tunneln.

Quasi das was Quickconnect macht.

 

[RalfPeter]

@metalworker
genau! Und jetzt möchte och gerne ein Skript (schreiben), mit dem ich die 6tunnel Einträge auf dem vServer per Aufgabenplaner setzen kann. So wie in meinem Eingangsbeitrag beschrieben.

Mit putty (auf Windows) habe ich es hinbekommen mich am vServer anzumelden und die 6tunnel Prozesse einzurichten. Das ist aber mühsam, falls man es mal neu machen muss (reboot des vServer?).

Mein erstes Problem: am vServer muss man sich mit einem privaten Schlüssel anmelden (den ich habe und den ich vor dem Starten von putty per Doppelklick aktiviere). Ich habe keine Ahnung, wie ich das in einem Skript (für den Aufgabenplaner) erledigen kann. Der Rest (also die Befehle für 6tunnel ) ist ja nicht so kompliziert.

 

[O.Berg]

@O.Berg
bei einer Person kann man ja noch den Support übernehmen. Ich möchte aber der Verwandschaft die Synology Photos zur Verfügung stellen. Das sind schon einige Handys die einzurichten wären ...

Warum machst Du das den so kompliziert?
Wenn ich mich nicht Irre gibt es doch ein Photo App von Synology. Du müsstest diese nur auf alle Handys einrichten und dann den Leuten Zugriff auf das Foto-Verzeichnis einrichten.

Fotos auf der Synology bereit stellen DSM 6.2

Foto Synology DSM 7 Android

Foto Synology DSM 7 IOS

Aber trotzdem verstehe ich Dein Vorhaben mit dem Script nicht. Weil so wie ich das da lese, soll sich der NAS mit der Aufgabe mit dem vServer verbinden. Und bevor er das macht, soll er alle Verbindungen kappen.

Und was soll dann passieren?

Gruß

 

[Hagen2000]

Also bei deinem Vorhaben sehe ich ein prinzipielles Sicherheitsrisiko: Du müsstest den SSH-Port deines vServers öffnen und kannst dessen Firewall schlecht auf deine eigene IP-Adresse einschränken, da diese vermutlich dynamisch ist.

Warum lässt Du nicht einen Cron-Job auf dem vServer laufen, der statt dessen deinen 6tunnel neu startet? Und wenn Du schon deine IP-Adresse ermittelt hast, könntest Du auch gleich die Firewall deines vServers dynamisch anpassen, so dass der SSH-Zugang nur für Dich möglich ist.

Nachtrag: Warum muss der 6tunnel überhaupt neu gestartet werden? Aktualisiert der die IP-Adressen nicht automatisch?
Und warum ist der Neustart des vServers ein Problem? Dann sollte doch der 6tunnel auch wieder automatisch starten (sofern richtig konfiguriert). Und das wäre ggf. die einfachste Maßnahme, von der Ferne einfach den vServer neu starten, falls dein Tunnel mal klemmt.

 

[edvjennes]

Moin...

was 6Tunnel anbelangt.. einfach mal hier gucken
https://web.andrejansen.de/6tunnel-immer-erreichbar/

Bin auch ein geplagter, mit einem DG-Anschluss 1 Gbit, mit eine IPv4 aus dem privaten Bereich aber vieler quasi festen IP´s aus dem IPv6-Bereich.

Kurze Konfiguration..

- DNS-A Einträge bei der eigenen Domäne (bei mir Hosteurope) zeigen auf den VPS bei IONOS
- VPS mit fester öffentlicher IPv4 bei IONOS 6Tunnel auf IPv6 der Syno. (IPv6 Portforward 80, 443, 5001 auf Fritze)
- Auf VPS IONOS noch eben Ipv6 zusätzlich installieren sonst läuft 6Tunnel nicht.
- Zertifikate Letsencript der DNS-A Einträge auf der Synology. Man muss leider für jeden DNS-A Eintrag ein Zertifikat auf der Synology installieren da Wildcard nur bei DDNS über Synology funktioniert. Nicht aber bei eigener Domäne

Im Script (oben aus dem Link) dann die Bash-Zeile auskommentieren... sonst läuft der Script u.u nicht ausführbar. So läuft es bei mir. Habe bei IONOS für 1 Euro mim Monat einen kleinen VPS-Server gebucht. Läuft auch ziemlich performant. Trotz Tunneling von IPv4 nach IPv6 komme ich immer noch auf 400 Mbit meiner 1 Gbit Leitung die ja auch nur 500 Mbit Upstream hat.

Die Tipps mit Wireguard nützen Dir wenig bei z.b. der Deutschen Glasfaser.. wenn ich im Ausland bin und keine IPv6 bekomme im Mobilfunkbereich, dann kann ich auch keine VPN nach Hause aufbauen. Also stelle ich auch meine Synology ins Netz über einen Portmapper. Ich vertraue einfach auf einen vorgeschalteten Reverse-Proxy für kritische Applikationen, 2 Faktor, maximale Anmeldeversuche und starken Kennwort.