Synology NAS - Externer Zugriff

[proto258]

Hallo zusammen,

vor wenigen Tagen habe ich bereits einen Thread geöffnet, ob ich einen Pi4 oder ein NAS-System von Synology nutzen sollen. Die Wahl fiel auf einen DS918+.
Nun ist er komplett eingerichtet.

Nun folgt das nächste große Thema. Sowohl Familie als auch Freunde sollen auf ihn zugreifen. Die schnellste Variante wäre hier die Aktivierung von QuickSupport. Hier habe ich aber gelesen, dass dies nicht die sicherste Methode sei, da auch ein Teil über die Relay-Server von Snology fließen würde.
Die wohl sicherste Methode wäre wohl ein VPN z.B. OpenVPN. Wie geht es hier weiter? Ich müsste mir auf der DiskStation OpenVPN installieren sowie einrichten und jedes externe Geräte müsste sich OpenVPN installieren, um auf mein DSM zuzugreifen? Welche Einstellungen müssen beachtet werden?

Ist dies die sicherste Methode?

 

[chrigu]

VPN ist eigentlich selbsterklärend.
Auf allen Geräten dasselbe VPN installieren, ddns falls keine statische ip und verbinden

 

[proto258]

Bei welchem Anbieter hat man denn keine statische IP?
Ist DDNS nicht Vorausstung für ein VPN?

 

[McPole]

Definiere "zugreifen"
Familie und Freunde sollen sicherlich nicht an die Weboberfläche/Konfig des NAS oder?

Wenn es z.B. um Filme/Musik geht, dann ist PLEX die Antwort und registriere dein Synology NAS einfach bei Synology und du bekommst dein DynDNS gratis dazu.... synology.me Adresse.
Über den entsprechenden Port kommt man dann an deinen PLEX Server dran.
Alles andere wie Netzlaufwerk Zugriff etc. würde ich über VPN machen. Gibt es verschiedene VPN Clients/Lösungen.
Wennde ne Fritzbox hast geht es auch darüber (ShrewSoft Client etc.)

EDIT:
Doch bedenke, dass bei so einfachem VPN ohne Firewall "gesteuerte" Regeln ein Zugriff auf dein komplettes Netz freigegeben wird.

 

[neo243]

Fast kein Anbieter benutzt Statische IP's für Privatkunden.
Bei einem Koax-Anschluss hast du nur DS-Lite.

 

[CrankAnimal]

Mein erster Gedanke war, dafür gibts doch die hauseigenen Synology Apps, für Bilder, Videos, Musik.
Alternativ den synology myds.me Link, der über https läuft.

Benutzereinrichtung mit entsprechender Rechtevergabe vorausgesetzt.

Oder welche Art Zugriff stellst du dir sonst vor?

 

[proto258]

Definiere "zugreifen"
Familie und Freunde sollen sicherlich nicht an die Weboberfläche/Konfig des NAS oder?

Wenn es z.B. um Filme/Musik geht, dann ist PLEX die Antwort und registriere dein Synology NAS einfach bei Synology und du bekommst dein DynDNS gratis dazu.... synology.me Adresse.
Über den entsprechenden Port kommt man dann an deinen PLEX Server dran.
Alles andere wie Netzlaufwerk Zugriff etc. würde ich über VPN machen. Gibt es verschiedene VPN Clients/Lösungen.
Wennde ne Fritzbox hast geht es auch darüber (ShrewSoft Client etc.)

EDIT:
Doch bedenke, dass bei so einfachem VPN ohne Firewall "gesteuerte" Regeln ein Zugriff auf dein komplettes Netz freigegeben wird.

Familie und Freunde sollen auf Dateien (Dokumente, Filme, Musik, etc.) zugreifen. Nur darauf und auf nichts anderes.
"Doch bedenke, dass bei so einfachem VPN ohne Firewall "gesteuerte" Regeln ein Zugriff auf dein komplettes Netz freigegeben wird. "
Also doch kein PLEX nutzen oder wie ist das gemeint?

Ergänzung (20. April 2020)

Mein erster Gedanke war, dafür gibts doch die hauseigenen Synology Apps, für Bilder, Videos, Musik.
Alternativ den synology myds.me Link, der über https läuft.

Benutzereinrichtung mit entsprechender Rechtevergabe vorausgesetzt.

Oder welche Art Zugriff stellst du dir sonst vor?

Ist das nicht dieser unsichere QuickSupport-Link? Nutzer würde ich einzeln erstellen und mit einem Passwort versehen. Diese können dann nur auf meine "FileStation" zugreifen und Dateien herunterladen.

Die Leute sollen nur auf Dateien zugreifen können in einem extra dafür vorgesehenen Ordner. Ich weiß eben nicht, ob das sicher ist, da ich eigentlich Quicksupport nutzen wollte. Die Datenströme gehen dort aber über den Relay-Server von Synology. Deshalb meine Frage.

Fast kein Anbieter benutzt Statische IP's für Privatkunden.
Bei einem Koax-Anschluss hast du nur DS-Lite.

Ich habe mir z.B, DualStack schalten lassen. Damit habe ich jetzt eine statitsche IPv4-Adresse. Ich dachte, dass das bei allen Anbietern so wäre.

 

[neo243]

Ich habe mir z.B, DualStack schalten lassen. Damit habe ich jetzt eine statitsche IPv4-Adresse. Ich dachte, dass das bei allen Anbietern so wäre.

Gibt es eher selten ist aber gut für dich also brauchst du keinen DDNS-Dienst.

 

[T00L]

Reicht ein Zugriff per Browser? Dann benutz die integrierte FileStation. Jeder auf der Synology eingerichtete Benutzer kann dann auf seine Freigaben zugreifen.
Zusätzlich kannst du noch für jeden Freigabenlinks erzeugen, mit/ohne Passwort, mit/ohne Ablaufdatum etc.

 

[Avenger84]

Erst mal klären was für einen Anschluss der TE hat.
Wenn DS-lite dann wird´s schwierig(er).

Feste IP Adresse -> top.

In der DS kannst du einfach den VPN Server aktivieren:

Mit L2TP/IPSec kannst du ohne Fremdsoftware von Android & Windows Geräten zugreifen.

Port Freigabe in Fritzbox:

 

[proto258]

Gibt es eher selten ist aber gut für dich also brauchst du keinen DDNS-Dienst.

Ok.

Reicht ein Zugriff per Browser? Dann benutz die integrierte FileStation. Jeder auf der Synology eingerichtete Benutzer kann dann auf seine Freigaben zugreifen.
Zusätzlich kannst du noch für jeden Freigabenlinks erzeugen, mit/ohne Passwort, mit/ohne Ablaufdatum etc.

Ein Zugriff über Browser ist doch diese QuickSupport-Funktion, von der jeder abrät oder habe ich das missverstanden? Hierfür muss man bei Synology ein Konto sowie ID erstellen, woraufhin ein Zugrifflink generiert wird.
Ist das jetzt doch nicht problematisch?

Erst mal klären was für einen Anschluss der TE hat.
Wenn DS-lite dann wird´s schwierig(er).

Feste IP Adresse -> top.

In der DS kannst du einfach den VPN Server aktivieren:
Anhang anzeigen 904821

Mit L2TP/IPSec kannst du ohne Fremdsoftware von Android & Windows Geräten zugreifen.

Port Freigabe in Fritzbox:
Anhang anzeigen 904824

Erstmal Danke für die Erklärung.
Und was genau benötigen dann meine Freunde/Familie von mir? Müssen die sich dann einen Client installieren, um auf meinen NAS zugreifen zu können und müssen sie auch Ports freischalten? Das wäre dann auch die "sicherste" Variante?

 

[McPole]

Wenns hauptsächlich um Filme und Musik geht ist der kostenlose PLEX sehr gut.
Wenn aber auch viele andere Dateien ausgetauscht werden, mach es via VPN. Oder eben beides...
Wenn dir egel ist ob der, der VPN nutzt auch auf den Rest deines Netzes zugreifen kann, dann kanst das Synology eigene VPN nutzen oder das der Fritzbox.
DynDNS brauchst nicht.
Eine Zugriffssteuerung innerhalb des Netzes bekommst du nur mit mehr Aufwand und Firewall Regeln.

 

[proto258]

Wenns hauptsächlich um Filme und Musik geht ist der kostenlose PLEX sehr gut.
Wenn aber auch viele andere Dateien ausgetauscht werden, mach es via VPN. Oder eben beides...
Wenn dir egel ist ob der, der VPN nutzt auch auf den Rest deines Netzes zugreifen kann, dann kanst das Synology eigene VPN nutzen oder das der Fritzbox.
DynDNS brauchst nicht.
Eine Zugriffssteuerung innerhalb des Netzes bekommst du nur mit mehr Aufwand und Firewall Regeln.

Ich glaube, dass ich doch PLEX nutzen werden, da ich nur Filme/Fotos/Dokumente in seperaten Ordnern speichern bzw. aufbewahren möchte. Und der Zugriff auf PLEX ist sicherer als QuickConnect?
"Wenn dir egel ist ob der, der VPN nutzt auch auf den Rest deines Netzes zugreifen kann, dann kanst das Synology eigene VPN nutzen oder das der Fritzbox."
Wieder etwas gelernt. Ich dachte, man kann unkompliziert einstellen, wer - mit VPN-Zugang - auf welche Ordner zugreifen darf. Wofür nutzt man dann VPN, wenn sozusagen jeder Admin-Rechte besitzt?

 

[McPole]

Ne... nicht falsch verstehen... es geht darum das es theoretisch möglich ist auf dein Netz zuzugreifen. NETZ...nicht Dateien..... Zugriffe beschränken auf Dateien machst du über das NAS/Benutzerrechte.
PLEX ist sicher und hat auch eine Benutzer/Freigabeverwaltung. Die Leute, die auf deinen PLEX Medienserver zugreifen brauchen nur ein Konto bei PLEX.

 

[Avenger84]

Wenn du eine VPN Verbindung mit der DS hergestellt hast, dann ist das Endgerät (egal ob PC oder Handy) automatisch in deinem Netzwerk und nutzt deine Internetverbindung.
Wenn du also in deinem Netzwerk noch einen Receiver hast und der VPN-Nutzer dessen IP weiß, kann er auf deinen Receiver zugreifen falls der kein Passwort hat oder auf deine FritzBox falls die auch kein Passwort hat usw.

Was du innerhalb der DS frei gibst (Benutzer mit Rechten) ist was völlig anderes !

Du kannst in der DS jeden Nutzer anlegen und ihm Zugriff auf Ordner/Dienst xy geben, genauso wie VPN Zugriff.

In Windows kannst du ganz einfach die VPN Verbindung anlegen:

Du denkst dir einmal den "Vorinstallierten Schlüssel" aus fertig.
Benutzer/Passwort ist der des DS Nutzers.

In Android/Iphone genauso.

P.S. in Windows musst du einmalig einen Registrierungseintrag erstellen:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent

einen neuen DWORD32 Eintrag erstellen:

AssumeUDPEncapsulationContextOnSendRule

Dieser hat den Wert 2 was bedeutet: Dein Windows 10 Client und
die DiskStation mit dem VPN-Server befindet sich hinter einem
NAT-Gerät (Router, z. B. FRITZ!Box, Speedport oder UniFi Security Gateway).

 

[proto258]

@Avenger84 Erst einmal Danke für die Antwort.

Ich versuche es jetzt nochmal irgendwie zusammenzufassen.
1) Der Admin muss den VPN-Dienst aktivieren
2) Der Admin erstellt Benutzer, die mit diesem VPN-Dienst arbeiten können und erteilt diesen daraufhin Berechtigungen darüber, wer auf welchen Ordner Zugriff hat.
3) Der Benutzer muss die VPN-Verbindung herstellen, und surft dann über meine Internetleitung auf meiner DiskStation

Ist das soweit korrekt? Und das ist dann sicherer, das es getunnelt wird bzw. etwaige Zugriffe von Dritten wird minimiert?

Könnte ich theoretisch auch einen PLEX-Server installieren, ein VPN zwischenschalten und dem Benutzer einzig und allein Zugriff auf den Server geben? Das sind ja zwei unabhängige Dinge, richtig?

Und Entschuldigung für die ganzen naiven Fragen. Ich habe heute wieder viele Informationen in mich aufgenommen, die ich erstmal verdauen muss.

 

[McPole]

Als IT-Admin werde ich nie ein VPN an Leute geben, dessen Rechner ich nicht kenne/verwalte und mit nem Virenschutz ausstatte.
Wenn derjenige Viren auf seiner Kiste hat, welche sich per Netzwerk verteilen etc. ...prost mahlzeit =)

Avenger meint...dass der, der das VPN aufbaut und dann im Internet surft(Youtube et.etc.) dann über deinen Internetanschluss geht.

EDIT:
Schau dir am besten erstmal an was mit deinem Synology geht. Lade ein paar daten drauf... via Filemanager kannst nen rechtsklick auf ne datei machen und die Freigeben... dann kannst dir den Plex anschauen ob das was für dich ist usw.
VPN halte ich für ein fortgeschrittenes Tool... und man sollte verstehen was das mitsich bringt.

 

[proto258]

Als IT-Admin werde ich nie ein VPN an Leute geben, dessen Rechner ich nicht kenne/verwalte und mit nem Virenschutz ausstatte.
Wenn derjenige Viren auf seiner Kiste hat, welche sich per Netzwerk verteilen etc. ...prost mahlzeit =)

Avenger meint...dass der, der das VPN aufbaut und dann im Internet surft(Youtube et.etc.) dann über deinen Internetanschluss geht.

Gut, verstehe. Ich vertraue den Leuten schon, nur weiß ich nicht zu 100%, ob die irgendwelche Viren auf ihrem PC haben - gerade bei den Älteren.

Das heißt, dass ich einfach einen PLEX-Server einrichte, dafür die Ports öffne und den entsprechenden Nutzern Zugriff auf diesen gewähre. Das scheint ja "ungefährlicher" zu sein als ein VPN, bei dem man nicht weiß, ob die die Benutzer frei sind von Schadsoftware.

 

[Avenger84]

Plex Server kenne ich leider nicht, da kann ich dir nichts zu sagen.

Hast du denn viele "offene" Geräte in deinem Netzwerk ?

Avenger meint...dass der, der das VPN aufbaut und dann im Internet surft(Youtube et.etc.) dann über deinen Internetanschluss geht.

genau, wenn dein VPN Nutzer vergisst die VPN Verbindung zu trennen, surft er dauerhaft über deine Internetverbindung, alles wird über die DS verschlüsselt.
Ich würde nur Familienmitgliedern so einen Zugang geben, und auch nur wenn diese wissen was sie tun.

 

[proto258]

Plex Server kenne ich leider nicht, da kann ich dir nichts zu sagen.

Hast du denn viele "offene" Geräte in deinem Netzwerk ?


genau, wenn dein VPN Nutzer vergisst die VPN Verbindung zu trennen, surft er dauerhaft über deine Internetverbindung, alles wird über die DS verschlüsselt.
Ich würde nur Familienmitgliedern so einen Zugang geben, und auch nur wenn diese wissen was sie tun.

Bis jetzt nur den NAS. Deshalb meine extreme Unsicherheit bzw. Unerfahrenheit.
Dann werde ich auch kein VPN einrichten.