VPN auf NAS: Performance?

[sugar76]

Hallo,

wir verwenden eine Digibox Premium als Router, TK-Anlage und für VPN.

Aktuell wird VPN wg. Homeoffice intensiv genutzt. Digibox erlaubt max 5 gleichzeitige VPN-Verbindungen, wir benötigen aber mehr. Zusätzliche Verbindungen lizenzieren geht nicht (wird gar nicht angeboten). Neue Hardware zu kaufen, bedeutet Kosten für Anschaffung + Installation.

Alternativ ginge OpenVPN über vorhandenes NAS (DS 218). Nachteil an dieser Lösung ist, dass der VPN-Traffic dann immer den "Umweg" über das NAS machen muss.

Frage: hat einer OpenVPN auf einem NAS laufen? Ist die Performance auch bei 10 gleichzeitigen Verbindungen akzeptabel?

Gruß

 

[Masamune2]

Das hängt vom NAS und dessen CPU ab, was hast du denn da stehen?

 

[sugar76]

Das hängt vom NAS und dessen CPU ab, was hast du denn da stehen?

Steht im Beitrag Eine Synology DS 218.

Das Problem ist ja nicht nur die CPU sondern auch der zusätzliche Traffic, der jedesmal den "Umweg" über das NAS machen muss.

 

[Tamron]

Ganz ehrlich: Mach es einfach, was anderes bleibt dir doch eh nicht übrig, da wenn du schon so ein kleines NAS heranziehen musst, wirst du ja sicherlich keine On-Premises Server haben?
Alternativ einen nicht gebrauchten PC nehmen, OpenVPN Server auf dem drauf bringen und der PC läuft 24/7 durch.

 

[Nizakh]

Du kannst die Performance ja mal testen. Ich nehme an, du verwendest den im Synology integrierten VPN Server?

Da aber vermutlich DSL mit maximal 40MBit/s Upload zum Einsatz kommt, wird das Performancetechnisch locker hinhauen.

Das Problem ist ja nicht nur die CPU sondern auch der zusätzliche Traffic, der jedesmal den "Umweg" über das NAS machen muss.

Das ist irrelevant.

 

[Nilson]

Aus dem Datenblatt der DS218:

VPN Server Maximum connections: 5

https://global.download.synology.co...r/DS218/enu/Synology_DS218_Data_Sheet_enu.pdf

 

[Darknesss]

Damit wäre ich ziemlich vorsichtig.
Ein NAS gehört definitiv nicht per Portfreigabe ins Netz, vorallem wenn darauf wichtige Geschäftsdaten liegen.
Da läuft einfach zuviel drauf, was zusätzliche Angriffsmöglichkeiten schafft.

Würde da, auch wenn es Geld kostet, eher zu einem anderen Router oder einer Hardware Firewall greifen.
Notfalls tus auch ein alter Rechner.

Für den Anwendungszweck gibt es entsprechende Router mit Modem z.b. von Draytek oder VPN-Firewalls z.b. von Zyxel.

 

[sugar76]

Aus dem Datenblatt der DS218:

Oh mann, das hatte ich gar nicht gesehen. Danke für die Info.

Ergänzung (2. April 2020)

Danke für alle Beiträge. Nachdem die DS218 auch nur max 5 Verbindungen erlaubt, muss ich mir was anderes überlegen ...

 

[Masamune2]

Oh das hatte ich überlesen.

Versuch es einfach, die Grenze von 5 Benutzern wird auch nicht fest sein, je nachdem was die Benutzer da drüber machen ist ohnehin deine Internetverbindung der Flaschenhals.
Der Umweg über die NAS hingegen ist irrelevant.

 

[sugar76]

Habe es gerade versucht. Beim Einrichten des VPN Servers auf der DS218 kann man bei Max. Anzahl von Verbindungen 10 einstellen.

 

[xammu]

das ist kein OpenVPN und PPTP sollte man niemals mehr verwenden, wenn andere Alternative verfügbar sind

DS213 mit OpenVPN maximal 20 Verbindungen, kann allerdings zur Performance nichts sagen, da ich das nicht nutze.

 

[sugar76]

das ist kein OpenVPN und PPTP sollte man niemals mehr verwenden, wenn andere Alternative verfügbar sind

War nur ein Beispiel. Bei OpenVPN ist es dasselbe, da kann man auch max 10 Verbindungen einstellen.

 

[snaxilian]

Ändert nix an der Tatsache, dass man sich pptp sparen kann, da kannst auch direkt alle Dienste mit'm nackten Arsch ins Internet hängen.

Wird es mit 10 parallelen Verbindungen funktionieren? Höchstwahrscheinlich ja. Wird es performant sein? kommt drauf an, v.a. was ihr über das VPN betreiben wollt und wie viele und welche Daten da durch sollen.
Aber ihr versucht jetzt "Pfusch" durch "Pfusch2" zu ersetzen.

Fehlende Infrastruktur kann nur bis zu einem gewissen Grad optimiert werden. Braucht man mehr, muss die Infrastruktur ausgebaut. Sollen mehr Autos eine Strecke befahren > brauchst mehr Fahrbahnen. Sollen sich zwei Fahrbahnen kreuzen und viele Autos durch passen brauchst größere bzw. besser konzipierte Kreuzungen.
Gleiches gilt in der IT. Irgendwann ist jede Software an seiner Grenze bzw. skaliert nur bis zur Grenze der irgendwann und irgendwo darunter befindlichen Hardware als auch der verfügbaren Bandbreite. DAS ist es was dein Vorgesetzter/Chef verstehen muss.

Einfachste temporäre Lösung: PC ab Mittelklasse-CPU, bisschen RAM + Disk nehmen und dort openvpn drauf einrichten und konfigurieren. Anleitungen findest du hunderte im Netz, mit etwas Glück sind die auch nicht veraltet oder zielen nicht nur auf Benutzbarkeit ab sondern auch zumindest rudimentär auf den sicheren Betrieb ab. Traust du dir das nicht zu, beauftrage ein Systemhaus oder einen brauchbaren Freelancer und kläre genau(!) ab was du willst.

 

[PHuV]

Wenn Ihr einen Host mit VMs habt, würde OpenVPN auch als VM laufen. Ist in locker 1-2 Stunden eingerichtet.

 

[DerGast]

Hallo,

wir verwenden eine Digibox Premium als Router, TK-Anlage und für VPN.

Aktuell wird VPN wg. Homeoffice intensiv genutzt. Digibox erlaubt max 5 gleichzeitige VPN-Verbindungen, wir benötigen aber mehr. Zusätzliche Verbindungen lizenzieren geht nicht (wird gar nicht angeboten). Neue Hardware zu kaufen, bedeutet Kosten für Anschaffung + Installation.

Alternativ ginge OpenVPN über vorhandenes NAS (DS 218). Nachteil an dieser Lösung ist, dass der VPN-Traffic dann immer den "Umweg" über das NAS machen muss.

Frage: hat einer OpenVPN auf einem NAS laufen? Ist die Performance auch bei 10 gleichzeitigen Verbindungen akzeptabel?

Gruß

Wie wäre es mit einer gebrauchten Fritzbox, die dürfte ab FritzOS (keine Ahnung welche Version) auch 10, wenn nicht sogar 12 Verbindungen akzeptieren.
Packe sie hinter die Digitalisierungsbox (ggf DMZ), die Fritzbox wäre dann dein VPN Gateway und macht sogar dann nichts anderes, was erfreulich ist
Und Du bist deutlich flexibler was die Vernetzung im LAN angeht.
Wenn man mal das NAS neustarten muss und es hängen bleibt, sitzte nämlich da und es ist Schicht im Tunnel

 

[Tamron]

Bei FritzBox VPN würde ich lieber gar kein VPN nehmen. Die benutzen auch uralt Protokolle und bieten nicht mal einen Client an.

 

[sugar76]

Wie wäre es mit einer gebrauchten Fritzbox

Das finde ich eigentlich die besten Lösung. Ich weiß dass das nicht profi ist, aber es geht halt auch ums Geld.

Gearbeitet wird übrigens ausschließlich über Windows Remotedesktop. Der Traffic ist da ja nicht so heftig.

 

[snaxilian]

Wieso gehst du jetzt davon aus, dass die VPN-Performance der Fritzbox besser sei als openvpn auf dem NAS?
Je nach Fritzbox Version bekommst da auch maximal 8 oder 12 parallele Verbindungen: https://avm.de/service/vpn/praxis-t...gleichzeitiger-vpn-verbindungen-zur-fritzbox/
Wenn du es testest wäre es ja nett für die Nachwelt und andere die auch danach suchen wenn du hier die Ergebnisse teilst.

 

[morcego]

Wir jagen derzeit etwa 15-25 Leute per L2TP PSK über eine DS716+II und der Falschenhals ist Tatsache eher die Internetanbindung (vor allem Upload). Aber da sind durchaus Leute mit Onlinezeiten von 3 Tagen und mehr drin. Stabil isses. Die CPU-Last ist auch gering, schaffen tut die kleine Kiste das.

Wir betreiben das NAS als separaten Austauschort, da liegt nur drauf was geteilt werden soll und es sind auch nur diese Dienste aus dem WAN erreichbar. Ein NAS mit allen Firmendaten würde ich auch nur mit Bauchschmerzen ins Netz stellen. Aber auch da ließe sich eine Konfig realisieren die mit Zertifikaten zB nur die FileStation im WAN bereitstellt. Viel weniger Angriffsfläche bieten andere (Linux-)Server im WAN auch nicht. Kirche > Dorf.

 

[DerGast]

Bei FritzBox VPN würde ich lieber gar kein VPN nehmen. Die benutzen auch uralt Protokolle und bieten nicht mal einen Client an.

Na, präzisiere mal...
Als Client taugt Shrewsoft, oder irgendwas anderes freies...

Ein NAS ist ein NAS und bleibt ein NAS und hat im Netz nichts zu suchen.
Die Gefahr, die alleine aufgrund der zig verschiedenen Apps ausgeht, ist nun deutlich höher als eine Fritzbox dort hinzustellen, die lediglich VPN macht...
Aber gut, ist nur meine Meinung.