Bitwarden Dummie Fragen

[steje43]

Ich habe mehrere Dienste auf der Synology.

Mailserver, Nextcloud, Ecodms, Webseiten, Bitwarden, etc. da freue ich mich echt über eine feste IP.

Mit dynDNS landet man öfter mal auf eine Blacklist.

 

[EDvonSchleck]

Mit dynDNS landet man öfter mal auf eine Blacklist.

Das gilt aber primär nur für den Mailserver, die anderen Sachen sind unproblematisch und zu vernachlässigen. Aber für den Mailserver würde es auch ein Lösung geben, den Unterschied würden die meisten gar nicht mitbekommen. Aber wenn ich die Wahl hätte würde ich keine Nanosekunde nachdenken - Schummelleitung vs. richtige Glasfaser.

 

[steje43]

Nee, so kann man das nicht sehen. Ich habe mit Vodafone eine Leitung mit einer Leistung von 1000mbit Download und 50mbit Upload.
Und diese kommen seit Jahren immer an. Dann noch eine feste IP für meine Dienste. Was will ich dann mit einer beschnittenen Lösung von Glasfaser Deutschland.

Ich bin seit zwei Jahren im Homeoffice und nun frage mich mal wie oft mein Internet in dieser Zeit ausgefallen ist.

Nie, echt seltsam aber es läuft sehr gut.

Wechsel zu Glasfaser, nö.

 

[EDvonSchleck]

Das glaube ich nicht im geringsten, Die überwiegende Masse sagt da was anderes, Einer der sich damit nicht auskennt,denkt das es so ist - ist es aber nicht!. Denn es ist bekannt das VF seine Leitung drosseln darf um das Netz zu schützen (siehe AGB). Dazu gibt es keine Begründung oder min Werte oder Gründe - einfach nur eine Aussage. Weiterhin findet keine Synchronisation und Abgleich der Gescwindigkeit wie bei VDSL stand. Die Zahlen, welche du im Router stehen hast sind mehr oder weniger gewürfelt bzw. eingestellt und haben keine Aussagekraft. Mach einen Langzeittest und gib denn das Ergebnis bekannt - ich glaube da wirst du enttäuscht sein. Wenn du 2 Jahre im Homeoffice dich Zuhause langweilst , hättest du das ja einmal austesten können. Anleitungen findest du mit "docker speedtest synology" genug.

Und jetzt zurück zum Thema

 

[haydibe]

Ontopic zum Offtopic: bis vor drei Wochen hätte ich die Erfahrung von steje43 noch geteilt - die Leitung lief 12 Monate ohne das geringste Problem. Der Speedtest-Container mißt Raten bis 970Mbit/s - bis vor kurzem war der Average bei 940Mbit/s. In den letzten 3 Wochen hatte ich mehr als 80 Reconnects und das Average liegt nur noch bei 715Mbit/s.

 

[EDvonSchleck]

Was waren denn das min/max? Ich kann mir nicht vorstellen das die Raten von "bis 970Mbit/s" 24/7 waren. Hast du ein Export?

 

[haydibe]

<off-topic>
Das sind die Werte mit defekter Leitung (Nullmessungen = Verbindungsabbrüche):


Richtige Messreihe kommt, wenn die Leitung wieder heil ist.

Für mich ist der permanente Reconnect gerade allerdings ein extremer Albtraum - so etwas habe ich in 7 Jahren Homeoffice noch nicht erlebt.
</off-topic>

 

[EDvonSchleck]

Eine Messung davor hast du nicht? Was sagt den der "super" Support von VF?
Deine Störung ist ja jenseits der jährlichen vertretbaren Störung (ich glaube das waren 10 Tage) somit schon 3x überschritten.
Andere TV Dose getestet oder direkt am Hüp? Technikertermin bekommen?
Preisminderung eingereicht?

 

[Klaus53123]

so ihr Lieben, ich bin jetzt in Deutschland zurück und habe mit Vodafone gesprochen. Ich hatte da einen "supernetten" Herrn am Apparat, der auch im übernächsten Leben das Wort "freundlich" nicht buchstabieren können wird. Das Gespräch lässt sich wie folgt zusammen fassen:

1. eine IPv4 Adresse gibt es unter keinen Umständen!
2. alles geht auch mit IPv6
3. Portfreigaben geht bei Vodafone sowieso nicht, alle Port die man bräuchte wären bereits freigegeben, eine List der Ports, die freigegeben sind gibt es nicht und Vodafone weiß schon von alleine was die Kunden brauchen
4. Wenn ich die VF in den Bridge Modus versetze und eine Fritz!Box dahinter hänge wäre es nicht sicher ob Ports freigeben werden könnten (ich weiß, das ist ein Widerspruch zu 3 aber so hat er es gesagt.

Ich will da trotzt mangelnder Sachkenntnisse nicht aufgeben. Ich will Bitwarden laufen lassen und Wireguard.

Nun also meine nächsten Fragen an Euch

1. könnten ihr bitte mal kommentieren was der Typ da von sich gegeben hat.
2. ich würde mir eine Fritzbox 7530 kaufen. Die lässt sich derzeit für um die 160 Euro schiessen.
3. Danach würde ich versuchen die Synology unter Dyndns und ipv6 ins Netz zu bringen (siehe hierzu die Anleitung, die ich weiter oben gepostet habe und danach mit Bitwarden wieder machen.

Was meint ihr dazu?

 

[EDvonSchleck]

VD halt, da würde ich nicht viel darauf geben was die sagen.
Kauf dir die Fritzbox der Wahl, die bekommen auch bald Wireguard direkt, wenn du Lust hast kannst du das mit der Labor schon testen
Als DynDNS kannst du auch MyFritz nehmen. Denn hast du Wireguard und Dyndns schon gelöst.
Denn würde ich erst einmal testen ob du wirklich keine IP bekommst, wie haydibe das beschreibst.

Alos erst einmal Box besorgen und Homeserver umstellen, denn sehen wir weiter wenn du soweit bist.
Du kannst aber auch schon den Docker laufen lassen und alles einrichten, wenn du Zeit und Lust hast. Die Einrichtung über die Dyndns inst denn nur noch formal. Du kannst es auch schon intern testen.

 

[haydibe]

Punkt 1 Deiner Fragen, Kommentar zu dem was der VF-Support gesagt hat
Zu 1) Sobald man die Vodafone Station auf Bridge-Mode umstellt hat man nur noch ipv4. Ich hab mit Anstecken einer Frit!Box 6591 Cable direkt einen DualStack gehabt (vorher ausschließlich ipv6)
Zu 2) Prinzipiell korrekt, aber.... es ist vieles nicht so einfach wie es unter ipv4 ist
Zu 3) Der Kunde bekommt bei ipv6 einen Netzbereich ohne Einschränkungen, deswegen kann und muss Vodafone da auch nichts tun. Der Kunde muss es in seinem Router so konfigurieren, wie er es braucht.
Zu 4) Rechtlich bestimmt korrekt... Kann man unter "Geschwafel" verbuchen. Die VFS arbeitet dann nur noch als reines ipv4 Modem - klar kann man ipv4 Ports mit seinem dahinter geschalteten Router freigeben.

Punkt 2 Deiner Fragen: ergibt nur Sinn, wenn die Vodafone Station im Bridge-Mode läuft.

Punkt 3 Deiner Fragen: Du hast mit Umsetzen von Punkt 2 eine ipv4, warum willst du dann noch an der ipv6 Freigabe arbeiten?

 

[Fusion]

Vodafone ist nicht gleich Vodafone.

Bridge Mode gibt es nur bei Vodafone / Kabel Deutschland. Bei Vodafone West (Unitymedia/Kabelbw) nicht.

Dual Stack sollte man erhalten können als
- ipv4 Altkunde
- im cable max Tarif
- mit power Upload oder Telefonie-Komfort Option

Selbst mit Dual Stack ist die VDS kacke. Wenn da nicht Abermillionen von Kunden an ihrem Anschluss nur Daten konsumieren würden wäre ihnen das schon längst im Gesicht explodiert.
Entweder nur ipv4 Portfreigaben oder ipv6 Firewall Freigaben. Beides zusammen... Zonk.
Da ist die Cable Fritzbox die erst Beste Möglichkeit und auch fast die einzigste. Freie Kabel Modems (Traum, mehr als ein Medien Wandler bräuchte man nicht)... Fehlanzeige in DE. TC-4400-eu hab ich (ubiquity edgerouter), aber bekommt man so gut wie nicht mehr, und andere überhaupt nicht.
Also Zwangsrouter+Modem gibt es auch eigentlich nur AVM, und die aktuellen gehen Richtung €250-300. Da sinkt die Motivation noch einen teuren Router dahinter zu setzen und man gibt sich eher mit dem Kompromiss ab.

 

[EDvonSchleck]

@ Fusion
trotzdem sollte es doch möglich sein einen Dienst dahinter zu benutzen, ist doch technisch gesehen egal ob v4 oder v6. laut Aussagen von haydibe soll es ja nicht möglich sein diese mit der VDS zu machen.

 

[haydibe]

Aussagen von@ haydibe soll es ja nicht möglich sein diese mit der VDS zu machen.

ipv4: Korrekt, ein NAT-Loopback bei ipv4 geht nicht. Anwender aus dem Internet können problemlos auf freigegebene Dienste von einem Zugreifen, nur für einen selbst funktioniert es nicht.

ipv6: hier gibt es das Problem nicht, da die Syno eine GA bekommt. Hier war die Herausforderung mit dyndns.

 

[Fusion]

Dual Stack, Dual Stack Lite, ipv4 only, ipv6 only... Immer sollte es möglich sein Dienste zu nutzen wenn alle dieselbe Sprache sprechen.
Deutlich schwieriger wird es wenn ein Dritter wie die VDS dazwischen sitzt, oder dazwischen grätscht (muss man schon fast sagen).

Ich habe da leider auch nur Halbwissen, wenn man so will, weil hier durch die verschiedenen Backends der Betreiber die Vodafone zusammengekauft hat, die verschiedenen Hersteller der 'VDS' etc. pp. So ein Durcheinander herrscht, dass man immer vorsichtig sein muss eine allgemeingültige Aussage für 'Vodafone' zu treffen.

Wenn DS Lite geschaltet ist erlaubt die VDS (Baden-Württemberg) glaube ich nur die v6 Firewall zu deaktivieren (24h). Die exposed Host settings hatten damals (könnte man praktisch jeden Monat testen) nicht sauber funktioniert.
In der Konstellation war es also nicht brauchbar um irgendeinen Dienst von außen direkt zu erreichen (rein technisch, v6 Client, v6 Portfreigabe Firewall, Ziel, wäre das kein großes Ding).
Erst mit Umstellung auf cable max und Dual Stack geht dann die Ipv4 Portweiterleitung (NAT).
Die ipv6 Freigaben gingen nur alternativ zu aktivieren, nicht gleichzeitig (meckert über identische Ports). Daher vermute ich, dass das Gerät hier keine Probleme hätte ... Wäre es nur mit einer anständigen Firmware versehen. Daraus folgend will VD das vermutlich nicht (bezahlen).
In dem Zustand könnte es funktionieren, ich habe es aber dann nicht mehr intensiv genug getestet (nicht mein eigener Anschluss) und erstmal bei den v4 Freigaben belassen.
Spielt da eh nur 'Modem', da wlan / Access Points etc anders realisiert sind.
Irgendwann muss man dann in den Apfel beißen und ne Fritte hinstellen (und Dual Stack voll nutzen können). Kriegt ja nix anderes.
billige Fritte und eigener Router > noch teurer
Teure Fritte eigentlich zu viel, da nur Router/Telefon, und WLAN anderweitig umgesetzt. Es gibt keine wirklich gute Lösung.

Edit:
ipv4 NAT Loopback umgehen mit lokalem DNS Resolver (dns server DS, pihole, adguard,...). Dann geht es auch via Domainnamen im LAN/WLAN. Per IP geht es immer.

IPv6, auch für GA ipv4 muss die Firewall Freigabe in der VDS funktionieren, geht das bei dir @haydibe ?
Dyndns muss man ausweichen, auf einen Dienst für den man nur die IPv6 setzen kann, ist mit DSM 7 auch aufwändiger geworden.

 

[Wiesel6]

Wenn ich keinen Denkfehler habe, benötigt @Klaus53123 vielleicht gar keine geöffneten Ports.

Willst du auf vaultwarden auch von außerhalb deines Heimnetzwerkes zugreifen? Mit welchen Endgeräten willst du zugreifen, iPhone, Android, Mac, Windows?
Wenn nur intern und ohne ein iPhone kann er das vorhandene Zertifikat nutzen und die Sicherheitsmeldung ignorieren.

Hast du dir schon überlegt, wie du wireguard aufsetzen willst? Auf der Synology, auf einem Pi, oder wie @EDvonSchleck beschrieben zukünftig dann über die Fritz!Box (wenn du dir eh eine holst).

Noch ein Satz zu DynDNS. Als DynDNS Dienst nutze ich diesen https://dynv6.com den könntest du auch (zusätzlich) in der Fitzbox neben der Myfritz Adresse nutzen. Oder in welcher Anwendung auch immer.

 

[EDvonSchleck]

ipv6: hier gibt es das Problem nicht, da die Syno eine GA bekommt. Hier war die Herausforderung mit dyndns.

Das kann man doch laut Handbuch in der VS machen. Es soll ja nur der Dienst laufen da ist denn auch egal ob v4 oder v6, wenn denn alles durch kommt. Hast du da Erfahrungen ob das ordentlich funktioniert? Wenn nicht könnte VF gleich den Part zusammen mit den Port aus der Firmware streichen. Wenn es nicht richtig funktioniert, würde mir das bei VF auch nicht wundern.

 

[haydibe]

ipv4 NAT Loopback umgehen mit lokalem DNS Resolver (dns server DS, pihole, adguard,...). Dann geht es auch via Domainnamen im LAN/WLAN. Per IP geht es immer.

Wenn man den Kontext Bitwarden über HTTPS nimmt, passt das mit dem Resolver, das mit der IP eher nicht so. Ich hab das Thema Resolver vorhin bewusst unter den Tisch fallen lassen... da schon wieder ein zusätzliches Workaround.

Frustrierenderweise hat man nur die Wahl zwischen mehr oder minder schlechten Workarounds. Dabei ist Bridge-Mode+FB dahinter gefühlt immer noch die anfängerfreundlichste Variante.

IPv6, auch für GA ipv4 muss die Firewall Freigabe in der VDS funktionieren, geht das bei dir @haydibe ?

An dem Tag wo ich die VFStation noch nicht auf Bridge umstellen konnte, hatte ich die FB im Double-NAT dahinter. ipv4 Portforwarding auf FB, von FB Portforwarding auf Ziel-Ports auf Opensense hat funktioniert - von dort aus schiebt dann ein HA Proxy auf die richtigen Endpunkte bei mir. Keine Ahnung, ob ich die Firewall an oder aus gemacht habe. IPv6 hab ich mir an dem Tag geklemmt. Jetzt wo die VFStation im Bridge-Mode ist, hab ich mich auch nicht mehr über die UI verbunden. Die FB zieht direkt eine public IPv4 und kann über 6to4 einen public ipv6 Prefix beziehen.

Wir highjacken den Thread ziemlich... Die Diskussionen gehören eher in einer Vodafone-Selbsthilfte-Thread

 

[Klaus53123]

Wir highjacken den Thread ziemlich... Die Diskussionen gehören eher in einer Vodafone-Selbsthilfte-Thread

stimmt!! Und ihr könntet mir echt einen Gefallen tun und das sein lassen. Mir fällt es eh schon schwer den ganzen Kram in den Kopf zu kriegen und dann auch auseinanderzuhalten was für mich relevant ist und was nicht macht es nicht einfacher.....

Vielen Dank also im Voraus....

 

[Klaus53123]

Alos erst einmal Box besorgen und Homeserver umstellen, denn sehen wir weiter wenn du soweit bist.
Du kannst aber auch schon den Docker laufen lassen und alles einrichten, wenn du Zeit und Lust hast. Die Einrichtung über die Dyndns inst denn nur noch formal. Du kannst es auch schon intern testen.

kurzes Zwischenmeldung: habe gestern Docker installiert und Vaultwarden. Reversed Proxy eingestellt nach Anleitung von @EDvonSchleck. Was soll ich sagen? Ich komme im eigenen Netzwerk auf Vaultwarden, kann die Admin bearbeiten (ADMIN_TOKEN ist gesetzt), kann neue Mitglieder per Email einladen und ebenfalls mit dem MacOS client und iOS App auf meine Daten zugreifen. Import meiner bestehenden Passwörter aus Enpass hat auch geklappt.

Also intern im eigenen Netzwerk läuft alles sehr zufriedenstellen.

Heute geht es zum MediaMarkt und eine FB wird dann einziehen. Danach mache ich mich dann daran die Syno ins Internet zu bringen und externen Zugang zu realisieren. Da werde ich ganz sicher vor die Wand fahren und hoffe auf Hilfe

LG
Klaus