QuickConnect vs. Port Forwarding

[malakai]

Hi zusammen,
ich betreibe seit geraumer Zeit eine Synology DS218+. Mittels quickconnect.to schaffe ich es auch immer auf alles außerhalb des heimischen WLANs zuzugreifen. Nach etwas herumspielen heute habe ich festgestellt, dass quickconnect.to auch dann funktioniert, wenn upnp ausgeschaltet ist. Unter den Portfreigaben meiner Fritzbox findet sich nämlich trotzdem eine aktivierte Checkbox "Selbstständige Portfreigaben für dieses Gerät erlauben" (und ich vermute das ist verantwortlich für das Funktionieren von qct). Ich bin nun ein wenig verwirrt, denn ich dachte das dürfte ohne upnp gar nicht gehen. Kann mich jemand ein wenig über die Konnektivität der Synology oder der Fritzbox aufklären?

 

[blurrrr]

Nein, das funktioniert ein wenig anders

Grundsätzlich verhält es sich bei Dir mit Deinem SoHo-Router erstmal so:

1) Alles aus dem lokalen Netz darf ins Internet.
2) Alles was vorher aus dem lokalen Netz ins Internet ging (Anfrage), darf auch wieder rein (Antwort). (Sonst wäre z.B. surfen garnicht erst möglich)
3) Es darf nichts ungefragt von draussen rein

Via Portfreigaben kannst Du nun bestimmte Ports an interne Geräte weiterleiten. Dies sorgt dafür, dass etwas "ungefragt" von aussen nach innen darf (aber nur über diesen einen bestimmten Port und nur an das Weiterleitungsziel). Soviel dazu (als Kurzabriss)...

Bei Quickconnect nehmen beide Teilnehmer erstmal Verbindung zu einem 3. Teilnehmer auf (Quickconnect-Relayserver). Heisst kurzum: Sowohl Initiator (externer PC/Mobilgerät/wasauchimmer) nimmt Kontakt zum Synology-Relay-Server auf. Ist die Funktion auf dem NAS aktiviert, hält das NAS auch dauerhaft eine Verbindung zum Synology-Relay-Server auf. Kurzum handelt es sich dann dabei um 2 "ausgehende" Verbindungen und der Relay-Server vermittelt zwischen den beiden (sofern er nicht beiden irgendwie mitteilen können, dass diese doch gefälligst selbst miteinander reden können).

Mehr dazu findest Du aber hier im passenden Whitepaper: https://global.download.synology.co...All/enu/Synology_QuickConnect_White_Paper.pdf

 

[malakai]

Vielen Dank @blurrrr für die Ausführung und die Verlinkung vom Whitepaper. Mir stellen sich nur noch folgende Fragen:

1. Wie erkenne ich, ob meine Verbindung per "Hole-Punching" oder über den Relay-Server geht (abgesehen davon das der Relay-Server evtl. bedeutend langsamer ist)?
2. Gibt es, vom Einrichtungsaufwand mal abgesehen, irgendwelche relevante technische oder sicherheitsrelevante Vorteile durch die Nutzung von Quickconnect vs. Port Forwarding?

Viele Grüße

 

[NSFH]

Port Forwarding heisst immer, dass die Funktionalität deiner Router-Firewall übersprungen wird. Diese Ports stehen erst mal egal für welches Protokoll direkt ansprechbar im Internet.
Damit kommt der Firewall der Syno eine besondere Bedeutung zu.

Quickconnect ist ätzend langsam, dafür laufen über den Relayserver nur zugelassene Verbindungen. Ob das sicherer ist.....

Die saubere, sicherste Lösung ist immer VPN im Router (nicht über Portweiterleitung schon wieder auf die Syno!). Leider sind die meisten Homerouter nicht sehr performant, was VPN angeht, Fritz schon mal gar nicht, würde ich aber selbst da einem Quickconnect vorziehen.

 

[weyon]

Das Vpn über Fritz langsam ist stimmt ab 7.20 nicht mehr. Mit der 7590 schaffe ich locker den Upload einer VDSL Leitung von 40Mbit. Wie schnell es tatsächlich ist müsste man mal Lan 2 Lan testen, da ja der Upload immer sehr begrenzt ist.

 

[blurrrr]

Port Forwarding heisst immer, dass die Funktionalität deiner Router-Firewall übersprungen wird.

Ist bei QC aber nicht anders, nur muss man da nichts händisch konfigurieren am Router

Verhält sich aber halt so wie NSFH es schon sagte: VPN wäre das Mittel der Wahl (dann ist es auch fast wie direkt Zuhause zu sein). Bevor ich QC ins Boot hole, würde ich eher manuell die Ports am Router freigeben (eben nur das was nötig ist), allerdings - wie schon gesagt - Firewall der Syno wäre dann so ein Thema. Quickconnect nimmt man eigentlich nur, wenn man keine Ahnung hat, einem alles egal ist und man einfach nur will, dass es sofort mit 2-3 Klicks funktioniert

 

[ottosykora]

....oder wenn es zum Bsp keine Möglichkeit für anderen Zugriff gibt


ansonsten ist mir aufgefallen,dass QC heutzutage nicht mehr so extrem langsam ist. Früher ging es wirklich irgendwie über Taiwan, jetzt scheint es viele der Vermittlungsserver zu geben und da verteilt sich wohl die Last.

Klar ist das mit dem Vermittlungsserver etwas merkwürdig für die Sicherheits Gurus.
Aber die halbe Welt braucht Sachen wie Teamviewer, und das verwendet ähnliche Technik. Da beschwert sich auch niemand.
Und wie sollen unsere Smartphones irgendwelche Nachrichten bekommen , so per push, macht ping und Mail oder was auch immer ist da?
Auch so. Vermittlungsserver bei dem sich Phone meldet und damit den Weg zu ihm deponiert.

 

[Synchrotron]

Man sollte QC nicht verteufeln. Ich habe es als Rückfalloption eingerichtet.

Es ist z.B. dann ganz praktisch, wenn ein Hotelnetzwerk mal wieder alle Ports blockiert, die meine VPNs benötigen.

 

[DavidSyn]

Hi zusammen,

vorab, ich plane eine DS220+ zuzulegen.

Habe das ganze Thema der Konnektivität von außen irgendwie noch nicht verstanden. Ich habe gerade ein YouTube Video über QuickConnect und DynDNS von Synology DE angeschaut. Da dachte ich, ok, ich mach das mit QC. Dann kam mir der Gedanke, am besten wäre eine VPN mit der FritzBox 7490, damit ich einen sicheren Tunnel von überall nach Hause habe. Wenn ich das richtig verstanden habe, kann die FritzBox recht einfach VPN.

Wären bei VPN dann QuickConnect und DynDNS unnötig und könnte ich dann auch weiterhin einfach z.B. DS Photo nutzen?

Würde mich freuen, wenn Ihr mir da weiterhelfen könnte.

Vielen Dank!
David

 

[geimist]

Wären bei VPN dann QuickConnect und DynDNS unnötig und könnte ich dann auch weiterhin einfach z.B. DS Photo nutzen?

Ja, du arbeitest wie im lokalen Netzwerk zu Hause.
Das VPN der FritzBox war in der Vergangenheit stark limitiert (~10Mbit/s). Mit Fritz!OS 7.20 ist das aber schon besser geworden.

 

[the other]

Moinsen,
wobei der Vollständigkeit wegen gesagt werden muss, dass DynDNS NICHT unnötig wird. Ich gehe davon aus, dass du KEINE feste externe IP Adresse hast (haben meist nur Firmen/Geschäftskunden). Also wird -egal ob Synology oder andere Anbieter- eine DynDNS weiterhin nötig werden, denn du willst ja von außen auf dein Heimnetz. Auch solltest du dir im Vorfeld Gedanken machen, welche Art von IP du vom Anbieter bekommen hast (IPv4=VPN einfach, DSlight=etwas komplexer).

Viel Erfolg!

 

[Marc]

Um es mal zusammen zu fassen:

Port-Fowarding öffnet einen Port für eingehende Verbindungen auf das Forward-Ziel, um die zugehörige IP raus zu finden brauchst du eine feste IP oder DynDNS. Der Port ist somit für eingehende Verbindungen offen.

QuickConnect stellt eine Verbindung zum Relay her und versucht dann über diese ausgehende Verbindung eine Art eingehende Verbindung virtuell zu ermöglichen. Aus Sicht des Routers ist es eine ausgehende Verbindung, deswegen läufts durch. Es ist aber außer für den Relay Server nichts offen. Wenn die Verbindung über diesen Hole Punching Prozess zu Stande kommt ist sie virtuell für den Verbindungspartner offen, so als hätte er sich direkt verbunden. Das ist zunächst mal besser als Port Forwarding. Funktioniert das aber nicht und das Relay bleibt dazwischen wirds langsam, ggf. könnte das Relay auch noch mitlesen.

Die sauberste Lösung ist ein VPN auf den Router, aber ein richtiges VPN, das auch sicher ist. Dazu brauchst du eine feste IP oder DynDNS.

Eine sehr gute Alternativ ist, OpenVPN als SSLVPN auf der Syno zu starten und den OpenVPN Port per Portforwarding verfügbar zu machen. Einen OpenVPN Port ins Netz zu hängen ist vertretbar. Trotzdem ist natürlich die VPN Variante über den Router aus Sicherheitsaspekten besser. Man sollte drauf achten, dass OpenVPN aktuell gehalten wird. Diese Lösung hat den Vorteil, dass sie eigentlich immer funktionert wenn man Port 443 zur Weiterleitung nutzt. Ansonsten kann es vorkommen, dass IPsec oder anderen Ports in Hotels oder öffentlichen Hotspots blockiert sind und man das VPN nicht aufbauen kann. Port 443 geht immer durch, weil man den ja für Webseiten braucht.

QuickConnect ist mMn nach wie blurrrr schreibt nur was, wenn man es anders nicht kann oder wenn es quick and dirty gehen soll. Mir ist QuickConnect zu viel Black Box, wer weiß was da alles übermittelt wird oder sonst noch dran hängt. Man ist auch vom Hersteller abhängig, der sich theoretisch auch immer dazwischen hängen kann. Wenn gleich es immer noch besser ist als eine generelle Portweiterleitung z.B. auf Port 5000, um so direkt auf das NAS zu kommen. Davon würde ich abraten. Man kann QuickConnect nutzen, das ist aus Kosten- oder Machbarkeitsgründen vertretbar aber besser sind die anderen Varianten.

Generell sollte man wenn möglich Portweiterleitung (dazu zählen auch QuickConnect oder uPnP Weiterleitungen) durch den Router immer vermeiden, weil man damit ein Loch in eine ansonten gute NAT Firewall macht.

 

[DavidSyn]

Vielen Dank für Eure schnellen Antworten. Das ist jetzt leider doch etwas ernüchternd. Die Komplexität scheint für einen Anfänger wie mich doch deutlich wieder zuzunehmen.

Dabei dachte ich, es wäre ganz einfach über FritzBox eine VPN einzurichten, wie hier im Video dargestellt: https://youtu.be/5sa87FFd7wI

Über den Weg wie im Video wird also auch nicht DynDNS überflüssig?

Sonst bleibe ich wohl doch erstmal bei QuickConnect, weil einfacher und zumindest aktuell augenscheinlich ausreichend. Wollte von Anfang an einfach alles möglichst gut aufbauen.

Vielen Dank und viele Grüße!
David

 

[blurrrr]

Das ist weniger kompliziert (vom Verständnis her) als Du denkst...

Im Grunde genommen geht es um folgendes:

Du hast irgendwo ein Haus wo Du wohnst. Zu diesem Haus gehört (logischerweise) auch eine Adresse, da Dich sonst die Post nicht erreicht. Nun ist es aber so, dass Du gerne umziehst (so quasi jeden bis alle paar Tage). Übersetzt heisst das jetzt: Deine Internetverbindung wird vom Provider alle 24 Stunden getrennt und es besteht die Möglichkeit, dass sich Deine externe IP (vom Router, aus dem Internet erreichbar) ändern "kann".

Ich möchte Dir jetzt einen Brief schreiben. Leider weiss ich nicht wo Du wohnst. Das kannst Du mir natürlich sagen und ich schicke den Brief ab, der erreicht Dich auch. Möchte ich Dir allerdings in einer Woche einen Brief schreiben, so muss ich (logischerweise) erstmal wieder bei Dir nachfragen, wo Du denn jetzt überhaupt wohnst. Es ist also eine Frage der Informationsübermittlung bzw. der Informationsaktualität.

Weil ich Dich jetzt ein paar mal die Woche anrufe, um Dich nach der Adresse zu fragen, bist Du total genervt und buchst Dir ein virtuelle Adresse (bei einem großen Anbieter), welcher Dir eine "feste Adresse" zukommen lässt. Der Anbieter leitet Dir dann automatisch die ganze Post um, welche an diese gebuchte Adresse kommt. Somit muss ich Dich nicht ständig anrufen, um nach der Adresse zu fragen, sondern schicke die Post einfach an die gebuchte Adresse und der dortige Anbieter leitet die Post einfach immer an Deine aktuelle Adresse (diese teilst Du dem Anbieter bei jedem Umzug einfach wieder mit). Somit ist es egal, wo auf der Welt Du grade wohnst, Deine Post geht zu diesem Anbieter und dem sagst Du immer wo Du grade wohnst.

Selbiges ist es mit DynDNS.

Du buchst Dir dort eine Adresse, z.B. "davidsyn".synology.me. Das ist jetzt Deine - bei einem Anbieter gebuchte - "feste" Adresse. Nun hatten wir ja die Thematik, dass Du diesem Anbieter nun immer Bescheid geben musst (wenn sich Deine öffentlich erreichbare IP-Adresse ändert (Dein aktueller Wohnsitz)). Glücklicherweise musst Du das jetzt nicht immer händisch machen. Die Synology hat in der Systemsteuerung extra eine Funktion dafür, welche nach Deiner "aktuellen" öffentlichen IP schaut und diese an diesen entsprechenden Dienst (z.B. synology.me) übermittelt). Somit ist gewährleistet (ggf. mit 5 Minuten Verzögerung), dass wenn Du eine neue öffentliche IP bekommst (z.B. nach der 24-Stunden-Internet-Zwangstrennung des Providers) Deine aktuelle IP an den Dienst übermittelt wird.

Somit zeigt davidsyn.synology.me immer auf Deine "aktuelle" öffentliche IP-Adresse Deines Routers.

Soviel zum Thema DynDNS...

 

[blurrrr]

Zum Thema VPN.... Du kennst doch bestimmt (aus Deiner Kindheit, von Deinen Kindern, oder einfach nur so)... diese "Krabbeltunnel" aus Stoff? Ungefähr so verhält es sich mit dem VPN. Hört sich komisch an, ist aber so... ?

Stell Dir vor, Du bist grade in einem Hotel auf Deinem Zimmer und Du könntest jetzt so einen Krabbeltunnel (uneinsehbar für andere) von Deinem Bett bis direkt in Dein Haus legen. Das ist VPN. In "Geräten" gesprochen bedeutet das, dass Du z.B. vom Laptop (oder Handy) aus einen Tunnel bis "auf" Deinen Router aufbaust. Alles in diesem Tunnel ist verschlüsselt und von extern nicht einsehbar. In diesen Tunnel kann also nur Dein eingewähltes Gerät (Laptop/Handy), mit welchem Du die Verbindung aufgebaut hast und am anderen Ende kommst Du in Dein gesamtes Haus (anderes Ende des Tunnels wurde quasi mit Deiner Haustür verbunden) bzw. eben Dein gesamtes privates Netzwerk Zuhause.

So, hoffe das war einigermaßen verständlich, nicht zu bildlich und vor allem nicht zu verwirrend ?

 

[DavidSyn]

@blurrrr, ganz herzlichen Dank. Das nenne ich mal eine Erklärung für Doofe (positiv gemeint).

Haben nun DynDNS und VPN verstanden. Zumindest vom Prinzip her.

Habe ich es richtig verstanden, dass ich eine VPN nur mit DynDNS aufbauen kann?
Also auch wenn ich die VPN so wie im YouTube Video von AVM einrichte? Dazu haben sie nämlich nichts gesagt?
Heißt das im Umkehrschluss, dass mit QuickConnect keine VPN möglich ist?

Use Cases sind:
- Zugriff von Mobiltelefonen (mehrerer in der Familie auf die DS220+)
- Ggf. Zugriff auf lokal betriebenes SmartHome System.

Was wäre Eure Empfehlung.

Vielen Dank!
David

 

[blurrrr]

Also, DynDNS hat mit VPN grundsätzlich erstmal garnichts zu tun. VPN ist eben diese Tunnel-Technologie, DynDNS nur die Möglichkeit einen festen Ansprechpunkt zu haben, bei wechselnder Zieladresse. Damit Du jetzt aber eben nicht hingehen musst und ständig nachschauen musst, welche öffentliche IP Deine Fritzbox derzeit hat, kommt eben diese feste DynDNS-Adresse zum Einsatz.

Was das VPN über Quickconnect angeht, so ist das nicht möglich (Synology bietet aber eben auch diesen DynDNS-Dienst "synology.me" an).

Deine beiden Use-Cases sind relativ einfach, da beide gleiches bedingen: Clienteinwahl ins heimische Netzwerk via VPN. Das wäre die "sichere" Variante, da nichts von aussen "einfach so" erreichbar ist, ausser der VPN-Dienst. Nachteil (oder Vorteil, je nachdem) daran ist, dass die eingewählten Clients grundsätzlich alle Systeme im heimischen Netz ansprechen könnten. Für "Dich" bedeutet das, dass Du alles (NAS, Fritzbox, Smarthome-Steuerung, sonstige Dinge im Heimnetz) durch den VPN-Tunnel ansprechen kannst. Für "andere" bedeutet es ... genau das gleiche.

Wenn Du es jetzt wieder mit dem "Haus" vergleichst, wäre es so, als würdest Du allen VPN-Teilnehmern Deinen Haustürschlüssel in die Hand drücken. Wenn es alles nur - im gleichen Haus/in der gleichen Wohnung wohnhafte - Familienmitglieder sind, so stellt das sicherlich kein Problem dar. Handelt es sich aber auch teils um "externe" (also nicht dort wohnhafte), welche dann auch nur teilweise auf bestimmte Dienste zugreifen können sollen, wäre VPN mitunter evtl. nicht das richtige (für die externen, für Dich wäre es auf jeden Fall die richtige Wahl).

Du hättest grundsätzlich 2 Möglichkeiten:

Variante a) VPN für alle (mit o.g. Vor-/Nachteilen)
Variante b) VPN "nur" für "Dich. Was an sonstigen Diensten freigegeben werden soll (z.B. Website mit Bildern auf dem NAS, z.B. Synology Photostation), könnte auch über eine Weiterleitung auf dem Router durchgeführt werden. Nachteil an der Sache ist, dass der Rest der Welt da halt auch entsprechend dran kann. Alternativ wird sowas noch mit einem Passwortschutz/Login versehen, was "fremde" Personen ohne Login vorerst auch draussen hält.

Alternativ kannst Du für Dich z.B. auch das VPN nutzen (und hast somit "alles" im Zugriff, z.B. auch die Smarthome-Steuerung) und der Einfachheit halber weiterhin Quickconnect für Familienmitglieder nutzen, damit diese auf den ein oder anderen Dienst von extern zugreifen können, ohne, dass Du am Router rumfummeln musst dafür. Die eine Technologie schliesst eben nicht automatisch die andere aus.

 

[the other]

Moinsen,
blurrr und Marc haben es absolut spitze erklärt, sollte vielleicht mal gepinnt werden im VPN Bereich, denn die beiden haben Dank deiner Frage die wesentlichen Dinge von VPN dargestellt.
Zu deinem Video (das ich mir auch nicht angesehen habe) und deiner Frage: AVM bietet einen "eigenen" DynDNS Dienst, heißt my.fritz oder so ähnlich. Damit vergibt quasi AVM eine feste Adresse, unter der du dich dann (analog DynDNS) von Extern auf den Router wählst, eben auch, wenn du den VPN Tunnel auf den Router lenkst (so wie Marc als best practice ja beschrieben hat). Nachteil aus meiner Sicht: AVM vergibt kryptisch lange Namen, die sich keiner merken kann und eine Qual sind abzutippen. Wenn du einen kostenlosen DynDNS Dienst nimmst, dann kannst du dir meist deinen "Namen" aussuchen und die Adresse wird dadurch kürzer und einfacher zu merken...
Vielleicht erwähnt AVM deshalb keinen weiteren DynDNS Dienst...
Und jetzt ran ans Werk, wie blurrr ja meinte, für deine Anforderungen ist VPN genau richtig...viel Spass und Erfolg!

 

[DavidSyn]

Nochmal vielen Dank Euch allen für die tollen Antworten. Klasse wie sehr auch auf Fragen von blutigen Anfängern eingegangen wird.

Ich muss jetzt erstmal die DS220+ und Festplatten bestellen, dann gehe ich zur Einrichtung. Wollte vorab eben schon einmal checken, was geht und was nicht.

Also werde ich aber versuchen, die VPN einzurichten.

Ich müsste auch nochmal zu Hause schauen, welche IP ich zu Hause habe (IPv4, IPv6, DSlite). Hatte ich es noch richtig verstanden, dass bei DynDNS es da Probleme geben könnte, wenn z.B. mein iPhone IPv4 hat und mein Anschluss Zuhause IPv6?

Und ich habe verstanden, dass wenn ich eine VPN einrichtet habe und ich die Fotos vom iPhone über DSPhoto auf die DS220+ spielen möchte, ich dann die VPN am iPhone explizit aktivieren muss? Oder ist das irgendwie bei DSPhoto irrelevant?

Viele Grüße und ich werde mich mal zurückmelden, wenn ich alles in Betrieb habe.

Nochmals vielen Dank!
David

 

[the other]

Moinsen,
besorg dir dein NAS, schau, was dir dein Internet Service Provider für einen Anschluss geschaltet hat, dann gerne wieder fragen...

Du musst den VPN Zugang unabhängig von der PhotoAPP starten...denk an das schöne Bild von blurrr: erst den Krabbeltunnel einrichten von Quelle zum Ziel, dann Zeug durch schicken.
Bevor die die Schwierigkeiten mit DSlite angehen, erst mal schauen, vielleicht ist ja alles ganz easy bei dir...
Bis dahin schönes Arbeiten am neuen NAS!