DYNDNS und NAS

[mario10247]

Hallo an das Forum,
folgendes Szenario: Fritzbox 7390, NAS (hängt natürlich am Router) von Zyxel, Namensauflösung über TwoDns, Ports frei geschaltet (FTP und HTML) für mein Notebook, sowie ein großer Rechner (diese über Wlan verbunden) und das NAS.
Gebe ich nun in einen Browser die Adresse ein, lande ich sofort auf dem NAS. Nun hätte ich aber gern Zugriff auf die anderen Rechnern (also eine Auswahl). Wie kann ich das anstellen? Die Portweiterleitungen sind für jedes Gerät gleich eingestellt. Danke!

 

[wupi]

Ports frei geschaltet (FTP und HTML) für mein Notebook

Du hast die gewünschten Ports zu der IP deines Notebooks weitergeleitet ? Und die Ports auf deinem Notebook freigeschaltet (Firewall) ?

 

[chrigu]

Die fritzbox als VPN Zugang konfiguriere, somit ist dein Netzwerk geschütz. besonders offenes ftp im Internet ist eine Garantie für datenklau

 

[mario10247]

@wupi Ich habe die Firewall sogar zeitweise komplett abgeschaltet, jedoch lande ich immer wieder auf dem NAS. @Chr.Stein igu VPN richte ich ein, wenn erst einmal das geklappt hat.
Vllt. selbständige Portfreigaben abschalten? Irgendwie komme ich durch den Router nur bis zum NAS und die anderen Geräte sind quasi tot.

Ergänzung (22. November 2019)

Noch ein Nachtrag: ich lande auf der Administratorebene des Zyxel NAS, nicht etwa in der Ordnerstruktur, da komme ich auch nicht hin.

 

[Raijin]

VPN richte ich ein, wenn erst einmal das geklappt hat.

Sorry, aber nein. Das was man bei öffentlichen Portweiterleitungen an "Erfahrung" sammelt, bringt dir rein gar nix, wenn du dann auf VPN umstellst. Das sind zwei Paar Schuhe - und zwar Hand- und Schneeschuhe.

Portweiterleitungen auf beliebige Geräte im Netzwerk - zudem auch nich FTP (!) - sind fast schon eine Garantie für Angriffe von außen und die Chance auf einen Erfolg ist unkalkulierbar hoch.

Richte JETZT das FritzVPN und nutze dein v-o-l-l-s-t-ä-n-d-i-g-e-s Netzwerk so als wenn du daheim auf der Couch sitzt - egal welche Geräte, egal welche Dienste. Es ist 100% sinnlos, "erstmal" Portweiterleitungen zum Laufen zu bringen, weil man bei VPN gar keine braucht.

 

[mario10247]

Sorry, habe ein bisschen gepennt. VPN ist schon längst eingerichtet, hatte es nur nicht mehr auf dem Schirm. Sowohl VPN vom Router nach draußen, als auch die eigenen Geräte zu meiner Fritzbox.

 

[wupi]

Portweiterleitungen auf beliebige Geräte im Netzwerk - zudem auch nich FTP (!) - sind fast schon eine Garantie für Angriffe von außen und die Chance auf einen Erfolg ist unkalkulierbar hoch.

Ja, aber du hast bestimmt ein paar tips parat wie man einen FTP absicher kann, richtig ?

 

[Raijin]

@wupi
VPN ist sogesehen die Absicherung von FTP. Via VPN kann man auch munter unverschlüsseltes logins-in-klartext-übertragendes nacktes FTP nutzen, weil es über die VPN-Verbindung vor neugierigen Blicken geschützt ist.
Wenn man unbedingt direkt FTP nutzen will oder von mir aus auch muss - kommt ja auf den Anwendungsfall an - sollte man SFTP oder FTPS nutzen, beides verschlüsselte Varianten von FTP.
Ohne VPN und mit nacktem FTP sind die Sicherheitsmaßnahmen begrenzt. Sobald man an einem öffentlichen Hotspot den FTP-Login nutzt kann dieser als Klartext von Unbefugten ausgelesen und genutzt werden.

VPN ist schon längst eingerichtet, hatte es nur nicht mehr auf dem Schirm.

Heißt das nu, dass dein beschriebenes Problem hinfällig ist? Via VPN bist du dann ja bereits in deinem Netzwerk und brauchst keinerlei Portweiterleitungen mehr, weil du direkt auf die jeweiligen Geräte und deren Dienste zugreifen kannst.

 

[mario10247]

Ich rede nicht davon, innerhalb meines Netzwerkes auf irgendetwas zugreifen zu können, dies klappt immer, sondern von außen! Sonst bräuchte ich ja auch nicht DYNDNS.

 

[Raijin]

Ich rede nicht davon, innerhalb meines Netzwerkes auf irgendetwas zugreifen zu können

Ich auch nicht :

Richte JETZT das FritzVPN und nutze dein v-o-l-l-s-t-ä-n-d-i-g-e-s Netzwerk so als wenn du daheim auf der Couch sitzt

Ich bin täglich via VPN mit meinem Heimnetzwerk verbunden und kann sigar auf meinem Drucker drucken - von außen.

 

[mario10247]

Das beschreibt jetzt aber nicht wirklich die Lösung zu meinem Problem?

 

[Raijin]

Deine Problembeschreibung in #1 bezog sich auf Portweiterleitungen, die bei einer VPN-Verbindung zum Router nicht benötigt werden. Portweiterleitungen greifen nur bei direkter Verbindung von außen ohne VPN. Wenn man also im Browser direkt http://bla.mariosddns eingibt. Bei VPN greift man aber auf die LAN-IP des Zielgeräts zu. VPN verbinden, im Browser http://192.168.178.123 eingeben und fertig.
Geht das nicht, liegt ein Problem mit der VPN-Konfiguration vor.

 

[mario10247]

OK. Dazu müsste man ja die Lan IP wissen, deshalb Namensauflösung?

 

[Raijin]

Das ist wiederum ein anderes Thema. Deine ursprüngliche Problembeschreibung ist nun also vollends am eigentlichen Problem vorbei

Da ich keine Fritzbox habe, sondern OpenVPN nutze, kann ich dir diesbezüglich nur allgemeine Hinweise geben. Wenn du die Fritzbox auch via VPN als DNs nutzt, müsste die Namensauflösung eigentlich bereits funktionieren, wenn sie denn lokal funktioniert. Standardmäßig prüft Windows bei der Namensauflösung als erstes immer die eigene hosts-Datei, dann den primären und anschließend den sekundären DNS. (Danach geht's weiter mit netbios, aber das ist eine andere Geschichte)

Wenn die VPN-Verbindung hergestellt ist - vorzugsweise mit einem Laptop getestet - via nslookup oder vergleichbarem DNS-Tool bzw. -App explizit einen DNS-Request an die Fritzbix stellen (zB nslookup einname 192.168.178.1). Wenn das lokal die richtige IP zurückgibt, sollte es auch via VPN gehen.

Zur Not trägt man die notwendigen IPs mit Namen in die hosts-Datei des Geräts ein, mit dem man unterwegs ist. Bei Smartphones wird das ggfs kompliziert mit root und so...

Ich persönlich habe meine IP-Adressen jedoch so strukturiert und vergeben, dass es kein Thema ist, sich die IPs zu merken. Beispielsweise meine APs auf .10 / .11, mein Drucker mit der .250 am Ende, mein Server mit .254 (letzte IP im Subnetz). So ist man grundsätzlich unabhängig davon ob die Namensauflösung funktioniert oder nicht.

 

[Datax]

OK. Dazu müsste man ja die Lan IP wissen, deshalb Namensauflösung?

Das hängt davon ab, ob die Geräte, auf die du über die VPN-Verbindung zugreifen möchtest,
eine feste/statische IP-Adresse haben (die du lokal an den Geräten konfiguriert hast) oder die betreffenden Geräte ihre IP-Adresse per DHCP beziehen und ein Stückweit ist es auch eine Frage des Komforts.

Wenn du auf den Geräten per Hand feste/statische IP-Adressen konfiguriert hast,
dann sind dir die IP-Adressen ja bekannt (weil selbst ausgedacht und per Hand konfiguriert), so dass du diese beispielsweise in die hosts-Datei des PCs/Notebooks eintragen kannst, von dem aus später der Zugriff auf diese Geräte per VPN-Verbindung erfolgen soll.

Wie man die hosts-Datei unter "Windows 10" editieren kann,
kannst du z.B. hier nachlesen:
https://www.windowspro.de/wolfgang-sommergut/hosts-datei-windows-10-bearbeiten

Falls die Geräte ihre IP-Adressen (weiterhin) per DHCP beziehen sollen,
dann kannst du dem DHCP-Server deiner FritzBox auch "sagen", dass dieser
den betreffenden Geräten immer die gleiche IP-Adresse zuweisen soll.

Diese Option nennt sich "Diesem Netzwerkgerät immer die gleiche IPv4-Adresse zuweisen.",
siehe dazu folgender AVM-Artikel:
https://avm.de/service/fritzbox/fri...che-IP-Adresse-von-FRITZ-Box-zuweisen-lassen/

Im Anschluss musst du natürlich ebenfalls (also wie bei der Vergabe fester/statischer IP-Adressen) wie oben beschrieben
die IP-Adressen in die hosts-Datei des Gerätes eintragen, von dem aus später (per VPN-Verbindung) der Zugriff auf diese Geräte erfolgt.

Die Syntax der hosts-Datei ist wie folgt:
IP-Adresse-GerätA NAME-GerätA (selbst ausgedachter Name)
IP-Adresse-GerätB NAME-GerätB (selbst ausgedachter Name)
IP-Adresse-GerätC NAME-GerätC (selbst ausgedachter Name)

Nach erfolgter Einrichtung kannst du also nach dem Aufbauen der VPN-Verbindung auf
GerätA zugreifen, indem du z.B. http://GerätA in deinem WebBrowser eintippst.
Auf GerätA muss natürlich ein WebServer laufen, sonst erscheint nix im Browser .

Oben beschriebene Lösungen sind meiner Ansicht nach vom Komfort her völlig ausreichend,
weil du die Geräte ja bereits per Namen ansprechen kannst (Konfiguration per hosts-Datei).

Alternativ kannst du die Geräte auch per DNS-Name ansprechen,
nachdem du die VPN-Verbindung hergestellt hast. Für die Geräte, die ihre IP-Konfiguration per DHCP von der FritzBox beziehen,
pflegt die FritzBox automatisch entsprechende DNS-Einträge im auf der gleichen Kiste laufenden DNS-Server.
Jedes Gerät hat dort einen DNS-Eintrag in der Form "NAME-DES-GERÄTES.fritz.box --> AKTUELLE-IP-ADRESSE-DES-GERÄTES".

Ein "nslookup GerätA.fritzbox IP-DER-FRITZBOX" löst also auf die aktuelle IP-Adresse von GerätA auf.

GerätA würde dann also per GerätA.fritz.box angesprochen und GerätB entsprechend
mit GerätB.fritz.box. Bezogen auf das Beispiel von oben könntest du dann also im WebBrowser
http://GerätA.fritz.box eingeben.

Um über die VPN-Verbindung die Domäne fritz.box auflösen zu können,
musst du deinem VPN-Client "sagen", dass der DNS-Server deiner FritzBox zur Namensauflösung der Domäne fritz.box verwendet werden soll.
Infos dazu für den "ShrewSoft VPN Client":
https://www.shrew.net/static/help-2.1.x/files/NameResolutionSettings.html

Es kann sein, dass du im "ShrewSoft VPN Client gar nicht per Hand einen DNS-Server für die Domäne
fritz.box angeben musst, weil das VPN-Gateway der FritzBox diese Informationen automatisch an den VPN-Client übergibt. Damit das funktioniert müssen natürlich die Haken "Enable DNS" sowie "Obtain Automatically" gesetzt/aktiviert sein.