DS118 via VPN erreichen

[Mordanius]

Liebe Community,

ich bin hier langsam am Verzweifeln, da ich von der Thematik so gut wie gar keine Ahnung habe.

Folgendes Szenario:
Ich möchte meinen DS118 via VPN für einen anderen Windows-PC erreichbar machen; dieser steht außerhalb
der Wohnung und ist somit nicht Teil meines Netzwerks. Somit soll der NAS rudimentär für den Dateiaustausch dienen.

Was ich schon erledigt habe: OpenVPN

• DS118 mit DSM 7
• VPNServer Paket auf NAS installiert, OpenVPN aktiviert
• Ports im NAS aktiviert 1194 UDP
• Ports in der FritzBox geöffnet 1194 UDP
• DynDNS eingerichtet
• Firewall im NAS konfiguriert, alle VPN-Ports offen
• Dynamische IP eingerichtet
• Benutzer- / Rechtevergabe
• Konfigurationsdatei erstellt -> In dieser Datei die YOUR_SERVER_IP mit meiner DynDNS ersetzt
• Diese Konfigurationsdatei per Mail an den Client-PC geschickt und in OpenVPN eingebunden
• Muss ich im NAS ein Zertifikat erstellen? Wo mache ich das?

Was Probleme macht:

• Auf einem iPhone mit diesem Konfigurationsprofil (LTE-Verbindung) alles bestens!
• Auf einem Win11-PC kommt immer die Fehlermeldung "Peer Certificate Verification failure", nach Aktivieren des Tunnels im OpenVPN-Client. Das Ganze über TeamViewer von MEINEM PC (Ist das ein Problem?)
• Was mache ich falsch? (Eine ca.crt-Datei wird übrigens nicht generiert)

Gibt es für die VPN-Windows Variante eine einfachere Alternative? Was ist mit L2TP/IPSec?

Wie gesagt, seid bitte nachsichtig, ich mache das zum ersten Mal und sitze seit einer Woche :-(
Angeleitet wurde ich durch die FAQs von Synology unter: https://kb.synology.com/de-de/DSM/help/VPNCenter/vpn_setup?version=6

Bin für jeden Ratschlag dankbar!

Vielen Dank ;-)

 

[Malaclypse17]

Auf einem Win11-PC kommt immer die Fehlermeldung "Peer Certificate"

Über was genau versuchst du dich da zu verbinden, über den OpenVPN Client?

 

[Mordanius]

Ja, über den Client von OpenVPN, werde ich mal ergänzen....

 

[Malaclypse17]

Bei OpenVPN bin ich selber auch überfragt, hast du dir als Alternative mal Wireguard angeschaut? Recht einfach einzurichten und wesentlich schneller.

 

[Mordanius]

Wireguard sieht aber nicht gerade leicht aus, um es einzurichten ;-)

 

[blackshuck]

Wer ist dein Provider?

 

[Mordanius]

Telekom und auf der Gegenseite Vodafone

 

[Malaclypse17]

Kannst du evtl. das Verbindungslog hochladen, oder einen Screenshot der Fehlermeldung?

 

[blackshuck]

Also hast du auch defintiv eine richtige IPv4 Adresse und kein DualStack-lite, korrekt?

 

[Mordanius]

[Nov 13, 2021, 16:36:51] Connecting to [XXX.XXX.com]:1194 (XX.XX.XX.XX) via UDPv4
⏎[Nov 13, 2021, 16:36:51] EVENT: CONNECTING ⏎[Nov 13, 2021, 16:36:51] Tunnel Options:V4,dev-type tun,link-mtu 1602,tun-mtu 1500,proto UDPv4,comp-lzo,keydir 1,cipher AES-256-CBC,auth SHA512,keysize 256,tls-auth,key-method 2,tls-client
[Nov 13, 2021, 16:36:51] Creds: Username/Password
[Nov 13, 2021, 16:36:51] Peer Info:
IV_VER=3.git::c2153df1
IV_PLAT=win
IV_NCP=2
IV_TCPNL=1
IV_PROTO=30
IV_CIPHERS=AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305:AES-256-CBC
IV_LZO_STUB=1
IV_COMP_STUB=1
IV_COMP_STUBv2=1
IV_IPv6=1
IV_GUI_VER=OCWindows_3.3.2-2475
IV_SSO=openurl,crtext

⏎[Nov 13, 2021, 16:55:02] Transport Error: socket_protect error (UDP)
⏎[Nov 13, 2021, 16:55:02] Client terminated, restarting in 2000 ms...
⏎[Nov 13, 2021, 16:55:04] EVENT: RECONNECTING ⏎[Nov 13, 2021, 16:55:04] EVENT: RESOLVE ⏎[Nov 13, 2021, 16:55:05] Contacting [XX.XXX.XXX.XX]:1194 via UDP
⏎[Nov 13, 2021, 16:55:05] EVENT: WAIT ⏎[Nov 13, 2021, 16:55:05] WinCommandAgent: transmitting bypass route to XX.XXX.XXX.XX
{
"host" : "XX.XXX.XXX.XX",
"ipv6" : true
}

⏎[Nov 13, 2021, 16:55:05] Transport Error: socket_protect error (UDP)
⏎[Nov 13, 2021, 16:55:05] Client terminated, restarting in 2000 ms...
⏎[Nov 13, 2021, 16:55:07] EVENT: RECONNECTING ⏎[Nov 13, 2021, 16:55:07] EVENT: RESOLVE ⏎[Nov 13, 2021, 16:55:07] Contacting [XX.XXX.XXX.XX]:1194 via UDP
⏎[Nov 13, 2021, 16:55:07] EVENT: WAIT ⏎[Nov 13, 2021, 16:55:07] WinCommandAgent: transmitting bypass route to XX.XXX.XXX.XX
{
"host" : "XX.XXX.XXX.XX",
"ipv6" : true
}

⏎[Nov 13, 2021, 16:55:07] Transport Error: socket_protect error (UDP)
⏎[Nov 13, 2021, 16:55:07] Client terminated, restarting in 2000 ms...
⏎[Nov 13, 2021, 16:55:09] EVENT: RECONNECTING ⏎[Nov 13, 2021, 16:55:09] EVENT: RESOLVE ⏎[Nov 13, 2021, 16:55:09] Contacting [XX.XXX.XXX.XX]:1194 via UDP
⏎[Nov 13, 2021, 16:55:09] EVENT: WAIT ⏎[Nov 13, 2021, 16:55:09] WinCommandAgent: transmitting bypass route to XX.XXX.XXX.XX
{
"host" : "XX.XXX.XXX.XX",
"ipv6" : true
}

⏎[Nov 13, 2021, 16:55:09] Transport Error: socket_protect error (UDP)
⏎[Nov 13, 2021, 16:55:09] Client terminated, restarting in 2000 ms...
⏎[Nov 13, 2021, 16:55:11] EVENT: RECONNECTING ⏎[Nov 13, 2021, 16:55:11] EVENT: RESOLVE ⏎[Nov 13, 2021, 16:55:11] Contacting XX.XXX.XXX.XX:1194 via UDP
⏎[Nov 13, 2021, 16:55:11] EVENT: WAIT ⏎[Nov 13, 2021, 16:55:11] WinCommandAgent: transmitting bypass route to XX.XXX.XXX.XX
{
"host" : "XX.XXX.XXX.XX",
"ipv6" : false

⏎[Nov 13, 2021, 16:55:11] Transport Error: OpenSSLContext::SSL::read_cleartext: BIO_read failed, cap=2576 status=-1: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed
⏎[Nov 13, 2021, 16:55:11] EVENT: CERT_VERIFY_FAIL OpenSSLContext::SSL::read_cleartext: BIO_read failed, cap=2576 status=-1: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed⏎[Nov 13, 2021, 16:55:11] EVENT: DISCONNECTED ⏎

@blackshuck: Sorry, da bin ich definitv überfragt.

 

[blackshuck]

Hast du Telekom DSL oder Glasfaser? Wie hast du DynDNS eingerichtet?

Edit: Mhh, sehe grad, dass es über ein IPhone per LTE ja klappt...

 

[Malaclypse17]

Wie siehts denn aus, wenn du testhalber "TLS auth Schlüssel überprüfen" und "CN des Servers überprüfen" deaktivierst im OpenVPN Server?

 

[Mordanius]

Hat geklappt!!! "LS auth Schlüssel überprüfen" und "CN des Servers überprüfen" deaktiviert...

Wie binde ich jetzt den NAS beim Client im Explorer ein?

 

[Malaclypse17]

Das kommt auf die Konfiguration des NAS an, hast du eine Freigabe auf dem NAS erstellt?
Wenn ja, dann einfach die IP des NAS mit dem Freigabe-Ordner als Netzlaufwerk verbinden, z.B. \\10.0.100.1\Freigabe.

 

[Mordanius]

Klasse, funktioniert endlich, vielen Dank. Leider ist die Verbindung sehr langsam gewesen, hoffe dies lag an der gleichzeitigen TeamViewer Sitzung oder aber dass ich mit meinem NAS Nutzer 2x eingeloggt war (Mein PC + Client)

 

[omavoss]

Leider ist die Verbindung sehr langsam gewesen,

Die DS-118 ist nun mal nicht diejenige Synology mit der proppersten Hardware-Ausstattung, insofern kann deren VPN-Server nicht sehr schnell die Daten durchschaufeln. Das ist jetzt nicht abwertend gemeint! Es sind eben technische Gegebenheiten, die einen schnelleren Durchsatz verhindern.

 

[Malaclypse17]

Evtl. geht es etwas schneller wenn du die Verschlüsselung runterdrehst und wie gesagt, wenn es an Geschwindigkeit fehlt, kann ich da nur wärmstens Wireguard empfehlen, da weiß ich allerdings nicht wie schnell/einfach das mit diesem NAS einzurichten ist.

 

[Mordanius]

Vielen Dank nochmal, endlich klappt es einigermaßen :-)

Macht es eigentlich einen Unterschied, ob ich den NAs auf dem Client als "Netzlaufwerk" oder als "Netzwerkadresse" hinzufüge?

 

[omavoss]

@Mordanius:
Hast Du einen Laufwerksbuchstaben "übrig", nimmst Du Netzlaufwerk, ohne Laufwerksbuchstaben würde es mit Netzwerkadresse genauso funktionieren. Das wäre aus meiner unmaßgeblichen Sicht der einzigste Unterschied.

Und ja: +1 für Wireguard. Den Client auf Smartphone oder Tablet herunterladen, neues VPN einrichten, QR-Code scannen -> fertig. Wobei ich bisher noch kein Wireguard-Plugin für die Syno gefunden habe, auch bei den verschiedensten Communities nicht. Auf meinem Raspi 4 funktioniert Wireguard hervorragend.

 

[Mordanius]

Liebe Community, muss das Thema leider noch einmal aufmachen.

Seit einigen Tagen hat der Client-PC extreme Probleme mit der Geschwindigkeit.
Die VPN Verbindung steht sehr schnell und stabil, aber das Arbeiten über den Client funktioniert
überhaupt nicht mehr gut. Teilweise bewegt sich der Down-/Upload des Clients im KB/s Bereich,
obwohl am Setting mit dem NAS nichts verändert wurde.

Ich meine mir einzubilden, dass dies mit einem der vorherigen Windows-Update losging, Probleme zu verursachen, aber sicher bin ich mir nicht.

Gravierendster Unterschied ist, dass der Client PC nun mit Windows 11 läuft und nicht mehr mit Windows 10, ansonsten wurde nichts verändert.

Hat jemand Rat? Sollte ich doch auf einen anderen VPN Dienst setzen oder gar Nextcloud?

Bin für jeden Ratschlag dankbar ;-)