Synology via OpenVPN ohne Portforwarding von weiteren Ports

Hitchhiker42

Hallo miteinander,

ich habe mich die letzten Tage etwas mit der Erhöhung der Security meiner Synology DS befasst mit dem Ziel, den fragwürdigen Quickconnect-Dienst abschalten zu können und nur noch via OpenVPN von extern auf die Diskstation zuzugreifen. Grundsätzlich klappt das ganz gut, jedoch sehe ich mich aktuell genötigt, neben dem OpenVPN Port 1194 noch die Ports 6690 und 5001 in den Portforwarding Regeln der IB3 freizugeben. Das ist mir ein Dorn im Auge und deshalb habe ich die letzten Tage gefühlt das ganze Internet gelesen bezüglich Themen wie Split-Tunneling, zusätzlichem DNS-Server im LAN, OpenVPN-Config-Optionen etc. Und wie so oft: irgendwann ist man “lost in complexity”, weshalb ich hoffe, hier allenfalls jemanden zu finden, der meinen Knoten lösen kann.

Zum Setup:

Internet Box 3

Swisscom DynDNS: on auf xxx.internet-box.ch
VPN: off
Portforwarding: Ports 1194 (VPN), 5001 (DSM), 6690 ( Synology Drive)

Synology DS218+

Quickconnect: off
DDNS: on auf xxx.synology.me
OpenVPN Server auf der Synology: on und Clients haben Zugriff auf Server-LAN
Firewall: kann ignoriert werden, Verhalten ist unabhängig der Firewall-Einstellungen

OpenVPN Client Config

remote xxx.internet-box.ch 1194
redirect-gateway def1
dhcp-option DNS 192.168.1.1

Zur Problemstellung, bzw. Anforderung:

Ich möchte mit meinen mobilen Geräten sowohl im lokalen Netzwerk (ohne VPN) wie auch von extern (natürlich dann mit OpenVPN) via Browser auf die DSM-Oberfläche der Diskstation und via die iOS App “Synology Drive” auf meine private Cloud zugreifen können.

Nehmen wir das Beispiel des Browserzugriffs, weil einfacher zu erläutern: Im lokalen Netzwerk funktioniert das problemlos über die DDNS-Adresse von Synology (xxx.synology.me) und ich mich auf der Diskstation einloggen. Von extern (wie gesagt: verbunden via OpenVPN-Server auf der Synology) funktioniert das NUR, wenn in der IB der Port 5001 direkt an die Synology weitergeleitet wird. Ist dies nicht der Fall, so gelingt der Zugriff nur, wenn ich die dynamische IP des OpenVPN Servers manuell in die Adressleiste des Browsers eintippe (bei mir: 10.8.0.1). Das ist in diesem Case unschön, im Case der iOS-App dann sogar ultra mühsam, da ich mich dort jeweils abmelden und (mit der Serveradresse 10.8.0.1) neu anmelden muss. Sprich, bei jedem Wechseln von lokal nach extern und umgekehrt funktioniert die App erst nach manuellem Eingriff wieder.

Mit meinem Netzwerk-Halbwissen liegt das Problem beim DNS des OpenVPN-Servers, der - wenn darüber verbunden - beim Lookup von xxx.synology.me rausgeht, eine IP erhält, diese ansteuert und dann an die Tür der Internetbox klopft mit dem jeweiligen Port (5001 oder 6690), dort aber sofort abgewiesen wird, wenn der Port nicht ohnehin explizit weitergeleitet wird. Das ist aber ja genau die Idee der Sache, denn sonst ist die Synology auf diesen Ports ins Internet exponiert und direkt angreifbar.

First World Problem, natürlich, aber vielleicht gibt’s ja hier einen Experten, der a) meine ungelenken Formulierungen versteht und b) mich des Rätsels Lösung näher bringen kann.

Merci im Voraus!

Hitchhiker42

cslu

Grundsätzlich klingt deine Beschreibung eher ungewöhnlich für mich. Ich kann mich jetzt zwar nicht erinnern ob ich den Fall “OpenVPN auf einer Syno” konkret in letzter Zeit mal hatte, aber sicher den einen anderen vergleichbaren Fall.

Prinzipiell müsste es doch so sein, dass auf auf die Syno in deinem Heimnetz immer via die lokale IP der Syno (die natürlich statisch gesetzt werden sollte) zugreifen kannst.

Sobald du nun via VPN in dein lokales Netz “getunnelt” hast, müsste dies auch möglich sein. D.h. wiederum via die lokale IP der Syno auf die Syno zugreifen.

Wieso da überhaupt irgendwelche DynDNS-URLs im Spiel sind, erschliesst sich mir in diesem Kontext nicht. Zumindest nicht was den Zugriff auf die Syno angeht. (Natürlich ist eine DynDNS-URL nützlich um überhaupt mal die VPN-Verbindung herstellen zu können.)

Als Portfreigabe müsste dann auch die Freigabe des VPN-Ports langen.

Kurzum: Anhand deiner Beschreibung frage ich mich, on die Problematik nicht darin liegt, dass du mit falschen “Adressen” versuchst auf die Syno zu kommen.

Vielleicht solltest du noch etwas dazu sagen, was für eine IP die Syno hat und was für eine IP der Client kriegt, wenn er über VPN verbunden ist.

Werner

@Hitchhiker42

Wie @cslu bereits erwähnt hat, reicht der Open VPN-Port (Default: UDP 1194) aus.

Dein Problem liegt vermutlich in der Weiterverwendung von:

“DDNS: on auf xxx.synology.me”

Dieser DDNS, welchen ich selber noch nie gebraucht habe, gehört vermutlich zum Quick- Connect Feature und passt jetzt nicht mehr ins Konzept.

Normale statische IP der Syno im internen Netz und die normalen Samba-Netzwerkfreigaben im internen Netz sollten eigentlich Dein Problem lösen.

Hitchhiker42

Dank dir, @Werner und danke auch an @cslu. Das bestätigt meine Vermutung. Ich werde mal den vorgeschlagenen Weg gehen und nehme die Syno-DDNS Lösung aus dem Spiel.