Portweiterleitung bei VPN Server und Windows Dateiserver fehlgeschlagen

[designiac]

Ich habe schon mehrfach alle Portweiterleitungen wieder neu komplett gemacht.
Aber irgendwie bekomme ich bei VPN Server und Windows Dateiserver immer die Meldung "fehlgeschlagen".

Ich habe jetzt sehr lange probiert und recherchiert, aber finde den Fehler nicht.









NAS: Synology DS216
DSM: 6.1-15047 (aktuellste Version)
Router: Fritz!Box 3490

 

[heavy]

ÄHHH du willst per windows freigabe übers internet auf deine DS zugreifen, ebenso per Mac Freigabe? Und hast auch noch einen öffentlichen DNS Server der bei der Denic registriert ist? Und dann trotzdem VPN trotz all der freigaben. Überleg dir was du wirklich willst, dann schalte UPNP ab und trage alles von hand in der Fritzbox ein. Denn bei so einem offenen Scheunen tor haben auch alle Trojaner leichtes spiel.

 

[designiac]

Ich bin gerade erst paar Tage dabei und da muss ich erst einmal gucken, was für mich und meine Benutzer die beste Möglichkeit ist.
Ich wollte das erst einmal alles läuft und kann dann ja noch Quell-IPs festlegen und so.

Ich musste gerade erst lernen, wie bei Quickconnect gedrosselt wird und muss nun daher mich plötzlich mit den Portweiterleitungen beschäftigen. Daher habe ich WebDAV und VPN ausprobiert. Würde mich dann wohl aber auf VPN beschränken.


Was ich will:

1. Ich will mit meinem MacBook Pro von überall via VPN zugreifen können. Sowohl auf das NAS, als auch auf andere Geräte hier im Netzwerk.

2. Freunde und Familie soll ebenfalls über VPN mit ihren verschiedenen Betriebsystemen von überall Zugriff haben.

3. Durch Apps und synology.me sollen alle Benutzer auf Desktop + File Station, Audio Station, Video Station, Photo Station zugreifen können.

4. dann benutze ich noch Cloud Station, JDownloader 2, iTunes Server, in Kürze auch Web Station (Wordpress)


Was ist dafür nötig?

...und noch ne Noob-Frage: Wenn VPN Ports nach draußen gehen, brauche ich dann noch Ports für Windows- und Mac-Dateiserver nach draußen?

 

[heavy]

Ok dann will ich dir ein bisschen helfen. (vielleicht verstehst du dann auch meinen zünischen Kommentar)
1. Ist legetim und machbar. Dazu muss geklärt sein über welches Protokoll du gehen willst (PPTP, l2tp/ipsec, openVpn) denn danach entscheiden sich die Ports die offen sein müssen. PPTP ist dabei das Unsicherste (da faktisch geknackt) openvpn ist das "aufwändigste zum Konfigurieren. Ich benutze l2tp/ipsec wobei da im Moment aucg mein Laptop nicht will und sich nur das Handy einloggen kann.
2. Bedenke dass ein VPN in etwa (nicht ganz, da nicht alle Funktionen auch über ein VPN gehen) so ist als ob man sich bei dir im Netzwerk befindet. Also habe dann auch deine Freunde eventuell zugriff auf deinen Fernseher/Drucker/sonstiges. Sollten deine Freunde illegale Downloads machen oder sonstiges in der Richtung so lange sie per VPN mit dir verbunden sind, dann klopft die Staatsanwaltschaft/Polizei erstmal bei dir und du musst dann nachweißen dass es dein Freund war und nicht du.
3. Warum sollen sie auf das DSM kommen können (wenn du mit Desktop das DSM meinst)? Du kannst alle Stations auch einzeln zugänglich machen. Das dann sogar auch über unterschiedliche Ports.
4. Bei Jdownloader pass auf dass du ihn richtig konfigurierst sonst kann es passieren dass du nicht mehr auf deine DS kommst, da er dir die Systempartition vollgeschrieben hat anstatt deine Datenpartition und dann bleibt (solltest du auch per ssh nicht mehr auf die DS kommen) nur noch das komplette plattmachen der DS und von vorne anfangen.

Noobfrage,
mal abgesehen davon dass es nach meinem Wissen eh nicht geht eine Windowsfreigabe übers internet aufzubauen brauchst du nur die VPN Ports. Denn nach einem erfolgreichen aufbau der VPN verbindung befindest du dich ja in deinem Netzwerk hinter dem Router somit greift dann gar keine Portfreigabe im Router mehr (denn den hast du ja umgangen)

Generell gilt: eine Portfreigabe im Router ist dafür da dass man von außen direkt auf das Gerät kommt. Also die erste Aktion aus dem Internet kommt. Wenn ich dich in deinem Zimmer daheim besuchen will dann muss ich dafür deine Adresse kennen und die Haustüre offen stehen. (Portfreigabe; aktion geht von mir aus) Wenn dagegen du mich zu dir einlädst, dann wartest du ja eventuell an der Einganstür und erklärst mir vorher wie ich zu dir finde (Normale aktion, du rufst eine Seite auf, die Antwort Daten finden dann den weg zu dir da du den ja vorher dem Server mitgeteilt hast.)

Nochmal Portfreigaben nur für die Dienste die direkt aus dem Internet erreichbar sein sollen, nicht für die die aufs internet zugreifen sollen. Das ist dann eher was für die Firewall. Deshalb hat BT, DNS, Dateidienste (egal ob win oder mac) nichts in den Portfreigaben der fritzbox zu suchen.

 

[designiac]

Ich hatte irgendwo eine Empfehlung für L2TP/IPsec gelesen und dann dafür entschieden.

Die VPN Verbindungsdaten gebe ich nur Leuten, denen ich vertraue, z.B. meine Schwester (die im Ausland wohnt und auch ab und zu mal eine deutsche IP für Video Streaming braucht).
…und ich dachte Datei-Austausch mit Freunden wäre einfacher für die über VPN im Finder /Explorer als über File Station. Andererseits könnten die das ja auch über WebDAV machen, denke ich mir gerade.

Ja, mit „Desktop“ meinte ich DSM.
Ich dachte es wäre benutzerfreundlicher, wenn die sich einmal an der DSM anmelden und dann auf die Apps (Pakete) klicken können.
Bei einer Person werde ich (jetzt nach Überlegung) auf jeden Fall nur die Audio Station zugänglich machen. Mit den anderen muss ich mir das mit DSM überlegen…
Danke für den Denkanstoß.

Uli, das mit dem JDownloader ist ja krasses Szenario!
Aber das sieht zum Glück alles gut aus.

Ok, danke fürs erklären

Dann nehme ich gleich mal paar Port-Freigaben raus.

 

[designiac]

Ich weiß jetzt auch, warum VPN über die Synology fehl schlug: Ich hatte zuerst VPN über die FritzBox realisiert. Dann dachte ich, es doch über die Synology zu machen und vergaß es bei der FritzBox wieder rauszunehmen.

Jetzt habe ich beschlossen VPN über FritzBox zu realisieren, weil die ist auf jeden Fall ja immer an. Jedenfalls sehe ich keinen Vorteil bzw. Unterschied, wenn ich es über die Synology mache...

Portfreigaben habe ich jetzt einen Bruchteil von dem vorigen... meine Sachen für meine festen IPs und nur 4-5 für Freunde (auch noch mit Region der IP-Quelle)... und überhaupt ist jetzt das Verständnis für alles größer und habe mehr Überblick.

VIELEN DANK, heavy!

Ich hoffe, ich kann auch mal was an die Community zurückgeben. Ich meine, mein Verständnis und Erfahrung vergrößern und jemanden anderes später damit helfen.