Welche Verbindung für externen Zugriff auf die DS verwenden?

[cuio]

Moin,

ich suche ein gutes Konzept für den externen Zugriff auf die DS für diese Konstellation

Internet - FB7390 - Router - DS1513+

Nicht einsetzen möchte ich (möglichst):
- QuickConnect
- EZ-Internet
- UPnP


Mögliche Verianten scheinen mir:
1. <nas>.ddns.net mit selektiver Portweiterleitung
2. VPN auf FB7390 und dann über Portweiterleitung des Routers auf die DS
3. VPN auf den Router und dann direkt aus dem LAN arbeiten

Am sichersten scheint mir Variante 3 zu sein, zumal ich dann über die Firewall der Synology alle Zugriffe, die nicht aus dem LAN des Routers kommen, blocken könnte.

Wozu ratet Ihr mir?

Gruß
Thorsten

 

[Fusion]

Da hätte ich jetzt keine Präferenz. Hast du noch mehr Randbedingungen?
Je nach Komfort und Möglichkeiten an den Clients sehe ich valide Gründe für alle 3 genannten Möglichkeiten.

 

[cuio]

Mein Grundgedanke ist, wie üblich, so wenig wie möglich freizugeben. Safety first.

Angedacht ist nur eine externe Bearbeitung einzelner Dateien, wobei auch Dateien auf die DS kopiert bzw. dort abgeholt werden.
Bei Editieren erfolgt eine Einbindung genau wie inhouse, sodass es für den Bearbeiter transparent ist.
Eine Darstellung von irgendwelchen Diensten der DS im Intrnet ist nicht erforderlich.
Ggf. wäre (künftig) noch ein Backup auf DS an 2.Standort auch hinter einem Router erforderlich.

Wenn ich also entweder die beiden Router oder einen anderen Client und Router per VPN verbinde, wäre dies aus Sicht der DS doch wohl ein lokales Netz.
Innerhalb dessen könnte ich alles erlauben, sonst völlig sperren. Da das interne Netz durch VPN besichert ist, sehe ich keine Gründe, etwas zu beschränken.

 

[Fusion]

Wenn Clients kein Problem sind würde ich den VPN-Tunnel bis zum Router oder sogar bis zur DS als Endpunkt ziehen. Auf der Fritte und dem Router wäre das ja dann auch selektive Portweiterleitung, halt nur für den VPN Dienst.

 

[cuio]

Für open vpn auf der DS müsste ich also Folgendes tun:
1. DSM: VPN installieren und open vpn aktivieren
2. UDP 1194 zulassen in Firewall von DS für alle
3. DS: Welche Routen (nach open VPN) eintragen ?
(fb:192.168.178.1 router:192.168.1.1 ds: 192.168.1.202 open vpn server: 10.0.0.1 )
route add 192.168.1.202 mask 255.255.255.0 10.0.0.1
4. Router: UDP 1194 forwarden
5. open vpn client installieren und konfigurieren per udp 1194
6. FB: UDP 1194 forwarden(eingefügt)

Funktioniert das wohl so oder was muss ich sonst noch machen?

 

[Fusion]

Du musst nur Port 1194 bis an den Endpunkt durchreichen.
Um von den Clients die LAN-IP der DS und andere Geräte in diesem Netz zu erreichen musst du nur die Option "Clients den Server LAN Zugriff erlauben" setzen vor dem export der config.ovpn im DSM.
In der Datei muss dann als Ziel für den Verbindungsaufbau natürlich die IP oder DNS-Name des äußersten Gerätes auf dem die erste 1194 Portweiterleitung läuft angegeben werden.

Nur wenn du aus dem Netz der DS auch den Client oder Geräte in dessen Netz erreichen können willst, musst du noch eine Route auf der DS, damit klar ist welche IPs man auf der anderen Seite des Tunnels erreichen kann.
Dazu gibt es auch Threads hier (Suche nach CCD, Sicherung in beide Richtungen VPN, etc)