Hallo liebe Community Habe meinen bei mir auf dem Synology-NAS den VPN Server konfiguriert und auf der Internetbox die entsprechenden Ports weitergeleitet. Funktioniert auch alles wunderbar. Jetzt gibt es aber eine kleine Unschönheit. Und zwar ist über den Tunnel jetzt auch der Zugriff auf das WebUI der Internetbox möglich. Ja es ist extrem unwahrscheinlich dass ein fremder Mutwilig sich in den VPN-Tunnel einschleusen kann dann auf das WebUI des Routers zugreift und dort noch das Passwort rausfindet und kA was dann anstellt. Aber es geht mir ums Prinzip😃 Die eigentliche Frage: Kann ich mit bestehender Hardware (Internetbox und Synology DS214) den Zugriff auf das WebUI der Internetbox sperren, so dass ich aber weiterhin auf das DSM der Synology von aussen zugreiffen kann? Danke Edit: L2TP/IPsec wird als VPN verwendet.

Ich schlage dir ipfire vor 😄 Kann ja sein das man mehrere gleichzeitige VPN Verbindungen erstellen möchte - ipfire, kein Problem. Kann sein das man 2 oder mehrere Standorte direkt miteinander verbinden möchte. - ipfire, kein Problem. Es geht darum jedem VPN Benutzer sein individuelles Konto einzurichten. - ipfire, kein Problem Kann sein das man jedem VPN Benutzer genau sagen möchte auf was er im Netzwerk Zugriff hat und auf was nicht. Richtig, ipfire kein Problem. Das sind ja nicht mal abgefahrene Features, das sind nur einfache Basics. Mal schauen was dann die Internet Box können wird, hehe

Du solltest das mittels Firewall Regel auf der Synology unterbinden können. Erstelle auf dem LAN eine Regel welchem dem Subnet des VPN die Verbindung über http und https auf die IP der Internet-Box verbietet.

Hallo TuxOne Danke für die (wie immer:smileyvery-happy:) schnelle Antwort. Verstehe das Prinzip was gemacht werden soll aber hab so meine Mühe mit der Eingabe im DSM. Habe mal ein Screen-Shot gemacht, wenn ich die Einstellungen so übernehme dann funktioniert leider gar nichts mehr. Wie muss ich die Einstellungen genau eingeben? [upl-image-preview liId=18539i63125F9A4CB45C73 alt=Firewall_Setup.jpg uuid=e1c76d96-24e1-4b3c-8dae-e351a8837802]

Du hast jetzt bei Ports alle angewählt. Du kannst dort benutzerdefiniert 80 und 443 wählen oder bei den Diensten Webservices http und https. Indem du alles sperrst, hast du natürlich keine DNS Auflösung mehr usw. Das musst du mal versuchen. Wie genau müsste ich auch mal pröbeln. Eventuell gehts so auch gar nicht, da wir damit den http Traffic auf das Gateway sperren. Theoretisch dürfte das keinen Effekt auf den Http Traffic mit anderen Zielen haben, aber eben...

Habe zu Hause nachgeschaut. Die WUI Firewall taugt dazu nicht, da man kein spezielles Ziel angeben kann. Allenfalls könnte man iptables direkt konfigurieren. Würde ipfire verwenden. Da geht so was direkt im Webinterface. In dem Fall würde man das VPN auf der Firewall terminieren womit dieses ein eigenes Netz ist. Die Diskstation könnte oder würde man in eine DMZ stellen. Von und zu mit was und wie zu welcher Zeit und wie oft usw. Das ist eine Firewall 🙂

Super 🙂 Danke fürs nachschauen. Schade das es mit der Firewall der DS nicht geht. IP-Fire hätte ich schon immer mal ausprobieren wollen aber hab bisher die Finger davon gelassen wegen SC-TV und Konfiguration, bin nicht so der "Hirsch" was tiefere IT-Konfigurationen angeht. Aber glaube nun ist es mal soweit sich die Hände schmutzig zu machen. Was für eine Hardware würdest du mir empfehlen um IP-Fire zu verwenden?

Noch eine Frage. Würde IP-Fire mit SC-TV auf mehreren TV-Boxen funktionieren oder würde die FW Probleme haben wenn mehrere Multicast Streams im Netzwerk rumgeistern? Wenn dem so wäre würde das ganze ins Wasser fallen. Habe jetzt mal noch dem Synology-Support geschrieben ob sie eine Lösung haben den Tunnel bis zur DS zu erlauben und dann den Sack zu machen. Mal abwarten...

So, habe nun nach ein paar Mails hin und her Antwort von Synology erhalten. Die Supporter dort haben mir vorgeschlagen einfach die IP-Sperre zu verwenden. Blöd nur wenn die Clients welche über das VPN rein kommen dynamische IP's haben... und vorallem hätten diese dann weiter Zugriff auf das ganze LAN, was ich ja nicht möchte. Also bestätigt sich das was TuxOne mir bereits gesagt hatte, auch der Support hat dafür keine Lösung. Zum Thema Alix & FW: Habe Kurz eine Zeichnung gemacht wie das Setup wohl aussehen sollte. Korrigiert mich bitte wenn ich dabei falsch liege. Was ich noch nicht ganz begriffen habe ist wie ich die FW dann konfigurieren soll, also VPN Ports öffnen ist soweit klar, aber wie müsste ich die FW dann konfigurieren dass VPN-Clients NUR auf die DS kommen und nicht in das LAN. [upl-image-preview liId=18581i92F59BDC4D7B692B alt=Netzwerk_Layout.jpg uuid=e3df73f0-ef7e-41f5-b7f8-f74e2bb51a9d]

Mit ipfire ist vieles möglich. Dabei ist es noch eine einfache Firewall. Hier ein Beispiel welches jetzt nicht zu deiner Skizze passt. Bei deiner Skizze könnte man dem VPN zB. den Zugriff auf das LAN (Grün) ganz entziehen bez. nicht aktivieren, und den Zugriff nur auf das Internet und der DS welche in einer DMZ (Orange) stehen könnte gewähren. Das VPN würde man natürlich eher auf der ipfire selber terminieren. [upl-image-preview liId=18587i30D906A8A4DC121D alt=2015-03-13 22_45_37-IPFire - Firewallregeln.png uuid=e8f7661b-1fff-4010-88c1-0feae7187608]

Ich würde lieber darauf vertrauen das du eher einen sechser im Lotto kiegst bevor jemand deine VPN UND deine IB knackt 😜

Es geht mir eigentlich weniger um den Router. Habe einen blöden Titel gewählt und die Frage etwas falsch formuliert. Der Router kann von mir aus Untergehen im worst case Szenario. Geht mir eigentlich mehr um die Teilnehmer im LAN dass diese geschützt sind. Mein Probelm ist, dass wenn die VPN-Clients (Freunde & Familie) angegriffen werden der Angreiffer dann natürlich auch Zugriff auf mein LAN hat was natürlich nicht so toll ist. Wollte deshalb eigentlich das VPN nur bis zur DS führen und dem Router oder DS eben sagen das VPN nicht aufs restliche LAN anzuwenden. Ja ich weiss ein VPN ist eigentlich genau dafür gedacht für sight-to-sight verbindungen um zweites LAN aus der Ferne erreichbar zu machen. Aber dieses Feauture möchte ich eben kastrieren und nur die DS erreichbar machen und deren Services brauchen. Nun kommt es drauf an wie viel Aufwand und Geld dies verschlingen würde. Nutze eig das NAS als Ablage für Dateien, Printserver mit Scan-Ablage und Backupdestination mittel Acronis. VPN wäre ja hier eigentlich die sicherere Variante da ich die DS dann auch nicht "offen" mit einer DDNS ins Netz stellen muss sondern nur über VPN erreichbar mache. Blöd nur wenn jetzt ein Client angegriffen wird dann hat der Angreifer einen direkten Tunnel zu mir... Was schlagt ihr mir vor?😞

Webzugriff auf Internet-Box sperren (Synology VPN-Server)

L4stJudgment

Habs jetzt mal mit Core88 probiert, selbes Problem.

Hab mal ein Bild vom USB-Stick gemacht so sehen die Dateien aus nachdem der Stick mit dem ISO-Abbild beladen wurde.

Hier noch ein Video von der Konsole

Tux0ne

Hast du es schon mal mit einem anderen Stick versucht? Der Stick muss schon eine gewisse Qualität haben 🙂 ich habe zB. zig gratis Sticks von eltako mit dem enocean zeugs drauf. Die gehen für solche Sachen auch nicht.

L4stJudgment

Habs bisher mit einem Patriot 8GB USB-2 Stick und einem LaCie 16GB USB-3 Stick probiert. Hätte noch drei weitere zum Testen😂 Ok dann probier ichs mal.

Aber vom Vorgehen her stimmts soweit oder nicht?

L4stJudgment

Hab jetzt 5 verschiedene USB-Sticks durchprobiert, alle mit dem ISO sowie mit dem Flash-Image. War bei keinem Erfolgreich.

Glaube hier stimmt was anderes nicht. Entweder gehe ich falsch vor oder etwas anderes ist Faul. Hatt Jemand einen Rat?

Globe

Vorgehen sollte so stimmen.
Du kannst ja mal noch einen 2. USB Stick vor der Insallation einstecken und versuchen IPFire daruaf zu installieren.
Ansonsten würde ich wie Tuxone gesagt hat, auch einen anderen Stick probieren...

Tux0ne

Ich habs für mich nicht dokumentiert.
Habe aber das Gefühl, dass ich damals die scon Version der iso, welche man immer noch downloaden kann, mittels physdiskwrite auf den Stick gebeamt habe.
Die Installation war so problemlos.
Danach habe ich mittels winscp die iso auf das Hostsystem geladen. Ausgeschaltet, ssd rein und vom Hostsystem mittels dd auf die ssd kopiert.
Ausschalten, USB weg und die Installation auf der ssd ausgeführt.
Aber das ist 1.5 Jahre her, wo man das apu board erst als beta version bekommen hatte. Also ohne Gewähr. Ich müsste das Teil sonst wieder mal ausgraben.

L4stJudgment

Oke schade😞

- Verschiedene USB-Sticks

- Flash-Image(Scon) und ISO-Image

- Win32Diskmanager, Rufus, physikdiskwrite

Alles probiert in verschiedenen Kombinationen.

Immer das selbe Fehlerbild. Wenigstens ist der Fehler konsistent woho 🙂

Globe

Was hast du für eine Bios-Version auf dem APU?

Evt. hilft ein Update: http://pcengines.ch/apu1d.htm

Ansonsten würd ich mir doch mal einen Adapter für die SSD besorgen (Beispiel hier) und das Image mit physikdiskwrite draufkopieren.

L4stJudgment

Sooo😃

Man glaubt es kaum, aber es lag am USB-RS232 Adapter. Der Kam wohl mit der Datenrate von 115200 Baud nicht recht. Hab jetzt einen aus der Ersatzkiste rausgekramt und siehe da... Es funktioniert.

Installation ging ganz einfach.

- ISO-Image auf USB mit (dd) oder Diskmanager kopieren.

- SSD einbauen, USB-Stick anschliessen, Saft drauf geben.

- Bootreihenfolge (Device) wählen und die Einstellungen vornehmen.

Jetz kämpfe ich noch mit den Einstellungen der Firewall selbst. Aber ist ein anderes Thema.
Werde ggF. einen neuen Thread eröfnen diesbezüglich.

Vielen Dank für Eure Hilfe.

P.S. Habe jetzt diesen Adapter "USB - mSata Case" vergebens besorgt😂
Aber mit einer verbauten SSD macht sich der gut als USB-Stick ersatz, und der verbaute Chip auf dem Adapter-Board kann einiges an Daten schaufeln. (Ist als externes Gehäuse zu Empfehlen)

Tux0ne

Cool. Und nun viel Spass mit ipfire.

alaska65

Nur der Vollständigkeit halber, falls noch jemand diese Anforderung des Sperrens des LANs für das Synology VPN hat und auf diesen Beitrag stösst:

Bei verwendung von OpenVPN im Synology VPNServer kann angegeben werden ob die Clients Zugriff auf das Server-Lansegment haben dürfen oder nicht. 'Clients den Server-Lan-Zugriff erlauben' ist standardmässig ausgeschaltet (DSM 5.2)

Damit wäre die ganze 'Bastelei' nicht nötig gewesen - allerdings hat die umgesetzte Lösung auch enige neue tolle Vorteile 🙂

Für Heimanwendungen gibt es übrigens von Sophos ein bootbares ISO 'Sophos UTM Home Edition' welches aus einem PC mit 2 Netzwerkkarten eine nette UTM Lösung baut mit sehr vielen Möglichkeiten. Wer keinen PC dazu abstellen will/kann oder keine virtualisierung eines PCs hat, kann auch eine Einsteigerversion von Sophos nehmen. UTM 110/120 und eine kostenlose Heimlizenz lösen und auf die Box installieren. Damit hat man Webzugriff, Spam/Phishing-Mail Filter, VPN erschlagen sondern auch noch 10 Lizenzen für Endpoint mit dabei - diese Lizenzen beinhalten den kompletten Virenscanner für die PC/MAC/Android. Die Lizenz erlaubt netzwerke bis 50 IP Adressen. Sollte dehim meistens reichen.

« Page précédente