[Future010]

Hallo,

mal wieder geht es bei mir um ein Netzwerk Thema, dieses mal VPN. Ich habe mir nun eine neue Fritzbox gekauft und bin auch zufrieden, gleichzeitig habe ich in dem Zuge mein Heimnetz aufgeräumt und die IPs sauber(er) vergeben. Gleichzeitig nutze ich ein NAS von Synology mit der Weboberfläche (SSL und Zertifikat) und SFTP. Interessant ist, dass es ja wirklich einige Leute im Internet gibt, die diese Ports gerne mal abscannen, schon witzig. Naja weil ich in Punkto Sicherheit noch etwas drauflegen wollte habe ich mir mal VPN angesehen.


Mir stellt sich jetzt die Frage, wo richtet man denn sein VPN ein? Auf der Fritzbox, oder auf dem NAS? Was ist sicherer und was ist besser? Grundsätzlich mal gefragt, wie sicher ist eigentlich SFTP und wie sicher ist eine Anmeldeoberfläche über https? Kann ich ein Netzwerklaufwerk einbinden (das vom NAS), wenn ich über VPN verbunden bin?

Das sind aktuell Fragen die mich sehr beschäftigen, grundsätzlich wird immer gesagt gutes Passwort, naja das alleine wird sicherlich nicht nur die Lösung sein. Daher auch die Frage bezüglich des VPNs.

[Future010]

Hey Darkness,

danke für deine Antwort. Nun ich habe mein NAS von extern erreichbar gemacht, sodass ich die Weboberfläche und SFTP nutzen kann (funktioniert auch). Die jeweiligen Ports sind auch freigeschaltet, weil mir das aber etwas zu unsicher war oder ist (?) wollte ich mir mal die Absicherung über VPN ansehen. Wobei sich mir dort die Frage gestellt hat, ob man das über das NAS, oder über die Fritzbox einrichten sollte.

Ist es möglich, ein VPN aus einem Unternehmen heraus aufzubauen?

[RalphS]

Das sind irgendwie alles fünf Paar Schuhe.

Ob man jetzt den Zugriff ermöglicht via Port Forwarding, oder via VPN bleibt sich -praktisch- gleich. Aber die Wege sind verschieden und wenn man Ports freigibt und VPN konfiguriert, hat man hinterher einfach nur zwei Freigaben auf eine Ressource.

VPN ist aber einen ganzen Ticken aufwendiger als Portfreigabe und auf die Fritzbox würde ich mich ehrlich gesagt nicht verlassen wollen wenn AVM der einzige deutsche Hersteller wäre... ach halt, sind sie ja (gefühlt).


Spielerischmaßens könnte man das probieren. Man braucht dann zwingend einen Anbieter für dynamische DNS-Zuweisung und muß auf der FB den VPN-Zugriff irgendwie konfiguriert bekommen.

Wobei das womöglich über den MyFritz-Namen geht. Will mir das grad nicht ernsthaft anschauen (müssen)


Kurzer Blick auf die Konfigurationseinstellungen meiner FB deutet aber an, daß es zumindest funktionieren müßte - allerdings kann ich grad nicht schauen, wie es mit den Absicherungsoptionen aussieht und für VPN sind so ziemlich alle Optionen wertlos, die nichts mit Zertifikaten zu tun haben.

Nachtrag: Sieht aus, als könnte man die Verbindungsparameter erst gar nicht sehen, geschweige denn ändern.

Vielleicht bin ich zu blöd zum gucken. Ansonsten No-Go.

[RalphS]

Okay. Und wie sieht es mit der IPsec-Konfiguration aus? Von nichts kommt die ja nicht.

Und ja, klar, jeder dyndns-Anbieter geht; nur zwingend erforderlich ist der Einsatz von "irgend"einem. Den MyFritz-Dienst hatte ich nur angesprochen, weil der womöglich bereits eingerichtet ist. Hier hat man dann allerdings einen "komischen" FQDN und ein nicht minder "komisches" Zertifikat.

[Candlebox]

Hab zwar kein "NAS" aber meinen DVBViewer Mediaserver erreiche ich per VPN über die eingehende Verbindung meines Win 8.1 Rechners.
Hab zwar eine 7390 und ging auch über derer VPN, aber paßte mir nicht.
Die myFritz Dyn habe ich über meinen Domainanbieter per CNET-Name an eine leicht zu merkende Adresse umgeleitet.

[Future010]

Danke für eure tollen Antworten! Also Ziel soll ja gerade sein, dass ich nicht mehr diverse Portfreigaben etc. habe, sondern gleich meine Sachen erreichen kann, wie im LAN, was VPN ja auch prinzipiell ermöglichen soll. Daher erhoffe ich mir mit der VPN Lösung erstens etwas mehr Sicherheit und zum anderen nur einen einzigen Weg, anstatt jetzt mehrere Port Freigaben.

Daher auch nochmal kurz die Frage eingeworfen, wo sollte man denn sein VPN konfigurieren? Auf der Fritzbox oder im NAS?
In der Fritzbox soll das laut Sempervideo recht einfach (interessanterweise sehr einfach) gehen.


Darkness, warum rätst du davon ab ein NAS von außen erreichbar zu machen? Ich möchte ja eigentlich auf meine Daten zugreifen, daher muss ich zwingend irgendetwas in Kauf nehmen, ob es jetzt Portfreigaben sind oder VPN wäre dann noch zu debattieren, da bin ich gerade unschlüssig?

Wozu ratet ihr mir?

Dieser Beitrag wurde von Future010 bearbeitet: 06. August 2017 - 21:52

[Candlebox]

Ausprobieren.

Kenne das Sempervideo. Wie gesagt, hatte das auch kurz über die FB, mir paßte das so nicht.

Wenn du dich dann entschieden hast, was für dich logischer, besser und funktionstüchtiger ist, kann man ja dahingehend weiterdiskutieren auf was man noch achten sollte.

[Future010]

Candlebox danke für deine Antwort, wenn ich fragen darf? Warum passte dir das nicht? War es zu langsam?

[Candlebox]

Mein Szenario ist ein anderes als Deins.

Wir haben im Geschäft ein freies WLAN.
Mit meinem Notebook z.B. kann ich mich darin einloggen und surfen. Das ist erlaubt.

Wenn ich ab und an Nachtschicht mache, und nichts besonderes anliegt, wollte ich Live-TV-schauen, oder mir Serien von meinem NAS (das ist ein stinknormaler Windows-PC) anschauen, falls ich vergessen haben sollte, die auf dem Stick mitzunehmen.

Das dyndns über myfritz auf meiner Domain, habe ich schon lange, aber wollte eben auch auf meinen DVB-Viewer Mediaserver und meine Rechner im privaten Netzwerk zugreifen, um mir meine Serien, Live-TV und Aufnahmen streamen zu können.

Da ich nicht wollte, daß nachvollziehbar wäre, welche Ports und Kennwörter übertragen werden habe ich das VPN der FB ausprobiert.

Um damit auf die FB mit dem Windows-PC zugreifen zu können braucht man das Fritz.Box! VPN Client-Tool, daß derzeit nicht mehr unter Win10 läuft. Ich habe dann auf das NB 8.1 draufgemacht, da läuft das Tool und man kann damit eine VPN-Verbindung zur heimischen FB aufrufen. Das funktionierte zwar, war mir aber so zu doof.

Dann habe ich auf meinem Hauptrechner, mit 8.1 die eingehenden Verbindungen (VPN) aktiviert und eingerichtet, und kann mit meinem Notebook (NB) jetzt wieder Win10, mich mit meinem Hauptrechner temporär bei Bedarf verbinden und bin damit auch in meinem heimischen Netzwerk, als wie wenn ich zuhause wäre, verbunden. PW, Zugangsdaten sind so auch nicht ermittelbar.
Dafür bedarf es theoretisch einer Portfreigabe TCP 1723 in der FB auf den Hauptrechner den die FB dann automtisch weckt, wenn ein Rechner aus dem Netz drauf zugreift.
Ich habs halt so, und das schon ziemlich seit Jahren, auch wenn Sicherheitsexperten dies wohl als töricht ansähen.

[RalphS]

Wenn Portfreigaben nicht sein sollen, dann muß der VPN-Zugriff notwendigerweise über die Fritzbox.

Wenn man sich dann per VPN verbindet, wäre das NAS "wie von zuhause aus" zu erreichen.

[Future010]

Danke für eure Antworten (wann schlaft ihr eigentlich? oft sehe ich ja Beiträge von Ralph ab 5 Uhr (morgens))

Also die Dienste die ich nutze Funktionieren auch über die Port Freigaben, das habe ich zuerst getestet, theoretisch bin ich damit auch zufrieden. Nur dieses Hintergrundrauschen im Netz, sprich die Port Scanner nerven mich etwas. Die Alternative zu den Ports wäre dann halt das VPN, wie Ralph ja auch sagt. Nur was ist denn besser oder sicherer? VPN oder Ports freizugeben? oder nimmt sich das nichts?

Würde die VPN Verbindung gekapert werden heißt das, dass ein Zugriff auf das gesamte Netzwerk möglich wäre, wäre also nicht so toll. Bei Ports so nehme ich an, kann weniger passieren, weil der Port für einen speziellen Dienst nutzbar ist. Was allerdings ein bisschen Pappe ist, ist dass dieser Fritzbox Client für die VPN Verbindung in einer aktuellen Beta ist. Das bloße Einbinden des VPNs in Windows geht von Seiten AVM leider nicht (was sehr ärgerlich ist, da Windows nun endlich einen VPN Client von Haus aus hat und man den ja nutzen sollen könnte ...)

Dieser Beitrag wurde von Future010 bearbeitet: 07. August 2017 - 18:09

[RalphS]

Schlafen?

Wo wir leben, braucht es keine ... ... Schlafen.

Viel nehmen tut es sich nichts. Das Risiko zieht nur um: Entweder hängt es an der VPN-Verbindung oder es hängt an dem/denjenigen Systemdiensten, die frei übers Internet erreichbar sind.

Sinngemäß: je mehr Dienste erreichbar sind, desto schlecht, und desto mehr verschiebt sich das Optimum in Richtung VPN.

Und klar geht auch ein VPN-Client, der nicht auf der Fritzbox lebt. Dann brauchst Du aber die Portfreigabe(n) auch. Irgendwie muß ja das VPN zum Client kommen.

Dieser Beitrag wurde von RalphS bearbeitet: 07. August 2017 - 18:47