Portweiterleitung Internetbox 3 funktioniert nicht

Liessejo30

Liebe Community

Ich habe folgende Herausforderung:

An meiner Internetbox ist direkt per LAN eine Synology DiskStation (DS1) angeschlossen. Da ich von dieser ein Backup auf eine andere Syno (DS2) schreiben möchte, versuche ich eine VPN-Verbindung einzurichten.

Die Verbindung mittels Swisscom-VPN von DS2 auf Internetbox funktioniert. Die Verbindung zwischen DS1 und DS2 mittels Synology VPN-Server (open VPN) funktioniert nicht.

Aktuell habe ich eine Portweiterleitung für den Port 5000 erstellt. (1194 habe ich ebenfalls schon versucht) Wenn ich von extern scanne, wird mir der Port aber als geschlossen angezeigt.
Dazu die Frage: Wird ein erfolgreich weitergeleiteter Port bei der Internetbox, bei einem Scan, überhaupt als offen angezeigt? Nicht, dass ich der falschen Fährte nachgehe 😉

Besten Dank für eure Inputs!

Werner

Swisscom VPN Server auf einer Internetbox und Open VPN Server als Paket auf einer Synology Diskstation sind nicht sich ergänzende Systeme zweier Umgebungen, sondern sich ausschliessende Alternativen um eine gesicherte VPN-Verbindung von einem externen Client auf einen Server in einem anderen Netz herzustellen.

Um die Sache ein wenig auszusortieren:

- Welche Verbindung mit welchem Client zu welchem Server möchtest Du denn nun herstellen?

- welches Programm oder welche Funktion soll denn für die Durchführung des Backups eingesetzt werden?

- an einem Standort scheint der Router eine Internetbox zu sein, was für ein Router steht dann im anderen Netz am zweiten Standort?

Liessejo30

Hallo Werner

Das ging ja rassig. Danke!

Ich versuche mich zu präzisieren:

Standort A: Synology NAS (DS1) über LAN an Internetbox 3. Auf DS1 läuft der VPN Server von Synology.

Standort B: DS2 für Backup von DS1 ebenfalls an einer IB3.

Da der VPN Server von Synology nicht zum gewünschten Ergebnis geführt hat, habe ich nur zum Test mal das VPN von Swisscom ausprobiert. Dabei habe ich DS2 mit der IB3, die am Standort A läuft und für mich direkt zugänglich ist, verbunden. Dies hat funktioniert, ist aber wieder deaktiviert mit anschliessendem Reset der IB, da angeblich der Synology VPN leistungsstärker und zuverlässiger ist. Zudem konnte ich mit VPN von Swisscom zwar eine Verbindung aufbauen aber noch nicht auf DS1 im Netzwerk zugreifen...

Aus den genannten Gründen habe ich dann die Fehlersuche auf Synology-VPN gerichtet und einen Portscan auf der externen IP am Standort A gemacht. Mit dem Ergebnis, dass Port 1194 und 5000 (auch diverse andere) als geschlossen gemeldet wurden, obwohl ich diese in der IB weiterleite...

CGNAT ist bei mir nicht aktiv. Das habe ich an der vergebenen, externen IP der IB3 gesehen und auch vom Kundendienst bestätigt bekommen.

Hoffe nun die Situation nochmals besser geschildert zu haben...

Besten Dank

Werner

@Liessejo30

Wenn Du noch nie mit Open VPN Server auf einer Syno gearbeitet hast, geht es zuerst einmal darum einen Server überhaupt mal korrekt aufzusetzen.

Dazu gibt es recht gute Erklärungen und auch Instruktionsvideos im Internet von iDomiX, die ich Dir zuerst einmal zum Studium empfehlen möchte (wobei Du den IPv6-Teil auch weglassen kannst, da er mit einem Swisscomanschluss aktuell sowieso nicht möglich ist):

https://idomix.de/synology-diskstation-openvpn-server-einrichten-windows-macos-ios-android

Das Vorgehen wäre dann:

- Falls Du den DynDNS bereits auf der Internetbox hast, einfach unverändert beibehalten, alternativ kann man auch einen Gratisaccount bei No-Ip einrichten

- das Paket Open VPN Server auf der Synology aktivieren und konfigurieren

- auf der Synology das Konfigurationsfile x.ovpn exportieren und mit einem Editor manuell auf den in der Internetbox verwendeten DynDNS anpassen

- auf der Internetbox den im Konfigurationsfile gewählten Open VPN Port (Default UDP 1194) an die IP Deiner Diskstation weiterleiten

- auf den Clients (Handys, Tablets, Notebooks) die App/Software Open VPN Connect installieren und manuell angepasstes.ovpn Konfigfile importieren

Wenn Du dann aus dem Internet mit einem Client auf Dein Heimnetz zugreifen willst, startest Du dann jeweils zuerst Deine VPN-Verbindung, meldest Dich an und fühlst Dich sofort wie wenn Du zuhause im eigenen Netz angemeldest wärst.

Was Du noch berücksichtigen musst:

- je nach vorhandenem Vorwissen, musst Du Dich vielleicht noch ein wenig mehr ins Thema Open VPN Server einlesen

- Dein Client-Netz und das Netz mit dem Open VPN Server Synology-Router sollten jeweils in einem eigenen IP-Bereich stehen, also z.B. Standort A mit Stamm IP 192.168.1.1 und Standort B mit Stamm IP 192.168.13.1

- um den VPN-Zugriff zu testen, sollte Du nicht direkt im Heimnetz angemeldet sein (also am besten dann mal übers Mobilnetz testen)

- falls Du schlussendlich dann VPN-Server an 2 Standorten einrichten willst, braucht natürlich jeder seinen eigenen DynDNS und sein eigenes Konfigurationsfile

Liessejo30

@Werner

Danke für die Informationen. Das Forum und auch diverse iDomix Video habe ich schon eingängig studiert und die Anleitungen jeweils möglichst genau umgesetzt. Dass ich etwas wesentliches vergessen ist eher unwahrscheinlich aber natürlich nicht ausgeschlossen.

Mal mein Vorgehen abgeglichen mit deiner Zusammenfassung:

- DynDNS von Swisscom läuft.

- VPN Server ist auf Synology installiert und konfiguriert.

- File habe ich exportiert und mit meiner DynDNS-Adresse ergänzt. Zudem habe ich "#" bei "redirect-gateway def1" entfernt.

- Port habe ich weitergeleitet. Meine Firewall ist auf "Standart" und ich habe keine zusätzliche Regel hinzugefügt. Bei einem Portscan von Extern wird aber der Port als geschlossen angezeigt. Ist das normal?

- Einziger geplanter Client ist die externe NAS (DS2), auf der ein Backup von DS1 gemacht werden soll. Das bearbeitete Paket.ovpn habe ich dort eingelesen.

- Vor 5 Wochen hatte ich tatsächlich keine Ahnung von VPN. Mittlerweile habe ich mich ziemlich gut informiert aber finde leider den Fehler nicht, obwohl sich die Konfigurationsmöglichkeiten ja ziemlich in Grenzen halten. Gemäss den Anleitungen ist es ja auch keine grosse Sache...

- Standort B läuft auf 192.xxx.x.x Standort A auf 172.xxx.x.x

- Den VPN zugriff teste ich über quickconnect-Fernzugriff von Synology, indem ich die DS2 am Standort B fernsteuere. Somit findet der Test ja von Extern statt und zu diesen Bedingungen, die dann auch im Betrieb herrschen werden.

- Aktuell möchte ich nur einen Server mit einem Client betreiben...

Danke und Gruss

Werner

Quickconnect ist kein gültiger Test für einen DynDNS, denn das ist ein Relais- Server von Synology selbst, d.h. der ganze Traffic läuft dann über einen Server bei Synology.

Um herauszufinden, ob Dein Open VPN Server tatsächlich korrekt aufgesetzt ist, solltest Du wirklich mal mit einem echten Open VPN Client unter iOS, Android oder Windows testen.

Eine zweite Synology Diskstation direkt als Open VPN Client aufzusetzen habe ich selbst noch nie gemacht, da eher unüblich, aber es könnte bei Einrichtung einer separaten zusätzlichen LAN- Verbindung der 2 Syno mit einem korrekten Client Profil schon funktionieren.

Siehe dazu auch mal noch den Abschnitt Clientkonfiguration in:

https://www.thomas-krenn.com/de/wiki/OpenVPN_am_Synology_NAS_einrichten

In jedem Fall würde ich aber zuerst einmal das korrekte Funktionieren des Open VPN Servers mit einem der üblichen Clients überprüfen, sonst ist sowieso "Hopfen und Malz" verloren.

P.S. Der UDP Open VPN Port auf meiner Internetbox wird übrigens auch nicht als offen angezeigt, sondern im Heise-Test als "gefiltert", funktionieren tut er aber durchaus

POGO 1104

Müsste man hier nicht ein "Site to Site VPN" zwischen den 2 Synologys einrichten? (Im Gegensatz zu einem Client-Server VPN)

Werner

@POGO 1104 schrieb:

Müsste man hier nicht ein "Site to Site VPN" zwischen den 2 Synologys einrichten? (Im Gegensatz zu einem Client-Server VPN)

Natürlich auch ein möglicher konzeptioneller Ansatz.

Afaik können das die Synology Diskstations von Haus aus aber gar nicht, denn soweit ich weiss können das im Synology Umfeld nur die Synology Router und auch dann nur mit dem zusätzlichen kostenpflichtigen Paket VPN Plus.

Und erste Lernstufe ist ja in jedem Fall mal das Road Warrior VPN.

CH-Petrinho

@Werner

Bei mir wurde gestern von DSL auf Glasfaser umgeschaltet und ich habe die neue Internetbox 3 der Swisscom erhalten. Diese habe ich dann korrekt angeschlossen und mich an der IB3 angemeldet etc.

Danach habe ich all meine Geräte angeschlossen und allen eine statischen IP vergeben. Das hat soweit überall sehr gut funktioniert, nur mit meiner Synology DS415+ hatte ich Probleme. Ich musste den Synology Assistent benutzen um sie zu finden, obwohl ich sie über den LAN1 Anschluss direkt am Router angeschlossen habe.

Bis zur Umstellung hatte ich eine Fritz!Box 7490 im Einsatz und ich habe diese, wie auch das NAS mit Hilfe der supertollen Videoanleitungen von iDomix eingerichtet. Also auch die Dyndns bei selfhost.eu erstellt etc. Das hat nun alles seit zwei Jahren einwandfrei funktioniert.

Bei der IB3 habe ich schon mal herausgefunden, dass selfhost.eu nicht unterstützt wird bzw. nur die, welche bei der IB3 angezeigt werden. Das ist doch korrekt oder? Kannst du einen der Anbieter empfehlen?

Jedenfalls versuchte ich auf der DS die Routerkonfiguration anzupassen, doch da ich nirgends einen Hinweis gefunden habe um welchen Router es sich bei der IB3 handelt, konnte ich das nicht.

Gibt es die Möglichkeit mit der neuen IB3 die Einstellung in der DS und dem Router was die Portfreigaben betrifft wieder so hinzubekommen, wie ich es vorher mit der Fritz!Box 7490 hatte? Falls nicht, wenn ich mir die Fritz!Box 5490 Fibre kaufen würde, könnte ich es dann problemlos wieder so hinbekommen? Habe in anderen Beiträgen noch gelesen, dass mit FBeditor noch eine Datei muss angepasst werden etc. Also nicht wie bei der 7490, wo man mit der Auswahl von Swisscom ALL IP schon alles zum funktionieren gebracht hat.

Vielen Dank für deine Hilfe.

Werner

@CH-Petrinho

Da Du nun den Router und das IP-Netz Deines LAN gewechselt hast, geht es grundsätzlich darum Deine Synology Diskstation dem neuen Netzwerk anzupassen.

Bevor man da in die Details einsteigt, zuerst 2 grundsätzliche Fragen:

- hast Du die Einbindung der Syno bereits soweit angepasst, dass sie im neuen LAN der IB3 korrekt wieder ansprechbar ist und z.B. die Netzwerk-Laufwerke auch wieder normal verwendet werden können

- Dein neuer Glasanschluss, ist das FTTH mit bis zu 1 Gbit oder XGS-PON mit bis zu 10 Gbit, oder vielleicht einfacher gefragt, ist der Stecker am Glasfaser-SFP-Modul blau oder rot?

CH-Petrinho

Ja die Syno hat es mir dann in der IB3 danach angezeigt (kann sie auch als nicht verbunden über die App sehen), ich habe sie umbenannt und ihr eine feste IP zugewiesen und ich konnte auch am Anfang über den Explorer auf die hinterlegten Netzwerk-Laufwerke (Ordner Filme, Serien) auf der Syno zugreifen.
Weil das mit dem Routereinstellungen auf der Syno nicht funktionierte, wollte ich meine DS neu starten und das hat nicht funktioniert, nach über 15 Minuten hat sie weder aus- noch wieder eingeschaltet und ich habe sie dann über das lange Drücken am Power-Knopf augeschaltet, wie auch den Laptop und nichts mehr eingeschaltet.
Ich bin ziemlich sicher, dass der grüne Stecker am Eingang 2 des neuen Anschlusses ist und der Stecker für an die IB3 ist rot.

Werner

@CH-Petrinho

Natürlich gibt es immer verschiedene Lösungsmöglichkeiten, aber eines ist klar, wie es aussieht, hast Du einen der neuen XGS-PON Anschlüsse und da würde Dir auch eine Fritzbox Fiber gar nichts nützen, da es bis jetzt gar keine Fritzbox gibt, welche die Spezialitäten eines XGS-PON Anschlusses unterstützt.

Du kannst nun 2 verschiedene Wege gehen, entweder die Diskstation an die IB3 anpassen, oder die IB3 an Deine bisherige Diskstation anpassen.

Der zweite Weg ist eigentlich der einfachere und wie das geht ist hier beschrieben:

/t5/Router-Hardware/IB2-amp-Synology-DS214-NAS-im-Netzwerk-nicht-sichtbar/m-p/567616#M24075

Da wir hier vom Thema her sowieso im falschen Thread sind, würde ich auch vorschlagen, dann im anderen Thread weiter zu diskutieren.