Daten per Internet von DS918+ auf DS119j sichern (ohne LAN2LAN-VPN)

[Schubbie]

Das stimmt, die FritzBox kann alles, aber halt langsam. Das FritzVPN lässt sich am leichtesten realisieren. Ich habe gelesen, dass man das VPN der FritzBoxen abstellen sollte, wenn man eines dahinter aufspannen möchte.

Korrekt. Der NAS, von dem die Daten auf das andere geschrieben werden ist der Client und bekommt HyperBackup.
Der NAS, der die Daten empfängt, auf dem wird der VPN-Server eingerichtet und HyperBackup Vault installiert. In HyperBackup Vault kann man dann den Backup-Verlauf einsehen, was nützlich ist, wenn der andere NAS ausgefallen ist.

 

[ClearEyetemAA55]

Hier liest sich dad so, als ob es dich möglich ist. Also Vault=VPN-Client..
https://www.synology-forum.de/showthread.html?89289-Hyperbackup-durch-VPN-Tunnel-Knoten-im-Hirn

 

[Schubbie]

Geht tatsächlich. Du kannst im VPN-Server nachsehen, mit welcher IP sich der Client angemeldet hat und wenn diese angegeben wird, dann wird es rückwärts geroutet. Aber aufpassen, diese ist dynamisch vergeben und kann sich ändern, womit es dann nicht mehr funktionieren würde. Wäre mir erstmal zu heikel, dass man da gelegentlich nachbessern muss. Ich hatte es schon 1x bemerkt, dass dem Client eine andere IP zugewiesen wurde und dann wird es nicht mehr gehen. Vielleicht kann man dieses einschränken, indem man die maximale Anzahl von Clients und Verbindungen auf 1 setzt, aber das muss man probieren. Meistens wird bei mir immer die selbe IP vergeben, muss aber nicht immer so sein.

 

[Synchrotron]

Wenn VPN parallel eingerichtet werden soll, dann einfach 2 unterschiedliche Protokolle nehmen.

Z.B. auf der FB IPsec verwenden, und auf der Syno OpenVPN. Der OpenVPN-Tunnel wird auf der FB über einen eigenen Port geroutet. Dadurch können sich die beiden VPNs nicht ins Gehege kommen. Klingelt der OpenVPN an, ist das für die FB nur eine Port-Weiterleitung, keine VPN-Anfrage.

 

[Schubbie]

Die sollen wahrscheinlich aufgrund des geringen Datendurchsatzes des FritzBox VPN nicht parallel (zumindest nicht für die Datensicherung) laufen.

 

[Synchrotron]

Für eine Datensicherung empfiehlt sich das VPN der FB nicht. Das ist dafür zu langsam, und auch eher nicht als Dauerlast-Lösung gedacht. Für mal schnell zu Hause reinschauen in Ordnung, auch um ein paar Dateien mit einem mobilen Client auszutauschen.

Bei parallelem Zugriff auf die Bandbreite der Internetverbindung ist irgendwann eh die Frage, was gleichzeitig noch sinnvoll ist. Begrenzend wirkt bei einer Datensicherung der Upload, zumindest bei den asynchronen Leitungen, die üblich sind. Das heißt gleichzeitig Fotos nach zu Hause sichern wird eine Datensicherung nach extern wenig beeinflussen. Aber eine Speed wie im Heimnetzwerk wird es nicht geben, da ist Geduld angesagt.

 

[synfor]

asymmetrisch und nicht asynchron.

 

[ClearEyetemAA55]

Habe jetzt wieder einen Anlauf unternommen...

Anscheinend klappt es nicht eine VPN-Verbindung zwischen 2 Diskstations im selben LAN aufzuspannen, oder nur wenn man statt der DDNS-Adresse die LOKALE IP in der openvpn.ovpn einträgt, richtig? Nehme die 2. DS also heute mit an den zweiten Standort und versuche mein Glück erneut

 

[ClearEyetemAA55]

..Iwas fehlt

VPNVerbindung von W10 zur Diskstation funktioniert. Schonmal super!


Aber die Verbindung mit demselben OpenVPN-Zertifikat und Konfigurationsdateien von DS zu DS scheitert??


EDIT

Check, Firewallsetting an Vault war Portfreigabe auf TCP statt UDP --> Es läuft!

 

[Schubbie]

Im selben Netz muss die derzeitige IP angegeben werden und danach die Zertifikate erneuert werden.

Portfreigabe für Vault? Du meinst für VPN? Es soll doch nur der Port für VPN freigegeben werden? Nicht, dass du die Daten nun ungeschützt (an den VPN vorbei) durch das Internet jagst.

 

[ClearEyetemAA55]

Nett das du nochmal ein warnendes Wort dazu schreibst!

Aber nein, die Fritzbox gibt Port UDP 1194 frei und auch die Firewall von Vault, also der Diskstation welche Backuptarget ist und das VPN als Client initiiert, muss in den Firewallsettings Port 1194 UDP für VPN-Verbindungen freigeben. Und hier war TCP fälschlicherweise eingestellt.

 

[ClearEyetemAA55]

Wenn ich es jetzt noch iwie hinbringen würde Vault, also das NAS welches Extern steht, über CMS zu verwalten..

myfritz.net/IP nimmt er schonmal nicht an..

 

[Schubbie]

Du kannst TeamViewer als Paket installieren, wenn dir damit geholfen ist.
Ansonsten bräuchte man einen Browser auf der Synology, aber da gibt es keinen?

 

[ClearEyetemAA55]

Ich habe mir überlegt, dass man CMS wohl besser auf eine andere "Ebene" legt, und hierzu folgenden Plan entwickelt:
1. DockerDMS-Container auf erstellen.
2. Diesen Ct mit 2Faktor-Authentifizierung absichern.
3. In diesem Ct VPN-Verbindungen zu allen anderen DSMs (physische, virtuelle)
4. CMS einrichten.

Den Ct startet man dann nur bei Bedarf (updates von DSM, Lizenzen o.ä.), bzw. er läuft halt nebenher

Könnte nur daran scheitern, wenn mehrere VPN-Verbindungen nicht gleichzeitig von einem DSM ausgehen können.. weisst du das was?

 

[Schubbie]

Da habe ich keine Ahnung von. Hast du mal einen Link, was du mit CMS meinst?
Der VPN-Server der Synology stellt pro Protokoll einen Server bereit, auf dem sich mehrere Nutzer anmelden können.
Da die Synology zum Aufbau zum VPN eine neue Netzwerkverbindung einrichtet, sollte sich diese auch zu mehreren VPN gleichzeitig verbinden können.

 

[ClearEyetemAA55]

https://www.synology.com/de-de/dsm/packages/CMS

CMS ist letztlich nichts anderes als ein Managementtool für eine Flotte von Diskstations. D.h. man kann anhand von Richtlinien/Profilen für Gruppen von Geräten bestimmte Systemeinstellungen festlegen, Überwachung und Protokollierung, Updates einspielen und so weiter
https://www.bing.com/images/search?...724243420803&selectedindex=21&ajaxhist=0&vt=0

 

[Schubbie]

Ok, Google spuckte bei CMS zu viel unterschiedliches aus.
Hast du die Ports entsprechend freigegeben, müsste Port 5000 sein (per VPN nicht nötig) und beim Verbindungsversuch die IP bzw. Domain mit :5000 dahinter angegeben? Also z.B. 192.168.178.100:5000

 

[ClearEyetemAA55]

Guter Ansatz, aber...

Lokale Diskstations erkennt CMS automatisiert, während des "Hinzufügen-Dialogs". Den CMS-Host muss man in dem Prozess allerdings noch manuel - per lokaler IP - einbinden (sofern gewünscht).
Externe Diskstations können per FQDN angesprochen werden, was mir aber nicht mit Myfritz.net\IP gelingt (Doppelpunkt oder Forwardslash/ werden erst garnicht angenommen) . Offenbar ist das also so noch nicht richtig.
Trage ich die Myfritzadresse unter Systemeinstellungen/Externer-Zugang auf einer externen Diskstation ein, wie in anderen Threads empfohlen, komme ich auch nicht "drauf". Darum habe ich u.a. die Idee mit dem CMS-Hostcontainer erkoren, der per VPN zu allen weiteren Diskstations verbindet, welche dann verwaltet werden sollen.

Irgendwo ist noch der Wurm drin... vielleicht war aber heute auch einfach der Kaffee zu stark und ich darum zu unsystematisch

 

[Schubbie]

Mit MyFritz meinst du den DNS-Dienst von AVM, also kein VPN? Das funktioniert nicht per IP. Dazu musst du in der Ziel-FB eine entsprechende Portweiterleitung auf die Synology einrichten und bei der ersten Synology die AVM-Adresse eingeben, ggf. gefolgt von dem Port als Beispiel "FritzDNS.de:5000". Aber ich würde möglichst einen VPN aufbauen, damit man nicht seine Synology ins Netz stellt.
Hast du 2 FritzBoxen, dann kannst du einen Site2Site-VPN aufbauen. Beide Boxen brauchen dann einen unterschiedlichen IP-Adressbereich. Somit kann jedes Gerät auf jedes andere Gerät im jeweils anderen Netzwerk zugreifen. Nachteil ist, dass der Tunnel von der Datenübertragung her nicht sehr schnell ist, müsstest du testen.

 

[ClearEyetemAA55]

Ok, das sind relativ viele Ansätze

1- Ich versuche aktuell erstmal eine VPN-Verbindung mit den Bordmitteln von Synology, zwischen meiner Diskstation und dem darauf virtualisiert laufendem DockerDSM, herzustellen.
Da die Diskstation VPN-Server ist, kann sie keine VPN-Verbindung initiieren. Also muss aus DDSM die VPN-Verbindung erfolgen. Für die Diskstation ist ein Portforwarding auf 1194 (OpenVPN) eingerichtet.

2- Die Fritzboxen will ich für die Anbindung anderer Standorte nicht nutzen. Schon wegen der schlechten Performance und aber auch, da ich kein LAN2LAN möchte. Es soll ja weiterhin nur die Diskstation verbunden werden.

3- Was noch ginge: Ich kann auch in Docker einen OPENVPN-Server oder OPENVPN-Client containern. Das ist für die Kommunikation zwischen Containern garnicht unüblich. Wird aber auch für Verbindungen zu anderen Standorten möglich sein, denke ich mir

Grundlegend hatten wir das Thema ja schon bei Hyperbackup --> Vault. Jetzt habe ich das Problem eben mit CMS und eigentlich auch mit Portainer bzw. DockerSwarm.
Wenn ich schon 4-5 Diskstations im Familienumfeld habe, dann will ich die gerne zentral Updaten und Konfigurieren können. Genauso schaut es mit Docker aus.