ds918+ mit ds220+ am 2. standort sichern

[hardtech]

Welche IP Adressen haben denn bei beiden DS220 und DS918?

feste ip adresse in ihren geweiligen bereich:

ds918 bei mir: 192.168.82.xx
ds220 am entfernten standort: 192.168.178.xx

 

[Stationary]

läuft. ich muss mich erst ins vpn einloggen. alles andere kann bleiben?

So ist es.

 

[hardtech]

Von außen kommst Du in Dein Netzwerk ebenfalls über VPN. dazu in den Fritzboxen einen Nutzer anlegen, der als einzige Berechtigung VPN benötigt. Bei dem Benutzer kannst Du Dir dann in der jeweiligen Fritzbox die nötigen Zugangsdaten anzeigen lassen, die in den Mobilgeräten hinterlegt werden müssen (in den dortigen VPN-Einstellungen):
Anhang anzeigen 72182

ich habe für beide fritzboxen einen benutzer angelegt. den gleichen.
gilt dieser benutzer nun für die vpn-verbindung oder muss ich einen zusätzlichen festlegen?

UPDATE:
vpn-verbindung über iphone klappt und über wlan komme ich ohne weiteres auf die internen ip-adressen und die nas. klasse!

jetzt nur noch die frage:
möchte, dass mein bruder sich einloggt ins netzwerk. da er am 3. standort sitzt, hat er keinen zugriff intern, sondern muss übers vpn gehen. muss ich für jeden benutzer in der fritzbox einen eigenen benutzer anlegen?
passwort vergebe ich an jeden benutzer ein eigenes?
wie verhindere ich, dass er meine persönlichen daten auf der ds918 NICHT sehen kann?

>> Stichwort: Rechtemanagement aus der NAS.

 

[EDvonSchleck]

feste ip adresse in ihren geweiligen bereich:

ds918 bei mir: 192.168.82.xx
ds220 am entfernten standort: 192.168.178.xx

Deine internen IP kannst du ruhig hier ausschreiben, damit kann keiner etwas anfangen, sofern dieser sich nicht im Netzwerk befindet. Auch im eigenen Netzwerk sind Verwechslungen schon vorgekommen!

Wichtig für dich ist nur die externe Adresse (DynDNS) bzw. fester IPs falls du eine besitzt. Bei einer dynamisch zugewiesenen IP kannst du einfach im Router auf "neu Verbinden" drücken und hast sofort einen andere.

Das ganze erleichter den Fehler zu finden. Oft ist es nur ein "Denkfehler" des Betroffenen.

 

[hardtech]

@EDvonSchleck
das habe ich verstanden. die ips sind fest. ich habe zugriff aus dem internen netzwerk auf die fritzboxen und die beiden nas-geräte.
über vpn kann ich mich über iphone ins netzwerk einloggen.
synology drive client funktioniert auf dem macbook mit einstellung: interne ip der ds918.

jetzt fehlt mir nur das verständnis für die zugriffsrechte. mein bruder soll vom standort 3 nicht alles sehen, was auf der nas liegt. wie verhält es sich generell mit dem rechtemanagement über vpn ins netzwerk?
bei synology kann ich nutzer eintragen und diese haben zugriff auf ihre home-bereiche auf der nas. sehen andere ordner aber nicht.

ich verstehe das so, dass wenn der benutzer sich über vpn einloggt, er dadurch zugriff auf das gesamte netzwerk und damit die beiden nas hat und dadurch alle ordner einsehen kann. das kann ja nicht richtig sein!?

 

[Benares]

Per VPN verbinden sich Clients oder auch ganze Netzwerke (LAN-LAN) mit deinem Netzwerk, das ist alles.
Was die dann wo dürfen, musst du halt genauso regeln, wie bei deinen eigenen Clients auch (Benutzer/Zugriffsrechte/...)

 

[EDvonSchleck]

Des regelst du doch über die Benutzer im NAS.
Wenn du mit deinen Brunder zusammen nur einen Account im NAS haben, dann sieht er das natürlich was du für Schmuddelbildchen hast

Wenn dein Bruder auch Admin-Rechte hat ist das natürlich auch Sinnfrei, er könnte sich jederzeit die Rechte für die Ornder selbst geben. Richtig wäre nur ein "normaler" Benutzer für dein Bruder und ein ordentlichen Passwort für euch beide!

Als Admin sperrst du für deinen Bruder die Ordner, welche er nicht sehen darf. Geschützt wird das ganze nur von deinen Zugangsdaten!

 

[hardtech]

jeder nas nutzer hat einen eigenen namen und eigenes pw. login von aussen auf der nas habe ich aktuell von aussen über quickconnect hergestellt. da geht der user auf ds918:5001 und loggt sich mit seinem namen und pw ein. soweit so gut.

mir geht es um das verständnis bei login über vpn. wie kann ich euch mein denken verbildlichen? ich versuchs:
über vpn hat man zugriff auf das netzwerk und all seine geräte, als wären diese lokal angebunden.
so kann man sich dann freigegebene ordner als vortuelles laufwerk unter windows einbinden oder das ganze nas durchstöbern, da es im eigenen lokalen netzwerk ist. ich logge mich dabei nicht über ds918:5001 ein, sondern sehe die ordner direkt unter arbeitsplatz als eingebundenes laufwerk.

andere frage:
muss ich unter internet > freigaben > dyndns noch eingaben tätigen, wenn ich den fritzbox-dienst laufen habe? > laut meinem verständnis nein, da der fritzboxdienst der fritzbox einen dauerhaften domainnamen gibt und dyndns dadurch nicht zusätzlich eingestellt werden muss. korrekt?

 

[EDvonSchleck]

Irgendwie bekommst du es nicht auf der Reihe und fängst immer wieder von vorne an.

Klammere das VPN aus, Diese verbindet nur 2 unterschiedliche Netzwerke.. Ansonsten gilte alles wie es in den Netzwerken eingestellt ist.

Wie oft musst du das noch gesagt bekommen?

Zu deiner Frage - Auch Windows hat ein Benutzer und Passwort - wenn du das nicht nutzt bzw. eingerichtet hast denn ist es ein Fehler auf deiner Seite. Ein von Windows freigegebener Ordner verlangt denn aus User/Pass! Umgehen kannst du es das du keine Ordner am PC frei gibst sondern auf der DS.
Wenn du kein Passwort unter Windows hast - kann ein fremder User dann deine Daten ansehen?

Was du jetzt wieder mit Qickconnect machen willst verstehe ich wirklich nicht.
Auch wird ein virtuelles Laufwerk auf keinen Fall mit dem Port 5001 eingerichtet - das hast du bis jetzt noch nicht verstanden!

 

[hardtech]

danke für die ausführung. jetzt habe ich es verstanden mit den nutzerrechten.

es läuft soweit ich das alles getestet habe ganz gut. vor allen dingen sehr schnell. kein vergleich zu quickconnect. das habe ich nur zwischenzeitlich zum testen eingestellt. ist nun wieder aus.

zu den benutzernamen der fritzbox:
es ist ein nutzer da. ich selbst. gleichzeitig ist das der nutzer für login in die fritzboxen.
muss ich nun jeden nutzer neu anlegen? oder reicht aus: nutzer_familie.

so wie ich das nun verstanden habe, logt sich dann aus die nas jeder nutzer nochmal selbst mit eigenem namen ein. das hat nichts mit vpn und fritzbox zu tun, sondern wird per nutzerrechte in der nas vergeben.

 

[Fusion]

Genau, NAS Zugangs-/Benutzerrechte und Netz-/VPN Zugang(srechte) sind verschiedene Paar Schuhe.

Ob du für die VPN Nutzer einen oder mehrere Nutzer erstellst bleibt dir überlassen.
Persönlich würde ich die trennen und jeden Nutzer auf jener Fritzbox anlegen die für das lokale Netz welches der Benutzer normal benutzt.

 

[hardtech]

Genau, NAS Zugangs-/Benutzerrechte und Netz-/VPN Zugang(srechte) sind verschiedene Paar Schuhe.

danke! das habe ich wohl falsch gedacht. jetzt ist es klar!

Ob du für die VPN Nutzer einen oder mehrere Nutzer erstellst bleibt dir überlassen.
Persönlich würde ich die trennen und jeden Nutzer auf jener Fritzbox anlegen die für das lokale Netz welches der Benutzer normal benutzt.

ich lege noch einen benutzernamen für meinen bruder an, der von aussen seine laptops über syn. drive synchronisiert.

die andere frage kann ich selbst beantworten zu dyndns:
wenn ich ein fritzkonto angelegt habe, vergibt die fritzbox eine myfritz-adresse. diese adresse ist gleichzusetzen mit einer dyndns adresse und hat den zweck, die dauerhafte erreichbarkeit von aussen (aufgrund wechselnder ip-adressen bei neuverbindung der fritzbox) zu gewährleisten. somit muss ich unter internet > freigaben > dyndns NICHTS eintragen.

so richtig?

 

[EDvonSchleck]

Schließe mich der Ausführung von @Fusion an. Jedoch würde es auch reichen Wenn du nur ein Familienkonto für alle anlegst. Wichtig dabei ist eher das diese keine Adminrechte haben um Einstellungen in der FB zu ändern. Das wäre ähnlich wie in einer Gruppe (DS), nur ohne eigenen Namen. Bei mehren Usern hast du es einfacher diese zu kontrollieren bzw. zu loggen.

Warum synchronisiert dein Bruder nicht zu seinen NAS? Wenn ich das richtig verstanden habe seid ihr räumlich weiter getrennt? Ich würde das getrennt halten. Zugriff auf dein Netzwerk hat er trotzdem.

 

[hardtech]

Schließe mich der Ausführung von @Fusion an. Jedoch würde es auch reichen Wenn du nur ein Familienkonto für alle anlegst. Wichtig dabei ist eher das diese keine Adminrechte haben um Einstellungen in der FB zu ändern. Das wäre ähnlich wie in einer Gruppe (DS), nur ohne eigenen Namen. Bei mehren Usern hast du es einfacher diese zu kontrollieren bzw. zu loggen.

dies habe ich nun so gemacht. der 2. user hat keine rechte, änderungen an fritzbox-einstellungen zu machen.

Warum synchronisiert dein Bruder nicht zu seinen NAS? Wenn ich das richtig verstanden habe seid ihr räumlich weiter getrennt? Ich würde das getrennt halten. Zugriff auf dein Netzwerk hat er trotzdem.

mein bruder ist 800km weit weg. die daten der firma und seine eigenen liegen bei mir. ich verwalte es und bin admin. dafür hat er keine zeit/lust.
durch die glasfaser-leitung schränkt ihn der upload kaum ein (er hat kleinere dateien - insgesamt vielleicht 30gb an daten).

ich hatte mal probeweise eine ds216j dort aufgestellt, aber das klappte so nicht, da ich noch keine ahnung hatte mit vpn dort reinzugehen von meinem standort und 2. sind seine daten bei mir dann geschützt (wir hatten schon einbrecher in der firma. wenn die das nas mitnehmen, wäre das nicht so gut).

kann jemand was zu dem thema dyndns sagen, ob ich das richtig verstanden habe?

 

[hardtech]

seltsam:
lege ich einen 2. benutzer an, so lässt sich das häkchen "Zugang auch aus dem Internet erlaubt" nicht aktivieren.

 

[EDvonSchleck]

Damit ist eher die Oberfläche von der FB gemeint.

 

[EDvonSchleck]

Warum soll dein Bruder zu deinen NAS mit VPN verbinden um eventuell Daten auf seinen NAS zu sehen oder zu speichern?
Ich würde das so realisieren das jeder auf seinen NAS bleibt. Ein zugriff auf das andere Netzwerk ist ja jederzeit möglich. Ansonsten würde die Anfrage einer Datei vom Bruder>VPN1>VPN2>NAS2 gehen als direkt Bruder>VPN2>NAS2. Somit geht er bei dir rein und auch wieder raus - was sich auf deine Bandbreite niederschlägt.

 

[Benares]

AVM hat die VPN-Zugänge an "Benutzer" gehängt, was m.E. nicht ganz logisch ist. Eigentlich gewährt man den VPN-Zugänge ja den Geräten. Im kommenden Fritz-OS wird sich das mit Wireguard ja auch ändern. Aber es ist wie es ist.

Momentan braucht man einen Fritzbox-Benutzer pro gleichzeitiger VPN-Verbindung. Wenn du also eine LAN-LAN-Kopplung hast und 2 Personen, die sich per Handy per VPN einwählen können, brauchst du 3 Benutzer. Ansonsten käme Benutzer "Familie" nicht rein, wenn "Familie" über das andere Handy bereits verbunden ist.

 

[hardtech]

interessanter punkt.
aktuell ist nur benutzer 1 da, der vollzugriff hat.
benutzer 2 (mein bruder) wurde angelegt.
idr reicht das an nutzern aus.

bin gespannt, was sich alles mit fritzos 7.50 und wireguard ändert.

 

[hardtech]

@EDvonSchleck

nein, da habe ich mich missverständlich ausgedrückt. die aktuelle konfiguration ist:

ds918+ steht bei mir, angebunden an glasfaser 250/50 über fb 7590.
ds220+ steht bei meiner schwester (ca. 8km luftlinie), angebunden an glasfaser 400/100 über fb 7590 ax.
beide fritzboxen haben einen benutzernamen, aber einen eigene domain-namen, welcher über das fritzkonto automatisch erstellt wurde. es besteht eine site-to-site vpn-verbindung zwischen den fritzboxen.

mein bruder greift von standort 3 (800km entfernt) auf ds918+ zu und synchronisiert mit mehreren laptops über synology drive seinen a) firmenordner und b) seinen privaten ordner. er hat dafür einen eigenen benutzernamen für die nas. für vpn hat er nun auch einen eigenen benutzernamen.
bisher hat er das über quickconnect gemacht. testweise über eine dyndns, die ich über noip.com erstellt habe.

idee der ds220+ ist: sicherung der ds918+
vorteil: ersparnis von manuellem anschließen von usb-datenträgern an ds918+.

ihr habt mir dafür zur einrichtung vpn geraten. das finde ich gut, da es jetzt wunderbar läuft und man keine portweiterleitungen einrichten muss.

aktueller stand:
getestet habe ich nun vpn von aussen über iphone und macbook. klappt einwandfrei!
von innen komme per wlan in beide netzwerke rein. ds918 hat 192.168.82.18 und die ds220 bei schwester hat 192.168.178.20.

noch zu tun:
1. einrichtung vpn-zugriff am 3. standort aller laptops.
2. einrichtung des backups.
3. austausch der 2x 10tb hdds der ds918 gegen ssds. evtl. nur hinzufügen von ssds zu ds918. zweck ist ein leiserer betrieb und weniger "klackern".