Hallo liebe Community Habe meinen bei mir auf dem Synology-NAS den VPN Server konfiguriert und auf der Internetbox die entsprechenden Ports weitergeleitet. Funktioniert auch alles wunderbar. Jetzt gibt es aber eine kleine Unschönheit. Und zwar ist über den Tunnel jetzt auch der Zugriff auf das WebUI der Internetbox möglich. Ja es ist extrem unwahrscheinlich dass ein fremder Mutwilig sich in den VPN-Tunnel einschleusen kann dann auf das WebUI des Routers zugreift und dort noch das Passwort rausfindet und kA was dann anstellt. Aber es geht mir ums Prinzip😃 Die eigentliche Frage: Kann ich mit bestehender Hardware (Internetbox und Synology DS214) den Zugriff auf das WebUI der Internetbox sperren, so dass ich aber weiterhin auf das DSM der Synology von aussen zugreiffen kann? Danke Edit: L2TP/IPsec wird als VPN verwendet.

Ich schlage dir ipfire vor 😄 Kann ja sein das man mehrere gleichzeitige VPN Verbindungen erstellen möchte - ipfire, kein Problem. Kann sein das man 2 oder mehrere Standorte direkt miteinander verbinden möchte. - ipfire, kein Problem. Es geht darum jedem VPN Benutzer sein individuelles Konto einzurichten. - ipfire, kein Problem Kann sein das man jedem VPN Benutzer genau sagen möchte auf was er im Netzwerk Zugriff hat und auf was nicht. Richtig, ipfire kein Problem. Das sind ja nicht mal abgefahrene Features, das sind nur einfache Basics. Mal schauen was dann die Internet Box können wird, hehe

Du solltest das mittels Firewall Regel auf der Synology unterbinden können. Erstelle auf dem LAN eine Regel welchem dem Subnet des VPN die Verbindung über http und https auf die IP der Internet-Box verbietet.

Hallo TuxOne Danke für die (wie immer:smileyvery-happy:) schnelle Antwort. Verstehe das Prinzip was gemacht werden soll aber hab so meine Mühe mit der Eingabe im DSM. Habe mal ein Screen-Shot gemacht, wenn ich die Einstellungen so übernehme dann funktioniert leider gar nichts mehr. Wie muss ich die Einstellungen genau eingeben? [upl-image-preview liId=18539i63125F9A4CB45C73 alt=Firewall_Setup.jpg uuid=e1c76d96-24e1-4b3c-8dae-e351a8837802]

Du hast jetzt bei Ports alle angewählt. Du kannst dort benutzerdefiniert 80 und 443 wählen oder bei den Diensten Webservices http und https. Indem du alles sperrst, hast du natürlich keine DNS Auflösung mehr usw. Das musst du mal versuchen. Wie genau müsste ich auch mal pröbeln. Eventuell gehts so auch gar nicht, da wir damit den http Traffic auf das Gateway sperren. Theoretisch dürfte das keinen Effekt auf den Http Traffic mit anderen Zielen haben, aber eben...

Habe zu Hause nachgeschaut. Die WUI Firewall taugt dazu nicht, da man kein spezielles Ziel angeben kann. Allenfalls könnte man iptables direkt konfigurieren. Würde ipfire verwenden. Da geht so was direkt im Webinterface. In dem Fall würde man das VPN auf der Firewall terminieren womit dieses ein eigenes Netz ist. Die Diskstation könnte oder würde man in eine DMZ stellen. Von und zu mit was und wie zu welcher Zeit und wie oft usw. Das ist eine Firewall 🙂

Super 🙂 Danke fürs nachschauen. Schade das es mit der Firewall der DS nicht geht. IP-Fire hätte ich schon immer mal ausprobieren wollen aber hab bisher die Finger davon gelassen wegen SC-TV und Konfiguration, bin nicht so der "Hirsch" was tiefere IT-Konfigurationen angeht. Aber glaube nun ist es mal soweit sich die Hände schmutzig zu machen. Was für eine Hardware würdest du mir empfehlen um IP-Fire zu verwenden?

Noch eine Frage. Würde IP-Fire mit SC-TV auf mehreren TV-Boxen funktionieren oder würde die FW Probleme haben wenn mehrere Multicast Streams im Netzwerk rumgeistern? Wenn dem so wäre würde das ganze ins Wasser fallen. Habe jetzt mal noch dem Synology-Support geschrieben ob sie eine Lösung haben den Tunnel bis zur DS zu erlauben und dann den Sack zu machen. Mal abwarten...

So, habe nun nach ein paar Mails hin und her Antwort von Synology erhalten. Die Supporter dort haben mir vorgeschlagen einfach die IP-Sperre zu verwenden. Blöd nur wenn die Clients welche über das VPN rein kommen dynamische IP's haben... und vorallem hätten diese dann weiter Zugriff auf das ganze LAN, was ich ja nicht möchte. Also bestätigt sich das was TuxOne mir bereits gesagt hatte, auch der Support hat dafür keine Lösung. Zum Thema Alix & FW: Habe Kurz eine Zeichnung gemacht wie das Setup wohl aussehen sollte. Korrigiert mich bitte wenn ich dabei falsch liege. Was ich noch nicht ganz begriffen habe ist wie ich die FW dann konfigurieren soll, also VPN Ports öffnen ist soweit klar, aber wie müsste ich die FW dann konfigurieren dass VPN-Clients NUR auf die DS kommen und nicht in das LAN. [upl-image-preview liId=18581i92F59BDC4D7B692B alt=Netzwerk_Layout.jpg uuid=e3df73f0-ef7e-41f5-b7f8-f74e2bb51a9d]

Mit ipfire ist vieles möglich. Dabei ist es noch eine einfache Firewall. Hier ein Beispiel welches jetzt nicht zu deiner Skizze passt. Bei deiner Skizze könnte man dem VPN zB. den Zugriff auf das LAN (Grün) ganz entziehen bez. nicht aktivieren, und den Zugriff nur auf das Internet und der DS welche in einer DMZ (Orange) stehen könnte gewähren. Das VPN würde man natürlich eher auf der ipfire selber terminieren. [upl-image-preview liId=18587i30D906A8A4DC121D alt=2015-03-13 22_45_37-IPFire - Firewallregeln.png uuid=e8f7661b-1fff-4010-88c1-0feae7187608]

Ich würde lieber darauf vertrauen das du eher einen sechser im Lotto kiegst bevor jemand deine VPN UND deine IB knackt 😜

Es geht mir eigentlich weniger um den Router. Habe einen blöden Titel gewählt und die Frage etwas falsch formuliert. Der Router kann von mir aus Untergehen im worst case Szenario. Geht mir eigentlich mehr um die Teilnehmer im LAN dass diese geschützt sind. Mein Probelm ist, dass wenn die VPN-Clients (Freunde & Familie) angegriffen werden der Angreiffer dann natürlich auch Zugriff auf mein LAN hat was natürlich nicht so toll ist. Wollte deshalb eigentlich das VPN nur bis zur DS führen und dem Router oder DS eben sagen das VPN nicht aufs restliche LAN anzuwenden. Ja ich weiss ein VPN ist eigentlich genau dafür gedacht für sight-to-sight verbindungen um zweites LAN aus der Ferne erreichbar zu machen. Aber dieses Feauture möchte ich eben kastrieren und nur die DS erreichbar machen und deren Services brauchen. Nun kommt es drauf an wie viel Aufwand und Geld dies verschlingen würde. Nutze eig das NAS als Ablage für Dateien, Printserver mit Scan-Ablage und Backupdestination mittel Acronis. VPN wäre ja hier eigentlich die sicherere Variante da ich die DS dann auch nicht "offen" mit einer DDNS ins Netz stellen muss sondern nur über VPN erreichbar mache. Blöd nur wenn jetzt ein Client angegriffen wird dann hat der Angreifer einen direkten Tunnel zu mir... Was schlagt ihr mir vor?😞

Caricamento in corso…

Webzugriff auf Internet-Box sperren (Synology VPN-Server)

« Pagina precedente

Si è verificato un errore durante il caricamento di questa pagina.