VPN experten gefragt

[kosta88 2]

Hallo,

 

Ich hoffe hier findet sich ein Spezialist der mir was erklären kann:

 

Ich hab eine Synology NAS bei dem ich eingestellt habe, dass sie sich auf ein VPN Server verbindet. Sobald sich die NAS dorthin verbindet, klarerweise hat die NAS eine andere (externe?) IP. Ist auch Sinn der Sache.

Trotzdem ist die lokale Verbindung vom Rechner zur NAS weiterhin aufrecht, ich kann die NAS schön im lokalen Netz weiterhin mit der lokalen IP finden.

Nun verbinde ich mich mit meinem Smartphone via VPN in mein Heimnetz, kann ich meine NAS nicht mehr mit der lokalen IP finden.

 

NAS -> VPN: OpenVPN

Smartphone -> Router: PPTP

 

Warum? Wo scheitert es? Kann man was tun damit es klappt?

 

Besten Dank.

Kosta

bearbeitet 4. Juni 2014 von kosta88

[Daniel -MSFT- 129]

Vermutlich wechselt das Standard-Gateway des NAS beim Aufbau der VPN-Verbindung auf den OpenVPN-Tunnel. Daher kannst Du noch lokal auf das NAS zugreifen, aber nicht mehr aus einem anderen Netz.

 

Split Tunneling wäre eine Lösung. Oder statisches oder dynamisches IP-Routing (RIP, OSPF). Oder ProxyARP (wenn der Router es kann).

 

Dazu musst Du aber mehr Infos liefern. Zum Beispiel eine Netzwerkübersicht mit IP-Adresskreisen, der IP-Konfiguration und Routingtabellen aller beteiligten Komponenten.

bearbeitet 5. Juni 2014 von Daniel -MSFT-

[Leuchtkondom 17]

Ich verstehe nicht ganz wo die NAS steht.

Du schreibst du versuchst dich mit dein Handy per VPN zuhause einzuwählen und dann auf die NAS zuzugreifen. Wo steht die denn? Zuhause? Warum ist die dann auch per VPN eingewählt?

[Userle 140]

Das Problem dürfte in der Tat daran liegen, das die NAS ihren Tunnel selbst aufbaut.und nicht einfach mal einen Tunnel via Router nutzt.

Mein Tip: Schalte den VPN Aufbau der NAS aus und richte den Tunnel auf dem Router ein.

Wenn der Router beide Tunnel "verwaltet" sollte Dein Szenario kein problem darstellen.

 

Greetings Ralf

[kosta88 2]

Daniel,

Das Gateway beim Synology kann man sich aussuchen. Es heisst beim Synology "Use default gateway on remote network". Trotz dieser Einstellung auf off oder auch on, geht es nicht.

Ich bin nicht ganz sicher dass Split Tunneling die Lösung ist - die Absicht des VPN Tunnels ist die IP zu maskieren und im Netz als von woanders zu erscheinen (spezifisch beim Torrent und einigen Webseiten). Wenn man beim Split Tunneling bereits ist, kann man hier definieren was geht wohin? Die Frage ist auch, geht das überhaupt im Synology... mit RIP und OSRF kenne ich mich gar nicht aus, ist für mich was neues.

Die Synology NAS ist eine DS1813+, gerade gestern bekommen, und mein Router ist ASUS RT-N66U. Läuft derzeit mit default Firmware, aber denke mir, ich könnte es mit dd-wrt oder Tomato austatten.

Von der Netzwerkübersicht her und IP-Kreisen, es ist einfach:

Mein Router und alle Netzwerkgeräte befinden sich in einem privaten Netz, 192.168.1.x, NAS ist daweil auf 99.

Die Routingtabelle(n) schicke ich in PM gerne. Weiß nicht ob das der Grund zur Sorge wäre, aber fühle mich etwa unsicher wenn ich meine ganze IP-Kreise hier poste. Oder ist das aus deiner Sicht egal?

 

Leuchtkondom:

Die NAS steht bei mir am Tisch. Im Heimnetzwerk. Direkt aus dem Netzwerk kann ich die NAS, VPN-unabhängig, ansprechen, wie ich will. Alle Apps, Zugriffe, alles geht. Sobald ich unterwegs bin, via 3G, auch wenn ich in mein ASUS Router tunnele, kann ich auf die Synology nicht zugreifen.

Die NAS muss für gewisse Sachen sich per VPN via PrivateInternetAccess einwählen (ich habe PIA als VPN Service). Es ist halt so.

 

Ralf,

Hmm, werde mal probieren. Ich sehe keinen Grund es so nicht zu lösen. Werde mal sehen was ich hier machen kann...

[Daniel -MSFT- 129]

Was sind denn das für 'gewisse Sachen'? Bei der Geheimniskrämerei und den Begriffen 'Torrent' und 'einige Webseiten' werde ich hellhörig.

 

Es fehlt immer noch eine Netzwerkübersicht. Welche IP bekommt das Handy vom VPN-Router?

 

Wenn 'Use default gateway on remote network' an ist, dann kommst Du nicht mehr von anderen Gateways an das NAS.

[kosta88 2]

Daniel: ich möchte wirklich nicht unfreundlich klingen, aber eigentlich geht es keinem was an. Aber, wenn's dich interessiert, es sind keine großartigen Geheimnisse, grundsätzlich geht es um eine Flug Simulator Webseite. Torrent? Flugsim Freeware Sachen, oder zB. X-Plane Demos, die meistens via Torrent angeboten werden. Ins Torrent gehe ich aber nicht mit meiner echten IP, soviel weiß ich davon. Und grundsätzlich was ich so gelesen habe, via VPN zu surfen ist gar nicht eine schlechte Idee. In mein Hobby habe ich bereits mehr als 4000€ investiert, und werde es mit allen mir leistbaren Mitteln schützen (http://kostasfsworld.wordpress.com/). Ich hoffe das ist geklärt.

 

Nun:

 

Ich habe mich noch seit gestern etwa mehr damit auseinandergesetzt. Benutzen würde ich gerne OpenVPN anstatt von PPTP. Jetzt habe ich auf meinem RT-N66U die Tomato Firmware, funktioniert auch gut.

 

Soweit habe ich zwei Sachen geschafft: OpenVPN Server, Zugriff vom iPhone auf die NAS bzw. Netzwerk, und auch die NAS oder den Router via PIA VPN zu verbinden.

Beim OpenVPN muss ich TUN wählen, da TAP vom iPhone nicht unterstüzt wirde.

Trotzdem, sobald ich mich auf PIA verbinde, kann ich vom iPhone keine Verbindung mehr herstellen, eh klar, da sich die öffentliche IP ändert.

 

Was meinst du genau bei der Netzwerkübersicht?

IP Adresse Handy ist 10.8.0.6, die Default Einstellung beim TUN Interface beim OpenVPN ist 10.8.0.0/24.

 

Ein paar Screenshots sind here verfügbar die zeigen die VPN Einstellungen im Tomato:

https://dl.dropboxusercontent.com/u/31158446/OVPN%20Setup.rar

 

EDIT: Ein weiterer Punkt. Du erwähnst bereits statisches Routing. Wenn ich die Verbindung zum PIA am NAS einrichte, bekomme ich eine dynamische IP, je nach dem wohin ich mich verbinde. Auch am gleichen Server sind die IP Adressen immer dynamisch. Gateway ist per Server immer der gleiche. Ob die Gateway IP Adresse immer die gleiche ist, da bin ich mir unsicher. Hostnames auf jeden Fall.

Wie würde ich denn ein statisches Routing einrichten?

 

Vielen Dank für all die Hilfe ;-)

Kosta

bearbeitet 8. Juni 2014 von kosta88

[Daniel -MSFT- 129]

Das ist mir immer noch zu unübersichtlich. Nimm mal ein Blatt Papier und einen Stift und male alle beteiligten Komponenten und ihre Beziehungen sowie ihre IP-Adressierung und Routing-Einstellungen auf. Das meinte ich mit Netzwerkübersicht.

[DocData 85]

Gelöscht.

bearbeitet 8. Juni 2014 von DocData

[kosta88 2]

Hallo Daniel,

 

Ich hoffe das entspricht einer Netzwerkübersicht.

 

Also, noch zur Wiederholung:

- NAS muss via PIA verbunden sein, so dass die NAS im Internet eine andere IP als meine eigene hat

- Zugriff vom Handy, via "ASUS-VPN" auf die NAS soll auch möglich sein, wenn die NAS via VPN an PIA angebunden ist

Drawing1.pdf

bearbeitet 8. Juni 2014 von kosta88

[Daniel -MSFT- 129]

Na Du machst das aber kompliziert. In dem Fall braucht das NAS eine statische Route für das Netz 10.8.0.0/24 mit dem Gateway 192.168.1.254. Das ist die Hinroute.

 

Schickt das iPhone allen Verkehr durch das VPN? Wenn nicht, braucht es als Rückroute 192.168.1.0/24 mit Gateway 10.8.0.2.

 

Einfacher ist es, wenn die VPN-Clients vom Asus-Router eine IP aus dem internen LAN mit 192.168.1.x bekommen. Dazu nutzt man Proxy-ARP - der Router tut so im LAN, als wäre er der VPN-Client und gegenüber dem VPN-Client, er wäre das LAN: http://www.packtpub.com/article/new-features-of-openvpn-2-1-and-2-2

 

Ob die Nutzung des 10er Netzes für das VPN so clever ist, weiss ich nicht. Viele Provider setzen in mobilen Netzen selbst private Adressen aus dem 10er-Netz ein. Nimm doch lieber, wenn Du die VPN-Clients geroutet an das LAN anschliessen willst, 192.168.2.0/24.

[kosta88 2]

Hallo Daniel,

 

Danke dir. Ich habe bereits versucht die statische Route einzurichten, das hat aber leider nicht geklappt. Ich habe beide Hinroute und Rückroute eingerichtet, es hilft aber nicht.

Ich werde das ganze auf PPTP Basis versuchen, da OpenVPN sehr kompliziert ist (kann dann eh wieder umstellen soll es funktionieren).

 

Über Proxy-ARP und Einstellung muss ich dann viel nachlesen, da weiß ich nicht wirklich was davon. Das Konzept klingt aber cool.

 

Ich kann auf 192.168.3.0 umstellen, da "2" für was anderes verwendet wird.

 

EDIT:

Leider klappt es beim PPTP auch nicht. Habe jetzt beim PPTP Server 192.168.3.1-192.168.3.6 als IP-Range eingerichtet, beim iPhone angehackt "Für alle Daten", eine statische Route eingerichtet mit:

Destination: 192.168.3.1 (das iPhone hat diese IP, überprüft)

Gateway: 192.168.1.254

Subnet Mask: 255.255.255.0

Metric: 1

Interface: LAN

Und trotzdem kann ich die NAS noch immer nicht zugreifen wenn die VPN Verbindung bei der NAS aufrecht ist. Idee was verkehrt sein könnte?

Kann ich eigentlich versuchen das VPN IP-Range für PPTP im gleichen Subnet wie alle anderen Rechner, spricht "1"? zB. 192.168.1.5 bis 192.168.1.9, sofern nichts anderes drinnen ist?

 

EDIT2:

Also, ein wenig Erfolg. Ohne statisches Routing, ohne irgendein Kuddel-Muddel, wenn ich PPTP in Subnet 1 lege, wo auch mein ganzes Netzwerk ist, dann gibt's keine Probleme... Also liegt wohl das Problem daran, dass der Router scheinbar die Subnetze nicht verbindet. Wie kommt's denn dazu?

bearbeitet 9. Juni 2014 von kosta88

[Daniel -MSFT- 129]

Wenn Du das 198.168.3er Netz für PPTP nimmst, dann routest Du wieder den VPN-Client. Dann musst Du auf dem NAS auch die Rückroute zum 192.168.3er Netz einrichten.

 

Wenn Du 192.168.1.xxx nimmst, macht der Router vermutlich Proxy-ARP automatisch und der VPN-Client ist wie im lokalen Netz. Dann brauchst Du keine Rückroute.

 

IP-Routing 101.

Das liegt auch nicht am Asus-Router, sondern am NAS. Das ändert sein Standardgateway, wenn Du Dich bei PIA einwählst (muss es ja auch) und ohne Kenntnisse über die Rückroute zum VPN-Client hinter dem Asusrouter schickt es die Antworten, die an das iPhone gehen sollen, zum PIA.

 

Have fun!

Danie

bearbeitet 9. Juni 2014 von Daniel -MSFT-

[kosta88 2]

Alright!

 

Jetzt ne Frage die sich gleich dazuschliesst:

Da ein Router die Netze verbindet, sollte es nicht so sein, dass ein Router automatisch das "1" und das "3" Netz verbindet, bzw. sieht?

Und wenn nicht, was ist denn dafür notwendig?

 

Ich weiss dass es 101 ist, lerne ich aber gerade Schritt nach Schritt :) (nicht nur hier im Forum, sondern in der Arbeit, und durch Bücher auch...)

[Daniel -MSFT- 129]

Ja, das macht er auch. Nur Dein NAS redet nicht mehr mit Deinem Router, wenn es sich bei PIA eingewählt hat. Das habe ich oben schon beschrieben.

 

Sieh Dir einfach die Routingtabelle vom NAS an und stell Dir vor, Du bist ein Paket für das iPhone. Welche Route würde auf das Paket passen?