Container crashed die Synology

[zotac94]

Hallo zusammen

Ich bin aktuell einwenig mit VPNs am experimentieren. Ich nutze bereits OpenVPN. Dies funktioniert bei mir leider nicht immer zu 100%ig mit dem reconnecten. Manchmal muss man ihn manuell anstossen.
Also dachte ich mir, ich probiere mal einen VPN über IKEv2 aus, da man dies bei Macs & iPhone wohl nativ auf 'Always on' stellen kann. Leider unterstützt die Synology IKEv2 ja nicht von Haus aus. Also auf die Suche gemacht und einen Docker Container gefunden:
https://github.com/hwdsl2/docker-ipsec-vpn-server
Ich habe ihn über Portainer installiert:

version: '3'

services:
  vpn:
    image: hwdsl2/ipsec-vpn-server:latest
    container_name: vpnserver
    environment:
      - VPN_PROTECT_CONFIG=yes
      - VPN_IKEV2_ONLY=yes
    ports:
      - "500:500/udp"
      - "4500:4500/udp"
    privileged: true
    volumes:
      - /volume3/docker/vpnserver:/etc/ipsec.d
      - /lib/modules:/lib/modules:ro

Der Container läuft, ich hab das entsprechende File bei meinem Mac importiert, aktivier den VPN, hab keine Internetverbindung mehr, will den VPN wieder deaktivieren und dann crashed mein komplettes NAS. Es startet dann komplett neu und ich erhalte die Meldung dass unerwartet die Stromzufuhr getrennt wurde. Dies konnte ich bei einem zweiten mal auch wieder reproduzieren. Sowas hatte ich noch nie.

An was kann das liegen?

 

[ctrlaltdelete]

Darf man fragen auf welcher DS mit welchem DSM?
HDDs, SSDs, RAM, evtl. die Zimmertemperatur und die Wandfarbe wären interessant.

 

[zotac94]

Stimmt, sorry. Es ist eine DS920+ mit DSM 7.2.1 Update 5.
4x 4TB WD Red SA500 SSDs, 16GB Ram von PHS-memory nachgerüstet. Zimmertemperatur ca. 23 Grad.

 

[haydibe]

Ich weiß nicht, wie gut die Idee ist, einen privilegierten Container zu starten der Zugriff auf die Kernel-Module bekommt und sie dann auch noch nutzen will.

Du wirst eine Variante des Images brauchen, in dem jemand alle Bibliotheken und Kernel-Module Cross-Compiled hat mit der Syno-Toolchain und den Syno-Kernelsource...

Dringende Empfehlung: betrieb das Zeug lieber in einer VM.

 

[ctrlaltdelete]

ok, das System sieht gut aus. Ich würde einfach den Container löschen. Und VPN auf dem Router einrichten, da wo es hingehört.

 

[zotac94]

Danke euch für die Hilfe. Hab mir auch schon gedacht, dass das eventuell das Problem sein könnte.
@ctrlaltdelete Das hab ich mir auch zuerst gedacht. Leider hab ich einen Router vom Provider, welchen ich nicht austauschen kann und der extrem eingeschränkt ist, was die Funktionen angeht..

 

[ctrlaltdelete]

Dann nimm einen Raspi für VPN, aber nicht direkt auf der DS.
Edit: Beispiel:
https://www.bachmann-lan.de/raspberry-pi-mit-wireguard-und-wireguard-ui-webinterface/

 

[Synchrotron]

Man kann auch einfach Pi-VPN installieren. Es beherrscht schon seit längerem neben OpenVPN auch WG.

Im Gegensatz zu der Schmalspurversion auf der DS ist OpenVPN auf dem Raspi auch ein vollwertiger Server / Client - falls das für jemanden relevant sein sollte.

 

[plang.pl]

Ich würde das VPN-Gateway nicht auf der DS laufen lassen, sondern lieber irgendeinen anderen Host hernehmen (Raspi, Tiny PC, notfalls schlanke Linux VM im VMM). Da dann mit WireGuard arbeiten und nicht mit IPSec oder OpenVPN