Hyper Backup Zwei NAS per VPN lokal verbinden

[GumGum]

Hallo,

ich habe ein Problem bei der VPN-Verbindung von zwei NAS.
Mein eigentliches Ziel wird eine backup-Lösung über zwei Stätte sein. Die Quell-NAS soll eine VPN-Verbindung zur Ziel-NAS aufbauen (gefunden über DDNS). Ich habe eigentlich alle "Zutaten", aber seit einer Woche komme ich einfach bei der VPN-Verbindung nicht weiter. Ich habe wirklich alles Mögliche ausprobiert und bin mit meinem Latein am Ende.

Um die VPN-Verbindung zu testen, habe ich einen Router genommen, wo beide NAS folgendermassen angeschlossen und konfiguriert sind (Bilder unten):

Ziel-NAS:
An den WAN-Anschluss (Fritzbox 7590) kommt die Ziel-NAS (Synology DS 218J, DSM 7.0).
VPN-server erstellt.
VPN-server-Konfig. exportiert.
Ich habe sogar .ovpn mit 192.168.137.1 versehen.
DHCP-server eingerichtet, damit die Fritzbox-WAN-Schnittstelle eine IP zugewiesen bekommt.

Quell-NAS
An den LAN-Anschluss (Fritzbox ebenda) kommt die Quell-NAS (Synology DS 220+, DSM 7.0).
VPN-Profil unter "Netzwerkschnittstelle" erstellt.
.ovpn-Datei und VPN-Zertifikat von der Ziel-NAS hinzugefügt.
Ziel-NAS-Benutzer mit VPN-Berechtigung eingetragen.

Fritzbox:
Unter Internet->Freigaben->Portfreigaben habe ich die Quell-NAS als "Exposed Host" (ich denke das ist sowas wie DMZ) und selbstständige Portfreigabe eingetragen- in der Hoffnung das die Firewall alles durchlässt.

Ich kann erfolgreich von meinem PC im Quell-Netzwerk die NAS im Ziel-Netzwerk per Ping erreichen. Wenn ich aber in der Quell-NAS die VPN-Verbindung starte, dann erhalte ich nur ein "Netzwerkverbindung konnte nicht hergestellt werden". Die NAS-Protokolle haben auch keine brauchbaren Infos.

Ich habe absolut keine Ahnung wieso keine VPN-Verbindung aufgebaut wird, irgendwas muss ich vergessen haben. Vielleicht hat jemand noch den Einen oder Anderen Hinweis für mich...
Im Anhang Bilder von allen Einstellungen etc.

 

[Rotbart]

Warum so kompliziert ? Beide NAS an den LAN der Fritzbox, auf dem Ziel den VPNServer starten auf der Quelle eine VPNVerbindung zum Server, fertig.Später wenn alles richtig aufgebaut ist musst du nur noch die DDNS Namen ändern.
Da du am WAN ein private Adressbereich hast vermute ich mal die Fritzbox blockiert das

 

[ottosykora]

Beide NAS an den LAN der Fritzbox, auf dem Ziel den VPNServer starten auf der Quelle eine VPNVerbindung zum Server, fertig.

nein, er hat schon richtig angefangen. Er braucht zwei unterschiedliche Subnetze damit VPN funktioniert. Dafür hat er mit seinem Aufbau gesorgt. Würde er beide DS ein ins gleiche LAN stellen, dann kann er kein VPN erstelen.

 

[GumGum]

Genau, das hatte ich auch so gelesen.

Vielleicht eine Idee weshalb das nicht funktioniert. Komischerweise scheint NIEMAND auf der Welt das vorher gemacht zu haben. Zu allem Überflüss kann ich eh kaum surfen, weil vor ein paar Tagen ein Blitz alles vom Verteilerkasten bis zum letzten Haus in der Strasse gebraten hat.

 

[ottosykora]

mir fällt jetzt auch nicht sehr viel dazu ein, obwohl ich so was durchaus mal vor ca 8 Jahren gemacht habe, aber nur um lokal ein VPN von PC zu Syno zu machen
Ich weiss nicht ob es relevant ist, bei mir waren die Tunnel IP immer so was aus der 10.xxx
Kann momentan nicht nachschauen, mein Router zu hause ist abgeraucht

 

[GumGum]

Sorry, das ich erst jetzt wieder antworte, aber ich hatte sauviel zutun und hatte zwischendurch alles mögliche versucht, um diese VPN-Verbindung herzustellen. Aber diese verdammte will einfach nicht...

Mein Ziel:
Zu Lernzwecken möchte ich:
Eine VPN-Verbindung,
von einer Quell-NAS im LAN,
zu einer Ziel-NAS im WAN.
Direkt, ohne Fritz-Boxen, weil ich keine Fritz über habe.

Abb.: Test-Aufbau​

Problem:
Es geht nicht. Nicht mal ein bisschen.
Aber aus dem www hatte ich über DDNS schon von meinem Handy eine VPN-Verbindung zu meiner Fritzbox hergestellt. Hyper Backup macht im LAN auch was es soll. Ausstehender Test: Hyper Backup über LAN/WAN.

Bisher:

• Ich komme vom PC (192.168.188.21), über WAN (10.10.10.1) ohne Probleme auf die Ziel-NAS (https://10.10.10.58.5030) und kann alles konfigurieren.
• Da alles lokal ist, habe ich alle Firewalls, DDOS-Schutz und automatische Blockierungen ausgeschaltet (router, beide NAS).
• Beide NAS sind an einen SMC-router angeschlossen: Quell-NAS ist im LAN (VPN-client). Ziel-NAS ist im WAN (VPN-server).

portscan aus 192.168.188.x auf 192.168.188.1:

all ports closed (scan 1190 to 1200)​

all ports closed (scan 5000 to 5050)​

portscan aus 192.168.188.x auf 10.10.10.1:

ports 1190-1200 closed (scan 1190 to 1200)​

port 5006, 5029, 5030 open, other ports closed (scan 5000 to 5050)​

portscan aus 192.168.188.x auf 10.10.10.58:

all ports open (scan 1190 to 1200)​

port 5006, 5029, 5030 open, other ports closed (scan 5000 to 5050)​

portscan aus 10.10.10.x auf 10.10.10.1:

all ports closed (scan 1190 to 1200)​

port 5006, 5029, 5030 open, other ports closed (scan 5000 to 5050)​

portscan aus 10.10.10.x auf 10.10.10.58:

port 1194 open, restliche ports closed (scan 1190 bis 1200)​

all ports closed (scan 5000 to 5050)​

Entschuldigt meine naive Testerei, aber ich wollte wissen wie die Durchlässigkeit ist. Ich habe leider noch Schwierigkeiten die Daten zu interpretieren, aber die relevanten ports scheinen frei zu sein, obwohl ich immer annahm das alle ports offen sind, wenn firewalls aus sind...

Falls ich was vergessen habe, einfach melden. Hier noch ein paar getätigte Einstellungen:

Abb.: Ziel-NAS, VPN-server




Abb.: VPNConfig.ovpn




Abb.: Quell-NAS, Netzwerkschnittstellen​

 

[tech100]

Hi!

Ich weiß nicht, ob das Problem noch aktuell ist, aber ich hatte ein ähnliches Ziel und kann ein paar Erfahrungen von mir berichten:

• Ein Synology NAS kann nicht gleichzeitig OpenVPN Server und Client oder L2TP/IPSEC Server und Client sein.
• Für die Einrichtung eines Synology NAS als OpenVPN Server kann ich wärmstens folgendes Tutorial empfehlen: diespezialisten.de (Mit Client-Zertifikaten ist es zwar etwas mehr Aufwand, aber auch ein großes Plus in Punkto Sicherheit)
• L2TP/IPSEC: Eine Verbindung beider NAS über diese Methode war - warum auch immer - nicht möglich. Hätte dann meinen Router als L2TP/IPSEC client konfiguriert, dies geht aber auch nicht, da Asus Router und Synology NAS unterschiedliche Modi verwenden. Toll.

Wie habe ich den Spaß dann gelöst?

• NAS A an Ort A ist als OpenVPN Server konfiguriert.
• Router an Ort B bindet das VPN als Client von NAS A ein. (Alle verbundenen Geräte können bspw. über 10.10.10.10 auf das NAS von Ort A zugreifen)
• NAS B ist ebenso OpenVPN Server.
• Router an Ort A kann wiederum als Client fungieren und das NAS B verfügbar machen am Ort A.

Wie genau das dann konfiguriert wird, ist eigentlich egal. Meine Erkenntnis ist jedenfalls: Ganz ohne Router wird man (bzw. ich) nicht auskommen, da ein Synology NAS nicht zugleich Client und Server der selben Methode sein kann und bei L2TP/IPSEC sich (bei mir?) irgendwo ein unauffindbarer Fehler eingeschlichen hat.
Ob man dann gleich alles über die beiden Router macht oder teilweise aufs NAS verschiebt, ist wohl Geschmacksache.

Viel Erfolg noch!
LG tech100