VPN Server mit IPsec

[Swp2000]

Hallo Leute,

Hintergrund ist der folgende. Ich möchte was DSFile (App) sowie auch SFTP Übertragungen von außen über eine VPN-Verbindung bewerkstelligen.
Dazu habe ich mir den VPN-Server aus dem Paketzentrum runtergeladen und installiert. Eine IPsec Verbindung wurde gewählt und ebenso ein Passwort vergeben.

Theorie:
Nun müsste ich am Rechner außerhalb des Netzwerkes ja nur noch eine VPN-Verbindung erstellen. Und könnte mich dann über meine dyndns beisplw. per FTP verbinden und Daten übertragen?

Klappt dies so, oder übersehe ich etwas wichtiges?

 

[Frogman]

.... Und könnte mich dann über meine dyndns beisplw. per FTP verbinden und Daten übertragen?Klappt dies so, oder übersehe ich etwas wichtiges?

So sieht's aus, korrekt. Die DynDNS dient auch nur der VPN-Adresse zum Finden Deines Anschlusses - anschließend kann im VPN-Tunnel alles andere wie FTP laufen, als ob Du zu Hause im LAN bist.

 

[MaCoM]

bestimmt ist auch der VPN-Port am router schon zur DS weitergeleitet.

 

[Swp2000]

So sieht's aus, korrekt. Die DynDNS dient auch nur der VPN-Adresse zum Finden Deines Anschlusses - anschließend kann im VPN-Tunnel alles andere wie FTP laufen, als ob Du zu Hause im LAN bist.

Da wenn eine VPN-Verbindung besteht ich ja so gesehen wie im heimischen Netzwerk mich bewege. Würde es nicht schon ausreichen mit der IP der DS statt mit der dyndns Adresse mich zu verbinden?

bestimmt ist auch der VPN-Port am router schon zur DS weitergeleitet.

Ja, das wurde getan!

 

[Frogman]

Die Etablierung des VPN-Tunnels muss über die DDNS-Adresse erfolgen - woher sonst soll der VPN-Client wissen, unter welcher externen IP Dein Anschluss gerade zu erreichen ist? Steht der VPN-Tunnel, werden die weiteren Dinge wie bspw. FTP dann über die lokalen IP-Adressen abgewickelt, d.h. Du kannst dann bspw. per FTP an die LAN-IP der DS direkt dorthin verbinden.

 

[Swp2000]

Steht der VPN-Tunnel, werden die weiteren Dinge wie bspw. FTP dann über die lokalen IP-Adressen abgewickelt, d.h. Du kannst dann bspw. per FTP an die LAN-IP der DS direkt dorthin verbinden.

Entschuldige, genau das meinte ich ja. Sofern die VPN-Verbindung erfolgreich hergestellt wurde, kann ich im FTP Client unter Adresse die IP der DS wählen, auf welche der FTP Dienst aktiviert ist.
Was würde passieren wenn ich dort die dyndns eintrage?

 

[Frogman]

Fehlermeldungen würdest Du sehen, weil in Deinem LAN die DDNS nicht auf die IPs der Geräte aufgelöst wird, die Du ansteuern willst (die DDNS repräsentiert ja nur Deine externe IP-Adresse des Heimatanschlusses). Die Loopback-Sperre des Routers tut sein übriges dazu.

 

[Swp2000]

Ich möchte das Thema nochmal kurz ansprechen...
1.)Wenn nun der VPN Tunnel steht, braucht man ja der einfachheit halber nur ein Netzlaufwerk auf beisplw. die DS einrichten und kann per Drag&Drop die Dateien rüberkopieren. So gesehen müsste ich nicht umständlich über FTP gehen.

2.)Eine andere Möglichkeit wäre doch über SFTP? Beides SFTP und VPN geht ja sowieso nicht, bzw. würde gehn aber wozu, richtig?

 

[jugi]

zu 1: ja.

zu 2: das sind äpfel und birnen aber auch sftp über vpn würde gehen…

 

[Iarn]

Also meiner Meinung nach braucht man SFTP nicht mehr über VPN absichern. Eine Verschlüsselung reicht.

 

[beinaendi]

VPN ist in diesem Fall wohl dazu da um Hosts zu erreichen, die von aussen ansonsten nicht erreichbar sein sollen. Wenn man also auf einen Host per VPN zugreift geht das auch über SFTP, wie jugi bereits geschrieben hat. Damit wäre die Übertragung im internenen Netz zusätzlich verschlüsselt, was theoretisch Sinn machen kann, je nach dem wie sicher man ist, dass da keiner "sniffen" kann. Wenn der Host von aussen direkt erreichbar sein kann reicht natürlich SFTP ohne VPN. Das hat m.E. nach aber nichts mit einer doppelten Verschlüsselung zu tun, die tatsächlich nicht notwendig ist, sondern mit dem Zugriffs- und Schutzkonzept.

 

[Swp2000]

Wenn nun der VPN Tunnel steht, wie wähle ich mich dann zusätzlich mit SFTP ein?
Indem ich beispielsweise in FileZilla statt der DDNS die interne IP eintrage die der Host im Netzwerk hat?

 

[jugi]

Indem ich beispielsweise in FileZilla statt der DDNS die interne IP eintrage die der Host im Netzwerk hat?

ja, und das gilt dann übrigens für alles. Stell dir das VPN einfach wie ein langes Kabel direkt zu deinem Router vor, du bist quasi im LAN.

 

[Swp2000]

Nun bin ich auf folgenden Artikel gestossen:
http://www.deutscher-vpn.de/pptp-l2tp-openvpn.html

Hier wird ja sugeriert das OpenVPN am sichersten und schnellsten ist. Daher würde mich interessieren ob ich das genauso leicht einrichten kann wie IPsec. Das Paket auf der DS ist klar und sollte kein Problem darstellen, aber brauche ich unter Windows noch Zusatzsoftware?
Was verwendet ihr?

 

[beinaendi]

Hi Sven,

ja, es lässt sich sehr leicht einrichten. Unter Windows brauchst du so wie es auf der Synology Webseite beschrieben ist den OpenVPN-Client. Damit funktioniert alles wunderbar. Das Einzige, das bei mir anfangs seltsam war, war dass ich keine Internetverbindung mehr hatte, während die VPN-Verbindung aufrecht war. Das lässt sich aber über Parameter in der Einstellungsdatei beheben.

Schöne Grüsse,
beinaendi

 

[Swp2000]

Also ist OpenVPN IPsec und PPTP vorzuziehen?

 

[Frogman]

Es ist das am weitesten zu konfigurierende und damit auch performanteste Protokoll auf der DS - alles andere solltest Du selbst testen. PPTP würde ich eher außen vor lassen.

 

[Swp2000]

Momentan habe ich IPsec, es läuft soweit und funktioniert. Da ich kürzlich auf den oben geposteten Artikel gestoßen dachte ich, ich frage mal nach.. mit performant meinst du das die Datenrate im Tunnel höher ist als bei den anderen Protokollen? Oder wie kann ich mir das vorstellen.....

 

[Iarn]

Bei openVPN ist die Prozessorlast bei gleicher Datenrate niedriger als bei IPsec.
Falls der Prozessor auf der Sende oder Empfangsseite wirklich der limitierende Faktor sein sollte, dann führt Open VPN tatsächlich zu einer größeren Datenrate.

 

[Swp2000]

Dann ist Open VPN wirklich eher zu empfehlen. Dann werde ich mal versuchen das einzurichten. Ich hoffe das meine Geräte dies können. Oder kann ich das im Vorfeld irgendwie überprüfen?