VPN für Zugriff aufs NAS - Verständnisfragen

[bowman]

Der Verständnishalber, wie verhält sich das ganze dann wenn ich das VPN direkt am NAS einrichte oder auf einem Raspi? Muss ich da auf dem Router eine Portweiterleitung an NAS oder Raspi machen?

ja

Und wenn es direkt auf dem NAS läuft, komme ich auch nur darauf und gar nicht mehr ins restliche Netzwerk?

Abgesehen davon, dass es normalerweise sinnlos ist einen VPN-Tunnel in ein Netz aufzubauen in dem man schon ist, ist das kein Problem. Du musst dem Server sagen in welchem Adressbereich der Tunnelendpunkt liegt, dieser Adressbereich sollte dann logischerweise nicht per DHCP vom Router vergeben werden.

Oder mach ich wieder nen Überlegungsfehler? Habe die ganzen Zusammenhänge noch nicht ganz durchschaut...

Es gibt doch 'zig Anleitungen im Netz dazu, für die Synology z.B. https://www.youtube.com/watch?app=desktop&v=TOTXwM2_gc8

Ich persönlich würde lieber den Router gegen eine Fritte tauschen - den VPN-Server direkt auf dem NAS zu haben auf dem noch private Daten liegen und das mit der VPN-Portfreigabe direkt im Netz hängt wär nicht so meins...

 

[lisanet]

wird es vom Finder im MacBook aus nicht möglich sein, wie unter Windows per VPN 'direkt' auf die Synology zuzugreifen.

doch: gehe einmal zum NAS über die IP-Adresse und ziehe dann einen Alias in deinen Homeordner. Den ziehst du dann zusätzlich in die Seitenleiste des Finders.

 

[HPKpad]

Ich persönlich würde lieber den Router gegen eine Fritte tauschen

Ist beim Glasfaser-Router der Swisscom nicht ganz so einfach, aber möglich. Eine Zeitlang waren die Fritzboxen mit Glasfaseranschluss nur schwer zu bekommen und hatten nicht die neusten Softwarereleases drauf.

Und die Swisscom weigert sich, bei der Internet Box 3 einen Bridge Mode zu implementieren, wie andere Provider das machen.

 

[TechGeek]

Danke allerseits! Schaue mir schon auch andere Seiten und Quellen an. Bin immer noch dabei das System an sich zu verstehen. Will nicht nur wissen wann ich wo was anklicken muss, sondern das System und das Prinzip verstehen.

Eine weitere Frage ist aufgetaucht:
Wenn ich sowieso über den Handy Hotspot den Laptop verbinde. Wo soll ich denn die VPN Verbindung herstellen? Direkt am Handy oder auf dem Laptop (haupsächlich Win) oder spielt das keine Rolle? (Aktuell mache ich es am Mac nutze aber den iPhone Hotspot wegen des IP-Netzes. Im Endgebrauch sind dann aber vor allem zwei Win-Laptops im Einsatz).

Ausserdem hab ich rausgefunden, dass wohl die neuste Firmware des Routers Wireguard unterstützt!

Wollte das gerade nachschauen, aber die Web-GUI des Routers öffnet sich übers VPN (was ja via Handy geht) so extrem langsam, dass sich das Anmeldefenster nicht richtig lädt. Die Web-GUI vom NAS (und das restliche Netz) geht aber problemlos. Warum das jetzt wieder? Naja dann halt bei Gelegenheit vor Ort schauen...

 

[AgentMax]

Das Handy reicht den VPN via Hotspot nicht durch.

 

[TechGeek]

Was mich an Wireguard etwas irritiert und stört ist, dass es den Mac Client nur über den AppStore zu geben scheint.
Diese Version hier scheint nicht mehr gepflegt zu werden und auch nicht von offiziellen Entwickler zu stammen.

 

[Frobisch]

https://passepartoutvpn.app/ schon probiert?

 

[HPKpad]

Was ist am App Store so störend? Dass du automatisch informiert wirst, wenn es ein Update gibt?

 

[TechGeek]

Was ist am App Store so störend?

Dass die gratis open source App mit der AppleID und dem AppStore verknüpft ist. Hatte es schon mehrmals, dass eine App aus dem Sore plötzlich nicht mehr startete wegen irgend einem Zertifikat oder so etwas... Musste dann mittels AppleID wieder "gängig gemacht" werden.

Dass du automatisch informiert wirst, wenn es ein Update gibt?

Was hat das mit dem AppStore zu tun? Ich kenne nicht eine einzige Software, welche mir nicht anzeigen würde, wenn es eine neue Version gibt davon.

 

[Schiffversenker]

Was ist am App Store so störend?

Soweit ich gehört habe, sind die Versionen gelegentlich mal gegenüber der originalen eingeschränkt der Aktualisierungen erscheinen später.
Hörensagen, ich weiß.
Aber oft kosten dort auch kostenlose Programme etwas, und generell mag ich nicht, daß sich da so ein Monopol aufbaut und irgendwann vielleicht nur noch von Apple genehmigte Programme installiert werden dürfen.
Außerdem kann man im App(le)Store i.A. nur die jeweils neueste Version laden (sofern erstmals), die dann das jeweils neueste macOS verlangt und irgendwann einen neuen Rechner.

 

[Schiffversenker]

Ich kenne nicht eine einzige Software, welche mir nicht anzeigen würde, wenn es eine neue Version gibt davon.

Ich bin mir ziemlich sicher, daß alles, was über MacPorts & Co. läuft oder über GitHub selbst kompiliert werden muß, diesen modernen Luxus nicht bietet.
Und wie sieht es bei Apples System-Software aus?

 

[bobesch]

@TechGeek : eigentlich hast Du doch schon das Problem gelöst ...

Die Einrichtung am Router (Internet Box 3 der Swisscom, L2TP IPsec) an dem das NAS hängt war einfach.

Also Du hast IPsec eingerichtet, was Du ja für die Win-Geräte brauchst.
Das funktioniert auch für macOS/iOS.

Du musst über die IP vom NAS verbinden.
Dabei darf dein IP Netz lokal nicht gleich dem IP Netz vom NAS sein.

Die Netze laufen alle auf 192.168.1.x Auf was für einen Bereich müsste ich das den ändern 192.168.2.x zB?

Genau so. Und alles was im Remote-Netz hängt, kann dann über die IP-Adresse angesteuert werden.
Bei VPN gegen Win-Netzwerk geht auch der Rechner-Name, der im Netzwerk angemeldet ist.
D.h. für's Remote-NAS eine feste IP-Adresse vergeben.

smb://nasIP
Vorausetzung: IP des Router zu Hause und des Routers des genutzten WLAN müssen unterschiedlich sein

Das hast Du ja bereits selber gelöst, indem Du das VPN über den iPhone-Hotspot zum Laufen bekommen hast:

wenn ich statt des fixen Internets, das iPhone als Hotspot verwende, weil ja dann das iPhone quasi als Router fungiert und die IPs vergibt. Und siehe da, die sind tatsächlich in einem ganz anderen Bereich! Rasch ausprobiert und scheint tatsächlich zu funktionieren! Für die Laptops aus extern würde wohl sowieso das verwendet.

L2TP verwendet, weil in der entsprechenden Anleitung des Providers steht dass für Win nur dieses möglich sei und es eben auch einige Win Geräte gibt, die hier zugreifen können müssen.

Wenn ich sowieso über den Handy Hotspot den Laptop verbinde. Wo soll ich denn die VPN Verbindung herstellen? Direkt am Handy oder auf dem Laptop (haupsächlich Win) oder spielt das keine Rolle? (Aktuell mache ich es am Mac nutze aber den iPhone Hotspot wegen des IP-Netzes. Im Endgebrauch sind dann aber vor allem zwei Win-Laptops im Einsatz).

a) am iPhone die VPN-Verbindung herstellen, wenn Du mit einer iOS-App den VPN-Tunnel nutzen willst (z.B. MS RemoteDesktop).
b) ansonsten bei Mac/PC die Verbindung zum Hotspot herstellen, am Mac/PC die VPN-Verbindung herstellen und dann die entsprechende Client-Software starten (d.h. im FileExplorer "Netzlaufwerk verbinden" und im Finder-Menü "Gehe zu/Mit Server verbinden"(siehe Screenshots)

Würde aber tatsächlich den Aufwand nicht scheuen, die eigene IP-Adressumgebung
auch in irgendwas schillerndes zu ändern ( z.B. 192.168.123.x etc).
Dann hast Du die Option, einen VPN-Tunnel zu praktisch jedem Netzwerk mit Standard-IP-Adressumgebung (192.168.0/1/2.x) zu öffnen.

"Good girls to heaven, bad girls to everywhere ..." (hmm, vllt nicht so ganz passend, aber kam mir irgendwie in den Sinn.)

Im Prinzip macht die Fritzbox nichts anderes, als Dein SwissCom-Router.
Da in den üblichen Provider-Settings für Otto-Normalverbraucher die IP-Adresse dynamisch/wechselnd vergeben wird,
sollte das im familären Umfeld eigentlich für den Start reichen.

PS: welche Software nutzt Du unter Windows, um den VPN-Tunnel herzustellen?

 

[TechGeek]

Soweit ich gehört habe, sind die Versionen gelegentlich mal gegenüber der originalen eingeschränkt der Aktualisierungen erscheinen später.

Das ist nicht nur hörensagen, das ist so. Telegram ist so ein Beispiel. Kodi gibts auch nur abgespeckt. Die Liste dürfte lang sein.

Und warum muss man sich für gratis Apps mit einem Konto anmelden? Macht keinen Sinn. Der App Store ist für freie Software mehr ein Hindernis als eine Bereicherung. Warum Wireguard auf dem Mac diesen Weg eingeschlagen hat, weiss ich auch nicht. Die Win Version kann ja auch direkt runtergeladen werden.

@TechGeek : eigentlich hast Du doch schon das Problem gelöst ...

Also Du hast IPsec eingerichtet, was Du ja für die Win-Geräte brauchst.
Das funktioniert auch für macOS/iOS.

Nein auf der Dose funktioniert es eben nicht, da kommen noch listenlange Fehlermeldungen. Irgend etwas mit RSA...? Keine Ahnung mehr... Man findet die auch im Netz, aber für die Lösungen braucht es wohl einen extra Studiengang mit Masterabschluss. Windose eben...

Da die neueste Firmware des Routers Wireguard unterstützt, werde ich wohl das einrichten, in der Hoffnung dass dies dann geht.

Das hast Du ja bereits selber gelöst, indem Du das VPN über den iPhone-Hotspot zum Laufen bekommen hast:

Schon und in dem hier vorliegenden Fall ist das auch ok, da da wohl eh nur so zugegriffen wird. Habe aber noch einen anderen Fall (Verbindung zu meinem Vater für Support) wo es einfacher wäre wenn ich hier am Desktop nur etwas klicken müsste.

Würde aber tatsächlich den Aufwand nicht scheuen, die eigene IP-Adressumgebung
auch in irgendwas schillerndes zu ändern ( z.B. 192.168.123.x etc).
Dann hast Du die Option, einen VPN-Tunnel zu praktisch jedem Netzwerk mit Standard-IP-Adressumgebung (192.168.0/1/2.x) zu öffnen.

Ja das ist dann mal ein weiteres Projekt. Bei mir laufen viele Geräte und viele mit fixen Adressen. Ist alles recht kompliziert. Darum schäue ich den Aufwand gerade noch.

PS: welche Software nutzt Du unter Windows, um den VPN-Tunnel herzustellen?

Windows 11 selber. Hat das ja auch eingebaut. Erzeugt aber eben die besagten Fehlermeldungen. Aber eben, ich werde da mal Wireguard ausprobieren.
Das ganze mache ich hier für einen Bekannten der hin und wieder von extern auf die Firmendaten auf dem NAS zugreifen möchte. Es sind dort zwei Win Lapis, zwei iPhones und ein MBP im Einsatz.

 

[MrChad]

Gestern war es

Zugang zum Mac meines Vaters

Heute geht's dann um

einen Bekannten der hin und wieder von extern auf die Firmendaten ...

worüber wird hier eigentlich geredet?

Hier gab's nämlich schon Leute, die haben sich soweit "im Internet eingelesen", dass sie zum Schluss Portfreigaben und -weiterleitungen auf die NetBIOS-Ports eingerichtet hatten. "Hurra, endlich funktioniert es ..."

Naja, bis dann kurz danach erstmal alles gründlich kaputt war ...

 

[lisanet]

Außerdem kann man im App(le)Store i.A. nur die jeweils neueste Version laden (sofern erstmals), die dann das jeweils neueste macOS verlangt und irgendwann einen neuen Rechner.

Es liegt einzig und alleine am Entwickler, welcher macOS-Version er unterstützt.

Es ist von Seiten Xcode und den Frameworks kein Problem, aktuelle Apps zu entwickeln die auf alten System laufen. Mindestens die letzten 3 oder auch 5 Jahre kann ein Entwickler immer zurück gehen. Apple gibt das nichts vor.

 

[lisanet]

Ich bin mir ziemlich sicher, daß alles, was über MacPorts & Co. läuft oder über GitHub selbst kompiliert werden muß, diesen modernen Luxus nicht bietet.

Du täuscht dich. Insbesondere Apps die über gitub selbst kompiliert werden können binden oft genug das bekannte Spakle-Framework ein, welces die update-Prüfung übernimmt. Denn auch via Github ist es ohne weiteres möglich, das kompilierte Releases bereit gestellt werden. Alles eine Sache des Entwickler.

Ein bekanntes Bsp ist Handbrake. Das kannst du problemlos auch via Github als source code laden und kompilieren und es meldet sich dann auch wenn ein update ansteht.

 

[bobesch]

Nein auf der Dose funktioniert es eben nicht, da kommen noch listenlange Fehlermeldungen. Irgend etwas mit RSA...? Keine Ahnung mehr... Man findet die auch im Netz, aber für die Lösungen braucht es wohl einen extra Studiengang mit Masterabschluss. Windose eben...
[Bzgl. genutztem VPN-Client:] Windows 11 selber. Hat das ja auch eingebaut. Erzeugt aber eben die besagten Fehlermeldungen. Aber eben, ich werde da mal Wireguard ausprobieren.
Das ganze mache ich hier für einen Bekannten der hin und wieder von extern auf die Firmendaten auf dem NAS zugreifen möchte. Es sind dort zwei Win Lapis, zwei iPhones und ein MBP im Einsatz.

Ich wusste garnicht, dass Windows jetzt, wie bei macOS, die Option für VPN-Verbindungen implementiert hat.
Hatte damals mit Windows7Pro und Fritzbox den ShrewSoft-VPN-Client am Start.
https://ch.fritz.com/service/wissensdatenbank/dok/FRITZ-Box-7390-A-CH/2275_VPN-zur-FRITZ-Box-mit-Shrew-Soft-VPN-Client-einrichten/
Hatte da aber, glaube ich, bzgl. Einrichtens von passwortgeschützten Einwahl-Skrips Probleme. Gelaufen ist es aber.

Da die neueste Firmware des Routers Wireguard unterstützt, werde ich wohl das einrichten, in der Hoffnung dass dies dann geht.

Da habe ich mich noch nicht drangetraut. Werde aber irgendwann mal die in Windows implementierte VPN-Lösung ausprobieren.

[IP-Adressbereich ändern] Schon und in dem hier vorliegenden Fall ist das auch ok, da da wohl eh nur so zugegriffen wird.

... also das ausserfamiläre Szenario? Würde das da so simpel, wie möglich halten, sonst hast Du da am Ende, falls was nicht funktioniert, ständig Fragen und Probleme an der Backe.

Habe aber noch einen anderen Fall (Verbindung zu meinem Vater für Support) wo es einfacher wäre wenn ich hier am Desktop nur etwas klicken müsste.
Ja das ist dann mal ein weiteres Projekt. Bei mir laufen viele Geräte und viele mit fixen Adressen. Ist alles recht kompliziert. Darum schäue ich den Aufwand gerade noch.

Tja, nützt nix. Habe unseren häuslichen IP-Adressbereich auch geändert, damit VPN aus dem häuslichen Netzwerk heraus mit jedem Gerät funktioniert.
"Life is trouble ..."

 

[TechGeek]

Ich wusste garnicht, dass Windows jetzt, wie bei macOS, die Option für VPN-Verbindungen implementiert hat.

Doch Win11 scheint das jedenfalls zu haben. Wireguard aber nicht. L2TB oder Ikev2. Beide haben aber nicht funktioniert.

Jetzt hat es aber geklappt mit Wireguard! Am Mac via iPhone Hotspot und L2TP VPN auf den externen Router zugegriffen und von hier aus das Update durchgeführt. Verbindung wurde dann natürlich unterbrochen, aber nach dem der Router wieder hochgefahren war, konnte ich wieder verbinden. Die Config blieb also erhalten. Dann erschien auch Wireguard. Das eingerichtet, die Config datei auf den Win Laptop kopiert und mit dem Wireguard Client verbunden. Klappte auf anhieb. Das NAS erschien auch nicht automatisch, bzw. die noch lokal vor Ort erstellte Verknüpfung im Explorer ging auch nicht. Direkt via IP ansteuern ging aber sofort. Mit anderen Worten, Problem eigentlich weitgehend gelöst.

... also das ausserfamiläre Szenario? Würde das da so simpel, wie möglich halten, sonst hast Du da am Ende, falls was nicht funktioniert, ständig Fragen und Probleme an der Backe.

Ja deshalb sage ich dem jetzt einfach er soll einfach immer den Handy Hotspot benutzen.

Das zweite Szenario, der Zugriff zu meinem Vater, da werde ich wohl dann seinen Adressbereich umstellen. Seines ist das wesentlich einfachere Netz, ausserdem administriere das eh ich.

Tja, nützt nix. Habe unseren häuslichen IP-Adressbereich auch geändert, damit VPN aus dem häuslichen Netzwerk heraus mit jedem Gerät funktioniert.

Mein Netz ist relativ kompliziert, das gibt dann eine grössere Sache. Naja hab ich wieder etwas für auf die lange ToDo Liste.

 

[Tommac187]

@TechGeek
Vielleicht ist das ja was für dich….
https://youtu.be/-ejSsu6GwDo?si=FdbttaSjhASjdegG

 

[Schiffversenker]

Es liegt einzig und alleine am Entwickler, welcher macOS-Version er unterstützt.

Das war nicht mein Thema. Apple bietet im Store doch immer nur eine Version an. Daß Entwickler ihre Programme nicht „multi-versions-mäßig“ bauen, verstehe ich. Aber auf den Entwickler-Seiten werden halt meistens auch Versionen für ältere Systeme angeboten.