unterwegs auf das Synology zugreifen (VPN) - Synology ins Netzwerk einbinden - IPv6

[OneCreek]

Hallo zusammen, (ich hoffe es ist im richtigen Subforum gelandet, ansonsten gerne verschieben)

habe seit einiger Zeit ein Synology215j (Standort A), KabelBW mit IPv6 ds-lite und FRITZ!Box 6360 Cable.

Jetzt würde ich gerne von unterwegs und alternativ (falls überall unterwegs zu komplex werden würde) nur von meinen Eltern aus (1&1 Internet, IPv4 und IPv6 DualStack, Fritzbox 7272) eine Verbindung zum Synology aufbauen.
Hätte eigentlich auch gerne eine Owncloud oder WebDAV eingerichtet, am besten von unterwegs zu erreichen. Da wäre wohl ein VPN-Server auf der Synology auch die sicherste Lösung...

Folgende Überlegungen wurden getätigt:

Im Idealfall:

• VPN-Server auf Synology (A) einrichten, dann am Rechner (B) / Handy (C) den VPN-Client entsprechend einrichten.
• Alternative (mit der Einschränkung, dass von Mobil (C) keine Verbindung hergestellt werden kann, da mein Provider O2 kein IPv6 anbietet), auf der Fritzbox meiner Eltern (B) oder auf meinem Laptop bei meinen Eltern (B) einen VPN-Server einrichten und dann vom Synology (A) auf den VPN-Server bei (B) verbinden.
• War sogar am überlegen mir bei meinen Eltern noch ein zweites Synology (oder zumindest zum Testen mal Xpenology) oder auf meinem alten Rechner FreeNAS zu installieren. Aber vor dem finanziellen/zeitlichen Aufwand wollte ich erst noch Abstand nehmen.

Probleme soweit sind:

• nicht überall (Handynetz) ist IPv6 verfügbar (wobei sich das evtl. auch mit SixX lösen lassen könnte - auch wenn die anscheinend mit den Accounts sehr "geizig" sind)
• auch meine IPv6 bei KabelBW (A) ändert sich regelmäßig. Ich bräuchte also einen DynDNS der damit klarkommt und auch in den VPN-Client Einstellungen muss dies möglich sein (keine feste IP sondern eine Domain muss hinterlegbar sein)
• die Fritzbox von KabelBW (A) kann evtl. nicht im ausreichenden Maße Ports durchschleusen zur Synology - ich weiß das dies bei IPv6 eigentlich nicht mehr nötig sein sollte, aber (im Gegensatz zur Fritzbox bei meinen Eltern) kann auch bei IPv6 keine vollständige Ausnahme gemacht werden beim Zugriff von außen und durchgeschleust werden

Jetzt meine Frage: Wie habt ihr das gelöst falls ihr vor einer ähnlichen Situation steht/standet bzw. was würdet ihr empfehlen?! Welchen VPN (Open oder L2TP ist besser geeignet? Habe gehört es ist grundsätzlich L2TP unkomplizierter (wegen weniger Ports)?

Vielen vielen Dank schon vorab!
Michael

 

[whitbread]

Ich halte per se nix von der Nutzung eines VPN-Servers auf der NAS.
VPN gehört auf den Router. Einzige Ausnahme wäre, dass die NAS quasi als Router genutzt wird.
Ob Du dann L2TP/IPSEC, OVPN oder SSTP nutzt ist imho Geschmackssache bzw. abhängig von den genutzten Clients...

 

[OneCreek]

Erst mal danke für die Antwort.
Hätte ich auch kein Problem damit.
Sowohl mit der Option das das NAS (A) zu dem Router meiner Eltern (B) verbindet, als auch das ich mit meinem Laptop/Handy auf den Router meiner Wohnung/WG (A) verbinde.
Problem dabei: beide Router sind Fritzboxen, wobei die in der WG (A) mit der FRITZ!Box 6360 Cable nicht mal die Möglichkeit hat einen VPN einzurichten (Beschnitten von KabelBW) und die bei meinen Eltern (B) 7272 die ganz normale AVM-VPNs zulässt, was ja auch nicht ohne AVM-Client (also nicht von der Synology) angesprochen/verbunden werden kann... Oder bin ich hier falsch informiert?... Und klar, neuen Router kaufen schön und gut, aber ziemlich viele Sachen sind zumindest bei meinen Eltern (B) darauf abgestimmt und laufen zuverlässig. Beim Kabelrouter von KabelBW (A) weil ich garnicht ob man so einfach einen "freien" anschließen kann, ganz abgesehen mit den zusätzlichen Kosten...

Deshalb auch die ganzen anderen Überlegungen/Alternativgedanken...:/

 

[tomtom00]

Also ich habe eine ähnliche Infrastruktur wie du.
Bei meinen Eltern (Unitymedia mit DualStack-Lite) steht die DS. Ich selber habe 1&1 DualStack.

Ich sehe es eigentich wie whitbread, dass das VPN auf den Router gehört und nicht auf das NAS.
Aber ich hab in diesem Fall für mich (erstmal) keine andere Alternative gesehen, als den VPN Server der Diskstation zu nutzen. Zum Glück ist die auf der DS installierte Version von OpenVPN nun auch IPv6 fähig.
Ich kann also ohne Probleme von meinem 1&1 Anschluss eine OpenVPN-Verbindung zu der DS meiner Eltern aufbauen. Das geht von jedem IPv6-fähigem Anschluss.

-> Eventuell wäre hier der neue Router von Synology eine Option, sofern die VPN Version die gleiche ist die auch auf der DS installiert ist.

P.S. Als DynDNS bei Unitymedia (denke KabelBW wird genauso sein) kann man wunderbar den Dienst Myfritz von AVM nutzen. Dieser unterstützt auch IPv6! Danach einfach einen CNAME Eintrag auf eine Domain. Fertig.
Hier im Forum gibt es auch einen Bereich für den DDNS-Updater. Dieser unterstützt mittlerweile wohl auch IPv6 bzw. DS-Lite. Aber ausprobiert habe ichd as ganze noch nicht.

 

[OneCreek]

Auch dir Danke tomtom00!

Wie hast du denn die Ports geforwarded?

Fritzbox meiner Eltern:

Hier gibt es den tollen Reiter IPv6...

Jedoch nicht bei der beschnittenen Box von KabelBW/Unitymedia: (laut ...avm.de/.../fritzbox-6360-cable/.../845_IPv6-Freigaben... sollte es ja möglich sein!! :/


Jedoch meinst du ja, dass es über den Dienst Myfritz von AVM auch geht?!
Dann müsste es doch gehen so wie ich es bei mir in MyFRITZ!-Freigaben hinterlegt hab. Und als Servername des VPN-Servers kann ich "UDPsynology215j.myXXXX.myfritz.net" angebeben? Leider funktioniert das nicht... Ist der CNAME Eintrag notwendig? Falls ja, warum?
Bin mir nicht sicher, ob es daran liegt, dass die IPv6 Fritzbox von KabelBW keine IPv6 Ports forwarden kann... In welchem Reiter hast du die Ports freigegeben? oder generell die Synology komplett (ich vermute das zweite Fenster meiner Fritzbox 7272 und hier die nötigen Ports?)
Hast du in deiner Synology unter Netzwerk/Lan/IPv6 "Automatisch" ausgewählt? Vergibt dann die Fritzbox die "unter"-IPv6 an das NAS?
Also nochmal^^ sry^^ lässt du alle Ports komplett durch zur Synology und addressierst dadurch ohne Probleme die Synology direkt? Oder sprichst du als VPN-Server doch wieder wie bei IPv4 erst mal die Fritzbox als Router an und leitest die Ports weiter?... Ich hoffe meine Frage wird einigermaßen klar :/ Schon mal danke für die Infos!!

PS: wie kann ich die Bilder optional "ausklappbar" machen hier im Forum?

 

[OneCreek]

So, das mit der Freigabe läuft inzwischen...

tomtom00, kannst du mir bitte weiterhelfen wie du es geschafft hast die VPN Verbindung mit OpenVPN zu realisieren?

Zum Glück ist die auf der DS installierte Version von OpenVPN nun auch IPv6 fähig.

Was hast du bei der Synology unter Systemsteuerung/Netzwerk/Netzwerk-Schnittstelle/LAN/IPv6 eingestellt? Automatisch?
Wie vergibts du dann in der Synology im VPN-Server in den OpenVPN-Einstellungen unter "IPv6-Servermodus aktivieren" (ich nehme an das ist aktiviert?) das Präfix?
geht ja auch ein wenig in die Thematik aus 2014: http://www.synology-forum.de/showthread.html?41048-VPN-Verbindung-zwischen-UnityMedia-IPv6-und-IPv4&p=487308&viewfull=1#post487308

P.S. Als DynDNS bei Unitymedia (denke KabelBW wird genauso sein) kann man wunderbar den Dienst Myfritz von AVM nutzen. Dieser unterstützt auch IPv6! Danach einfach einen CNAME Eintrag auf eine Domain. Fertig.
Hier im Forum gibt es auch einen Bereich für den DDNS-Updater. Dieser unterstützt mittlerweile wohl auch IPv6 bzw. DS-Lite. Aber ausprobiert habe ichd as ganze noch nicht.

Eine Frage hierzu: Ist der CNAME Eintrag auf eine Domain notwendig? Wozu bzw warum reicht nicht die MyFritz Adresse?

 

[tomtom00]

Sorry, ich war im Urlaub und hab es schlicht vergessen zu antworten.
Also zunächst würde ich an deiner Stelle erstmal alle Freigaben die irgendwas mit deiner DS zutun haben löschen und die FritzBox einmal neustarten.

Meine Netzwerkeinstellung der DS unter IPv6 sieht so aus:


Die Einstellungen im OpenVPN Server der DS sehen so aus:


Danach gehst du in die FritzBox (ich setze jetzt mal ein aktiviertes MyFritz voraus).
Als Anmerkung hier noch: Ich habe unter "Freigaben" auch noch einen Tab "IPv6" dort stehen.

Wie dem auch sei, zunächst unter "Freigaben" auf "MyFritz-Freigaben" und dort eine neue nach folgendem Muster erstellen (in meinem Beispiel Port 6690 für die CloudStation):


Danach kann ich unter dem Reiter "IPv6" folgendes sehen:


Das wurde automatisch durch die MyFritz-Freigabe angelegt.
Wenn ich nun aber weitere Ports für die DS öffnen möchte, z.B. für OpenVPN kann ich das dort direkt erledigen. Das sieht dann so aus:


Wichtig hierbei ist bzw. war das ich wirklich zuerst keine Freigaben für das Gerät (also die DS) angelegt habe und ich, bevor ich die IPv6 Freigaben einrichte, den Weg über die MyFritz-Freigabe zuerst gehe.
Ich schlage dir generell vor, erstmal die Portfreigabe mit einem anderen Dienst z.B. der CloudStation oder FileStation o.ä. zu probieren. Wenn du dann weißt wie das geht kannst du dich ja OpenVPN widmen.

Zu deiner Frage mit dem CNAME. Nein, das brauchst du nicht. Du kannst auch ganz normal die MyFritz-Adresseort benutzen. CNAME hat den Vorteil das du eben eine kurze Adresse hast. Also z.B. in meinem Fall DS.meineDomain.de:6690 Das ist für mich einfacher zu merken als die MyFritz-Adresse


//edit: Ich überlege gerade, dass man trotzdem noch irgendetwas manuell an der OpenVPN Config über die Console ändern musste. Bin mir gerade aber nicht so sicher. Das könnte ich dir erst nächste Woche sagen wenn ich am Standort der DS bin und dort Zugriff auf die Ebene habe.

 

[OneCreek]

Hallo toomtom00,

erst mal vielen Dank. Besser später als garnicht! Sonst würde ich wohl immer noch verzweifeln.
Was ich leider immer noch tue und sogar beim ersten Schritt (irgendwann hatte ich es schon mal ausprobiert vor einigen Wochen und ich glaube mich zu erinnern, dass es funktioniert hat damals).
Momentan bekomme ich aber ums verre... kein Präfix, was ja beim OpenVPN-Server mit IPv6 Voraussetzung ist.
In der Netzwerk-Schnittstelle LAN müsste alles passen - da kann ma ja nicht wirklich viel auswählen:

Kann es sein, dass ich in den FritzBox Einstellungen noch was anpassen muss?

Wobei ich hier auch schon Optionen 1, 2 und 3 mit diversen Neustarts ausprobiert habe...
Irgend eine Idee an was es liegen könnte?!

PS: der Tipp mit dem Anlegen der IPv6 Freigabe über die MyFritz-Freigabe ist interessant/gut. Hoffe ich komme soweit und kann es bald ausprobieren

 

[tomtom00]

Also in der Fritzbox in den Netzwerkeinstellugen habe ich die Option:
Präferenz des FRITZ!Box DHCPv6-Servers
auf 0 gesetzt.

Die Einstellungen für die IPv6-Adressen habe ich wie du!

Wenn du in der Synology das IPv6-Setup auf "Automatisch" setzt, bekommst du dann ein Präfix in dem OpenVPN Server zum Auswählen?
Ich glaube ich habe das damals so gemacht, und als ich das Prefix hatte habe ich auf DHCPv6 umgestellt und das Prefix ist im OpenVPN-Server geblieben. Da bin ich mir gerade aber etwas unsicher, ist schon etwas her

 

[tomtom00]

Und konntest du es schon testen?
Was mir gerade noch eingefallen ist: Du hast mal geschrieben, dass du den Reiter "IPv6-Freigaben" gar nicht erst siehst richtig?
Falls du es wirklich nicht siehst, welche Ansicht hast du in der FritzBox aktiv? Die Experten-Sicht?

 

[OneCreek]

ganz kurz vorab: es funktioniert jetzt! Deshalb: vielen vielen Dank dir!

Zu deinen Posts kurz:

Wenn du in der Synology das IPv6-Setup auf "Automatisch" setzt, bekommst du dann ein Präfix in dem OpenVPN Server zum Auswählen? Ich glaube ich habe das damals so gemacht, und als ich das Prefix hatte habe ich auf DHCPv6 umgestellt und das Prefix ist im OpenVPN-Server geblieben.

So hab ich es das erste mal (vor längerer Zeit) auch gemacht gehabt und so hatte es auch funktioniert. Dann die ganze Zeit lang nicht und jetzt hat es plötzlich wieder geklappt. Könnte mir denken das es evtl. was mit dem DHCPv6 zu tun hatte (Fritzbox und Synology Konflikt evtl...).

Präferenz des FRITZ!Box DHCPv6-Servers auf 0 gesetzt.

Das Präfix ist bei mir (es funktioniert) auf 255. Also scheint das nicht so entscheidend zu sein^^

Was mir gerade noch eingefallen ist: Du hast mal geschrieben, dass du den Reiter "IPv6-Freigaben" gar nicht erst siehst richtig? Falls du es wirklich nicht siehst, welche Ansicht hast du in der FritzBox aktiv? Die Experten-Sicht?

Ja, das war mein Fehler... war noch voll auf das alte Menü wo man unter System und Ansicht auf Expertenansicht umstellt und nicht unten am "Rand" im allgemeinen Menü. Dachte es liegt (weil eh schon so viel beschnitten wird vom Funktionsumfang her bei den Kabelanbietern, an dem KabelBW Branding Hat mir glaub ich mindestens nen Tag gedauert an denen ich versucht hab es irgendwie doch hinzukiegen (hidden Menu und so) bis ich dann wie vom Baum erschlagen da unten den Eintrag gesehen hab

P.S. Als DynDNS bei Unitymedia (denke KabelBW wird genauso sein) kann man wunderbar den Dienst Myfritz von AVM nutzen. Dieser unterstützt auch IPv6! Danach einfach einen CNAME Eintrag auf eine Domain. Fertig.
Hier im Forum gibt es auch einen Bereich für den DDNS-Updater. Dieser unterstützt mittlerweile wohl auch IPv6 bzw. DS-Lite. Aber ausprobiert habe ichd as ganze noch nicht.

Das habe ich mal kurz probiert, aber irgendwie gings nicht... evtl. weil die FritzBox nichts durchlässt durch die interne Firewall zur Synology IPv6 - außer über die MyFritz Adresse mit dem freigegebenen Port.

Eine letzte Hürde war dann (was auch wieder ein wenig Zeit, Geduld und probieren gekostet hat) OpenVPN zu "zwingen" zur IPv6 DynDNS zu verbinden. Irgendwann hab ich festgestellt das die Version (wahrscheinlich von ner weniger gepflegten Seite geladen) nicht die aktuelle ist; mit der hats dann auf Anhieb funktioniert

Mit dem VPN kann ich jetzt zwar nur über die lokale IP und irgendwie nicht über den Netzwerknamen auf das Synology als Netzwerklaufwerk zugreifen, k.A., aber damit kann ich erst mal leben.
Der Client für Android bietet hier lokal alles auch über den VPN routen als Option die man soweit ich gesehen hab bei der Windows-Version nur über eine Kommandozeile verwirklichen kann, wie auch immer... vllt. liegts auch garnicht daran...

Jetzt muss ich nur noch irgendwie Sixxs überzeugen (nachdem sie es schon mal abgelehnt haben...) das ich nen Tunnel für mein Handy brauche um ne IPv6 zu bekommen um auch mobil den VPN nutzen zu können.

Hast du Erfahrung mit einem der letzten Punkte?

PS: falls hier n Admin mitliest, wie kann ich denn die Bilder in den alten Posts ändern nachträglich, würde gerne noch was anonymisieren... nur leider kann ich dem Admin dieses Bereichs keine PN schreiben...

 

[OneCreek]

Wenn du in der Synology das IPv6-Setup auf "Automatisch" setzt, bekommst du dann ein Präfix in dem OpenVPN Server zum Auswählen?
Ich glaube ich habe das damals so gemacht, und als ich das Prefix hatte habe ich auf DHCPv6 umgestellt und das Prefix ist im OpenVPN-Server geblieben. Da bin ich mir gerade aber etwas unsicher, ist schon etwas her

Und weil es gerade so lustig ist und ich soo viel Zeit habe (Ironie - wohl eher die Neugierde...) habe ich mal wieder kurz auf Automatisch gewechselt; mit dem Ergebnis, dass ich nachdem ich zu DHCPv6 zurück geschaltet habe, wieder kein Präfix im OpenVPN-Server habe bzw. die App sagt, ich soll ein neues, gültiges auswählen (aber keins zum auswählen angeboten wird...). Arggg....

 

[OneCreek]

Und weil es gerade so lustig ist und ich soo viel Zeit habe (Ironie - wohl eher die Neugierde...) habe ich mal wieder kurz auf Automatisch gewechselt; mit dem Ergebnis, dass ich nachdem ich zu DHCPv6 zurück geschaltet habe, wieder kein Präfix im OpenVPN-Server habe bzw. die App sagt, ich soll ein neues, gültiges auswählen (aber keins zum auswählen angeboten wird...). Arggg....

Sorry für den Spam... es geht wieder... fragt mich nicht was die entscheidende Einstellung ist...

was mich wundert... nach welchem "Muster" die Synology ihr Präfix bezieht. Die Fritzbox hat eine nach dem Muster: IPv6-Präfix: aaaa:bbbb:cccc:dd00::/56 in OpenVPN steht als Präfix: aaaa:bbbb:cccc:ddfc::
Jemand ne Begründung für die Abweichung bzw. warum es fc und nicht fd ist oder in die Richtung?