Port 445 (SMB) mit VPN

Habe selber das QNAP NAS und kein Problem über die Internet-Box 5 von überall mit VPN IKEv2 auf die Daten zuzugreifen.

Auf dem externen Gerät hast Du ja sicher nicht die gleiche IP Adresse 192.168.1.1 wie bei der Internet-Box ?

rmm

WalterB
Hallo Walter,
viele Dank für die Antwort. Ich habe mein VPN mittels WireGuard eingerichtet, weil ich es mit VPN IKEv2 und Windows 11 nicht zum laufen brachte.
Für die Netze habe ich unterschiedlich IP-Ranges. Im Lan hat die Internetbox die IP 192.168.4.1 und das QNAP NAS die 192.168.4.120

Ich fürchte ein wenig, dass mein Router/Internetbox ein Problem hat.

Hast Du IKEv2 mit Windows hingekriegt oder nutzt Du Mac/Linux? Denn ein Umstieg auf IKEv" wäre einen Versuch wert.

rmm

WalterB

Mit IKEv2 scheint es zu funktionieren. Nur dass ich das VPN mit IKEv2 auf WIndows-Rechnern nicht mit der Swisscom-Box zum laufen bringe. Hat jemand schon mal eine VPN-Verbindung mit IKEv2 von einem Windows-Rechner auf die Swisscom InternetBox 5 zum laufen gebracht? Wenn ja, wäre ich froh um einen Tipp.

NilsL

Ich gehe davon aus dass du die SMB-Verbindung über den Windows-Explorer eingebunden hast?

Wie genau hast du das NAS in den explorer eingebunden? Einfach mit \\NAME\Share wird das nicht gehen

Bei VPN-Verbindungen funktioniert das nur wenn man den DNS-Suffix korrekt definiert im VPN-Profil, bei OpenVPN ist das möglich, ob/wie das bei Wireguard geht weiss ich auf die schnelle nicht, aber Tante Google hilft (Nachtrag: siehe https://rakhesh.com/linux-bsd/wireguard-search-domain/, bei dir wäre die Zeile: DNS = 192.168.4.1, home)

Was gehen müsste ist das NAS mit \\NAME.home\Share einzubinden, vorausgesetzt du hast den Namen vom NAS in der Internet-Box Geräteliste nicht bearbeitet und der VPN verwendet die Internet-Box als DNS Server (das müsste gegeben sein)

Theoretisch kann man das ganze auch mit der IP testen, also \\192.168.4.120\Share, aber das würde ich längerfristig nicht empfehlen weil es führt zu ganz komischen Problemen mit dem Windows Explorer wenn dieser ausserhalb deinem LAN und dem VPN ist versucht er nämlich immer wie gestört diese IP zu erreichen, erhält aber nie eine Antwort. Wenn man einen FQDN oder Hostname hat passiert das nicht weil da schon der DNS-Lookup fehlschlägt und das zu einem sofortigen Timeout führt

PS: Port 445 NIE NIE NIE Öffnen (ausser zum kurz testen), da ist es nur eine Frage der Zeit bis zu von Ransomeware getroffen wirst

Ich bin da mittlerweile schon so weit dass ich bei allen Kunden-Netzwerk ausgehende Verbindungen auf Port 445 blockiere, einfach zum ganz sicher gehen dass solche Lösungen im ganzen Netzwerk gar nie funktionieren können, aber das nur so neben bei

rmm

Nachtrag:
Ich bin mit deinen Aussagen was Port 445 anbelangt absolut einverstanden.

Mit meiner alten Internetbox konnte ich das Windows 11 VPN nutzen und mein Notebook erhielt eine IP im selben Bereich, wie das NAS. Somit war ih sozusagen im eigenen Netz. Internetbox5 funktioniert mit IKEv2 mit Windows 11 aber leider nicht.
Nun erhält mein Notebook bei Wireguard aber eine andere IP und ich muss den Port 445 rüber in mein 192.168.4.x Netz bringen. Aber eben NUR vom VPN in mein Netz und nicht vom Internet ins interne LAN.

rmm

Hallo Nils,
sorry, mein Fehler. Ich hätte präzisieren sollen, dass ich - um DNS Probleme ausschliessen zu können - direkt via IP auf die Shares zugreife. Z.B \\192.168.4.120

Versuchsweise hatte ich mal eine Portweiterleitung des Ports 445 auf das NAS eingerichtet und dann funktionierte alles wie es soll. Nur möchte ich diese Portweiterleitung nicht aktivieren, weil sonst mein NAS nach aussen hin (Internet) exponiert wäre. Um dies zu verhindern nutzt man ja VPNs.

WalterB

https://thesafety.us/vpn-setup-ikev2-windows11

Im Internet habe ich es leider nur in Englisch gefunden.

Werner

rmm Hat jemand schon mal eine VPN-Verbindung mit IKEv2 von einem Windows-Rechner auf die Swisscom InternetBox 5 zum laufen gebracht? Wenn ja, wäre ich froh um einen Tipp.

Da gibt es keine Tipps, denn bis jetzt unterstützt der IKEv2-VPN-Server der Internetboxen schlichtweg keine Windows-Clients.
Ob da zukünftig jemals noch eine Erweiterung auf der Internetbox vorgesehen ist bleibt unbekannt.

Was bei mir selbst aber gut funktioniert ist die Kombination Windows mit WireGuard wobei ich dabei aber die Netzlaufwerke des NAS nicht via Windows-Netzwerksuche und -Namensauflösung, sondern direkt als Netzwerkadressen mit IP-Adresse/Directory-Namen als SMB-Shares eingebunden habe.
Und was natürlich beim dabei verwendeten VPN-WireGuard-Server auch noch ein Rolle spielt, dass dieser beim Anlegen auf der Internetbox auch inkl. Intranet-Zugriff definiert wurde, denn nur so entsteht in den nicht sichtbaren Routingtabellen der Internetbox auch eine zusätzliche statische Route, welche das virtuelle IP-Netz des WireGuard-Servers mit dem Kern-IP-Netz der jeweiligen Internetbox verbindet.

rmm

WalterB

Vielen Dank.
Leider funktioniert das mit der Internetbox5 nicht. Zwischen WIndows11 und Internetbox gibt es Probleme mit der Abstimmung der Richtlinien. Bereits bei der älteren Internetbox musste ich jeweils zusätzliche Einstellungen vornehmen, damit es klappt.
Bei der Internetbox 5 habe ich aber noch keinen Weg gefunden, die Verbindung zum Laufen zu bringen. In Userforen steht bisweilen auch, dass die Internetbox von Swisscom mit Windows 10/11 offenbar nicht läuft via IKEv2.
Ich habe aber mühe, das zu glauben. Es gibt ja nicht so wenige Windows User :-)

rmm

Vielen Dank. Das ist eine klare Antwort. Danke.
Somit versuche ich es auf diesem Weg gar nicht weiter.

Das mit Wireguard habe gemacht, hatte aber das Problem, dass der Port 445 vom VPN nicht in mein internes Netzt weitergeleitet wird (VPN hat IP 10.1.0.2 --> internes Netz hat eine 192.168.x.y). Andere Ports funktionieren normal. Die kostenpflichtige technik-Hotline meinte, dass der Port 445 halt zu heikel sei und man da nichts machen könne.

Dies ist auch der Ursprung dieses Threads.
Zusammengefasst: ich bin doch etwas enttäuscht von der Internetbox5 und überlege mir, hinter die Internetbox ein schlaues Gerät zu setzen, welches dann die VPN-Verbindung herstellt.

Werner

Da gibt es aktiv nichts zu tun mit „Port-Weiterleiten“ zwischen virtuellem VPN-Netz und eigenem Kern-IP-Netz, denn diese Verbindung muss bei aktiviertem Intranet-Zugriff vom VPN-Server im Hintergrund selbstständig mittels einer statischen Route fix hergestellt werden.

Mein Tipp wäre den WireGuard-Server auf der IB vollständig zu löschen und dann nochmals vollständig neu zu konfigurieren.
Dabei dann auch darauf achten, dass der Intranet-Zugriff tatsachlich aktiviert wird.
Anschliessend dann zuerst mit einem mobilen VPN-Client und am Schluss dann auch noch mit einem Windows PC erneut testen.

rmm

"Da gibt es aktiv nichts zu tun mit „Port-Weiterleiten“ zwischen virtuellem VPN-Netz und eigenem Kern-IP-Netz, denn diese Verbindung muss bei aktiviertem Intranet-Zugriff vom VPN-Server im Hintergrund selbstständig mittels einer statischen Route fix hergestellt werden."

--> das dachte ich eben auch.

"Mein Tipp wäre den WireGuard-Server auf der IB vollständig zu löschen und dann nochmals vollständig neu zu konfigurieren."

--> jetzt muss ich ganz dumm fragen, wie ich den Wireguard-Server vollständig löschen und neu installieren kann. Im Interface, das mir zur Verfügung steht, kann ich ihn lediglich deaktivieren und aktivieren. Ich hatte die Internetbox sogar schon mal auf Werkseinstellungen zurückgesetzt.

Werner

Alle WireGuard-User mal löschen, VPN-Server ausschalten, Internetbox neu starten und anschliessend VPN-Server wieder einschalten und neue WG-User definieren.

rmm

Super. Danke.
Das mache ich mal.

rmm

Habe es versucht. Resultat: weder via DNS noch direkt mit IP erreiche ich mein NAS im internen Netz.
Schade, aber nicht erstaunlich, hatte ich die IB5 doch auch schon mal auf Werkseinstellungen zurückgestellt.
Ich gebe es auf.

NilsL

Ich kann mir irgendwie nicht erklären wie die IB einen einzelnen Port nicht von VPN nach LAN routen könnte, das wäre sehr speziell

Ich könnte theoretisch einen Test mit einer IB5 Pro und einem Synology NAS durchführen, aktuell ist dort nur IKEv2 (mit Mac) eingerichtet, aber ich darf von Kunden aus sicher testweise WIreguard in Betrieb nehmen

Was auch noch sein kann, soweit ich weiss macht die IB kein NAT zwischen VPN und LAN, somit könnte es sein dass das NAS die Verbindung ablehnt weil es von einem anderen Subnet kommt.. (bei Port-Weiterleitungen macht die IB NAT von WAN zu LAN)

Da müsste man die Sicherheitseinstellungen kontrollieren, hab leider kein QNAP bei mir zum testen

Du könntest auch mal mit einem anderen Gerät im Netzwerk einen SMB Share machen (irgend ein Windows PC) und testen ob du auf den via VPN kommst oder ob das auch nicht geht

Werner

Testen wäre sicher eine gute Sache.

Selbst habe ich innerhalb einer Routerkaskade mehrere WireGuard-Server und da funktioniert der VPN-Zugriff auf interne Ressourcen, wie z. B. ein Synology-NAS mittels VPN-Portweiterleitung quer durch die IB5 hindurch völlig problemlos, aber dann ist es natürlich auch kein WireGuard-Server auf der Internetbox, sondern ebenfalls im eigenen Heimnetz (sogar zwei verschiedene, einer direkt auf dem der IB5 nachgelagerten Router und einer noch zusätzlich auf einem Raspi im eigenen Heimnetz)

Auf der IB5 betreibe ich zwar als dritte WG-Instanz auch noch einen WireGuard-Server, aber da ich die IB5 bei mir selbst konzeptionell als reinen Internet-Zugangsrouter, DECT-Basis-Station und blue TV-Stream-Lieferanten und nicht als Heimnetzrouter betreibe, dient dieser IB-eigene WG-Server bei mir nur den Bedürfnissen von vagabundierenden VPN-Clients für reine Internetzugriffe via den Heimanschluss ohne zusätzlich erforderlichen internen Heimnetzzugriff, denn direkt im Netz der IB5 habe ich in meinem eigenen Setup bewusst sowieso keinerlei Datenressourcen und keine SMB-Shares zur Verfügung.
Kann also die Heimnetz-internen Fähigkeiten des IB-eigenen WireGuard-Servers ohne grössere Netzwerk-Setup-Veränderungen in der Praxis selbst aktuell gar nicht konkret testen.

rmm

NilsL Ich kann mir irgendwie nicht erklären wie die IB einen einzelnen Port nicht von VPN nach LAN routen könnte, das wäre sehr speziell

Ich finde das auch sehr speziell. Inzwischen denke ich aber, dass meine IB bzw ein Problem hat.
Ich habe jetzt Deinen Vorschlag mal umgesetzt und ein anderes Notebook (habe zum Glück ausreichend zur Verfügung :-) ) ins Netz genommen und einen Ordner freigegeben. Der freigegeben Share war offen, wie ein Scheunentor, um wirklich alle anderen Faktoren ausschliessen zu können.

Resultat:
Wenn ich mich im selben Netz befinde sehe ich das Notebook und kann auf den Share zugreifen. Dann verlasse ich das heimische Netz, wechsle auf meinen mobile HotSpot und verbinde mich via Wireguard mit meinem Heim-Netz.
Ab diesem Moment kann ich alle Maschinen inkl. des Notebooks anpingen. Ich kann über Port 8080 auf mein Nas zugreifen (Admin-Interface). Ich bekomme aber keinen Zugriff mehr auf das Share (weder NAs noch Notebook). Auf dem Notebook läuft Wireshark und ich sehe keinerlei Anfragen. Es scheint also so, dass diese Pakete einfach nicht "rüber" kommen.

Wenn ich auf der IB eine Portweiterleitung von Port 445 auf mein Notebook definiere, klappt es.

Ich schliesse daraus, dass mein IB den Port 445 ohne Weiterleitung nicht vom VPN ins interne Netz weitergibt.

NilsL

rmm Das hört sich tatsächlich nach einen Bug an

Ich werde, wenn es die Zeit erlaubt, heute Nachmittag mit der IB5 Pro, testen.

Ich weiss nur dass es dort über IKEv2 auf meinem Mac bestens funktioniert, aber ich darf vom Kunden aus testweise WireGuard aktivieren und mit meinem Windows Notebook testen

Lori-77

Es gibt glaube ich auch noch andere Ports, welche nicht ganz sauber durch Wiregard gehen.

Zum Glück hatte ich auf diesem Router 2 verschiedene VPN Protokolle aktiviert gehabt.

Dazumal war ich mit WG auf den anderen Router, und dort per SSH auf den Server.

Dieser machte dann ein Backup auch über WG aber mit einem anderen Port. Danach war meine Verbindung nicht mehr möglich.

Musste dann aufs andere VPN wechseln und dann hatte ich wieder per SSH Zugriff.

Gruss Lorenz

rmm