Benaderen thuisnetwerk i.c.m. actieve VPN-client

[Papparaat]

Goedemiddag,

Ik ben al even aan het zoeken, maar kan niet echt een oplossing vinden voor mijn 'probleem' dus daarom maar even hier proberen...

Mijn vraag in het kort is hoe ik vanaf extern mijn thuisnetwerk kan benaderen als de VPN-client op de router actief is.

Situatie:
- Ziggo internet, via in bridge-modus gezette ConnextBox
- ConnectBox verbonden met ASUS RT-AC88U
- Synology-NAS direct verbonden met ASUS router; rest van de clients middels een Mikrotik switch
- DDNS-adres via no-ip.com
- VPN-abo via NordVPN
- Port-forwarding op zowel router als NAS ingesteld

Als ik de 'normale' verbinding gebruik, kan ik gewoon via mijndomein.ddns.net zowel de router als NAS aanroepen, en evt. andere devices die ik via port-forwarding heb ingesteld. Dat werkt allemaal top!

Echter, als ik in de router de VPN-client activeer om zodoende met één actie mijn hele thuisnetwerk op de tunnel te zetten, kan ik op geen enkele manier mijn thuisnetwerk nog benaderen. Het nieuwe IP-adres (van de VPN-verbinding) wordt keurig aangepast bij no-ip.com, maar toch kan ik niet connecten.

Het typische is dat ik de NAS wèl kan bereiken als ik i.p.v. het ddns-adres het Synology-Quickconnect id gebruik. Ook kan ik via de relevante apps op mijn telefoon gewoon beide devices bereiken, terwijl die ook gebruik maken van het ddns-adres! Overigens alleen via 4G; via WiFi (ook buiten mijn eigen netwerk) zijn ook die apps onbruikbaar als de VPN-client actief is.

Kortom: maak ik een denkfout, is het allemaal logisch te verklaren wat er gebeurt (of niet), of is wat ik wil gewoon technisch onmogelijk..? Ik snap niet waarom het op de ene manier wel en andere manier niet lukt, hoe een mobiel netwerk zich verhoudt tot het reguliere internet...

Alvast bedankt voor jullie steun en wijze woorden!

[jeroen3]

Krijg je wel een dedicated IP adres van je VPN provider? En niet carrier grade nat?

Je zou nog steeds moeten kunnen verbinden via je normale WAN IP adres, mits de firewall dat niet blokkeert.

QuickConnect werkt als proxy, dus dat blijft ten alle tijden wel werken.

[Cpt.Morgan]

Ik gok ook inderdaad dat er geen sprake is van een dedicated IP adres bij je VPN provider en dat e.e.a. daar dus geblokkeerd wordt (er maken tenslotte veel mensen gebruik van datzelfde IP adres dan).

Je kunt bij NordVPN wel een dedicated IP aanvragen, maar dat kost natuurlijk wel wat: https://nordvpn.com/nl/features/dedicated-ip/

[Papparaat]

Dank voor de info zover!

Ik heb inderdaad geen dedicated IP, maar had me niet gerealiseerd dat het 'probleem' bij de VPN-provider zou kunnen liggen (overigens vind ik € 62,- serieus geld voor een dedicated IP, in elk geval voor wat ik ermee doe).

Maar dat verklaart voor mij nog steeds niet waarom het via (de apps op) mijn telefoon op het mobiele netwerk wel werkt, terwijl die ook gebruik maken van hetzelfde ddns-adres.

Verbinden via mijn normale WAN IP-adres werkt overigens niet. Zit die blokkade in de firewall van de inkomende of uitgaande verbinding?

Heb inmiddels ook al geprobeerd om in de browser een proxy in te stellen, conform instructies op de Nordvpn-site, maar dat lost het dus ook niet op...

[Lrrr]

Wat is de reden om al je verkeer via NordVPN te laten lopen?

[lier]

Lrrr schreef op donderdag 3 september 2020 @ 03:35:
Wat is de reden om al je verkeer via NordVPN te laten lopen?

En daarop aansluitend, want het lijkt erop dat je je bewust bent van beveiliging, wil je je router en NAS via een port forward beschikbaar stellen?

[Ben(V)]

Als je een VPN gebruikt dan wordt al je netwerk verkeer over die VPN tunnel geleid en komt aan de andere kant van die tunnel bij de VPN server van NordVpn er weer uit.
Maar je router verwacht ook dat al het binnenkomende verkeer encrypted uit die tunnel komt en dus kan alleen verkeer vanaf die NordVpn server je Lan bereiken.

En aangezien je geen fixed ip adres van NordVpn hebt gaat DDNS dus niet werken.
NordVpn doet aan ip sharing dus een aantal gebruikers delen hetzelfde ip adres, en binnenkomend verkeeer voor zo'n ip adres wordt dus gewoon geweigerd, want ze weten niet naar welke tunnel ze dat moeten doorsturen.

Je zult om je lan te kunnen bereiken gewoon ip adressering moeten gebruiken, zodat je router die zaken lokaal kan houden en niet via DDNS eerst het internet op moet.

[ Voor 15% gewijzigd door Ben(V) op 03-09-2020 10:27 ]

[Cpt.Morgan]

Papparaat schreef op dinsdag 1 september 2020 @ 17:00:
Maar dat verklaart voor mij nog steeds niet waarom het via (de apps op) mijn telefoon op het mobiele netwerk wel werkt, terwijl die ook gebruik maken van hetzelfde ddns-adres.

Omdat (een van de manieren) waarop Synology Quickconnect een verbinding tot stand kan brengen helemaal geen gebruik maakt van inkomende open verbindingen in je netwerk. In plaats daarvan wordt alle verkeer geleid via uitgaand geinitieerde verbindingen naar een relay server van Synology.

Zie hier een whitepaper die het hele concept beschrijft: https://global.download.s...ckConnect_White_Paper.pdf

[Ben(V)]

Helemaal correct.

[Papparaat]

Lrrr schreef op donderdag 3 september 2020 @ 03:35:
Wat is de reden om al je verkeer via NordVPN te laten lopen?

Eigenlijk niks meer of minder dan wat extra veiligheid.
Ik heb ervoor gekozen om de VPN-client op de router te activeren, zodat alle aangesloten devices gebruik maken van dezelfde verbinding. Dat heeft weer te maken met het feit dat ik (nog) niet zo goed kan inschatten wat de echte risico's zijn voor met internet verbonden TV's, receivers en andere apparaten waar je normaal gesproken niet bij stil staat.

Ik weet dat uiteindelijk alles te kraken is, maar dan heb ik het eerste drempeltje maar alvast opgeworpen...

[Papparaat]

lier schreef op donderdag 3 september 2020 @ 08:07:
[...]

En daarop aansluitend, want het lijkt erop dat je je bewust bent van beveiliging, wil je je router en NAS via een port forward beschikbaar stellen?

Uhm ja, dat is wel wat ik gedaan heb tot nu toe.
Is dat een heel onveilige manier en zo ja, zijn er betere opties (behalve externe toegang helemaal niet toestaan)?

[Luxicon]

@Papparaat Je kan er net zo goed niet op in gaan, omdat het niets met je vraag te maken heeft. Je zou als oplossing kunnen kijken om IPSec toe te passen. Zie hier onder andere: https://nordvpn.com/blog/ikev2ipsec/

[Douweegbertje]

Papparaat schreef op maandag 7 september 2020 @ 14:06:
[...]


Eigenlijk niks meer of minder dan wat extra veiligheid.
Ik heb ervoor gekozen om de VPN-client op de router te activeren, zodat alle aangesloten devices gebruik maken van dezelfde verbinding. Dat heeft weer te maken met het feit dat ik (nog) niet zo goed kan inschatten wat de echte risico's zijn voor met internet verbonden TV's, receivers en andere apparaten waar je normaal gesproken niet bij stil staat.

Ik weet dat uiteindelijk alles te kraken is, maar dan heb ik het eerste drempeltje maar alvast opgeworpen...

Het is een beetje offtopic om hier op verder te gaan maar.. toch mijn 2 cents;

Aangesloten devices bescherm je met een firewall om niet al het verkeer (lees: verbonden aan het internet) toegang te geven naar jouw devices. Ik bedoel; jij kan echt niet mijn PC pingen van het internet.

Een VPN is er eigenlijk voor totaal andere redenen.

Misschien dat je toch iets meer kan uitzoeken waarom je dit wilt en of dat nu ook de juiste oplossing is. Mijn gevoel zegt dat je wat dingen door elkaar haalt en het eigenlijk niet veel veiliger maakt. Je zou zelfs kunnen beargumenteren dat je het onveiliger is om alles via NordVPN te laten lopen.

[Luxicon]

@Douweegbertje Ik snap @Papparaat wel, hij wil waarschijnlijk end-to-end encryption. Dus dat de data die in en out gaat, encrypted is. Daarnaast is het dus zaak bijvoorbeeld de firewall goed te configureren (vereist netwerkkennis)

[Papparaat]

Ben(V) schreef op donderdag 3 september 2020 @ 10:24:
Als je een VPN gebruikt dan wordt al je netwerk verkeer over die VPN tunnel geleid en komt aan de andere kant van die tunnel bij de VPN server van NordVpn er weer uit.
Maar je router verwacht ook dat al het binnenkomende verkeer encrypted uit die tunnel komt en dus kan alleen verkeer vanaf die NordVpn server je Lan bereiken.

En aangezien je geen fixed ip adres van NordVpn hebt gaat DDNS dus niet werken.
NordVpn doet aan ip sharing dus een aantal gebruikers delen hetzelfde ip adres, en binnenkomend verkeeer voor zo'n ip adres wordt dus gewoon geweigerd, want ze weten niet naar welke tunnel ze dat moeten doorsturen.

Je zult om je lan te kunnen bereiken gewoon ip adressering moeten gebruiken, zodat je router die zaken lokaal kan houden en niet via DDNS eerst het internet op moet.

Ah, dat verheldert de zaak...thanks!
Het kwartje van de dedicated IP-adressen was inmiddels gevallen; ik had echter nog helemaal niet stilgestaan bij het encrypted deel van het verhaal.

[Papparaat]

Luxicon schreef op maandag 7 september 2020 @ 14:10:
@Papparaat Je kan er net zo goed niet op in gaan, omdat het niets met je vraag te maken heeft. Je zou als oplossing kunnen kijken om IPSec toe te passen. Zie hier onder andere: https://nordvpn.com/blog/ikev2ipsec/

Heb het gelezen, maar dat lost toch het probleem van de dedicated IP-adressen nog niet op? Of zie ik iets over het hoofd?

[Papparaat]

Luxicon schreef op maandag 7 september 2020 @ 14:15:
@Douweegbertje Ik snap @Papparaat wel, hij wil waarschijnlijk end-to-end encryption. Dus dat de data die in en out gaat, encrypted is. Daarnaast is het dus zaak bijvoorbeeld de firewall goed te configureren (vereist netwerkkennis)

Mjah, en dat is waarschijnlijk waar het mis gaat...
Als goedbedoelende hobbyist heb ik wel interesse in, maar onvoldoende kennis van de onderliggende technieken. Ik ga er van uit dat de firewall in mijn ASUS RT-AC88 staat ingesteld op de meest gangbare waardes, of is dat ook een verkeerde aanname?

[Papparaat]

Mag ik daarmee concluderen dat:

- het prima is om 24/7 een VPN-verbinding te gebruiken om in- en uitgaand verkeer te encrypten en daarmee het netwerk te beveiligen tegen hackers en luistervinken?

- ik het met die constructie moet vergeten om externe toegang tot mijn NAS en router te willen gebruiken?

- ik, zeker in geval van VPN, alles wat met DDNS te maken heeft moet verbannen?

Sorry voor de, in jullie ogen waarschijnlijk, domme vragen. Ik probeer alleen om thuis de boel een beetje veilig te houden en had het idee dat ik dat met een VPN kon bereiken.
Daarnaast leek het me handig om vanaf een externe locatie de NAS en router te kunnen bereiken, om zodoende ook de camera's en Domoticz-info te kunnen raadplegen...

[jeroen3]

Papparaat schreef op maandag 7 september 2020 @ 15:03:
Mag ik daarmee concluderen dat:

- het prima is om 24/7 een VPN-verbinding te gebruiken om in- en uitgaand verkeer te encrypten en daarmee het netwerk te beveiligen tegen hackers en luistervinken?

- ik het met die constructie moet vergeten om externe toegang tot mijn NAS en router te willen gebruiken?

- ik, zeker in geval van VPN, alles wat met DDNS te maken heeft moet verbannen?

Sorry voor de, in jullie ogen waarschijnlijk, domme vragen. Ik probeer alleen om thuis de boel een beetje veilig te houden en had het idee dat ik dat met een VPN kon bereiken.
Daarnaast leek het me handig om vanaf een externe locatie de NAS en router te kunnen bereiken, om zodoende ook de camera's en Domoticz-info te kunnen raadplegen...

- Waar beveilig je dan precies tegen?
- Je kunt nog steeds prima VPN en externe toegang gebruiken, moet alleen de juiste configuratie gebruiken.
- Je kunt prima DDNS gebruiken, alleen moet je de DDNS client een andere routing table geven.

Als je dit nu allemaal hartstikke leuk vind, kijk even of je misschien wat met pfsense, RouterOS of andere software kan spelen.

[ Voor 5% gewijzigd door jeroen3 op 07-09-2020 15:30 ]

[Ben(V)]

VPN naar een VPN provider beveiligt in een thuissituatie helemaal nergens tegen.
Alles wat het doet is op het internet onzichtbaar maken waar jouw verkeer vandaan komt.
Dat is anoniem surfen en heeft weinig met beveiliging te maken.
Dus als jij website benadert ziet het er vanuit die website gezien eruit alsof je van de server van je VPN provider komt en meer niet.

Waar het wel voor beveiligt is als je met bijvoorbeeld de wifi van een public hotspot werkt.
Je weet namelijk nooit of zo'n hotspot wel save is en jouw verkeer niet onderschept.
Als je in zo'n situatie eerst een encrypted VPN tunnel opzet naar je VPN provider, dan kan jou verkeer niet meer onderschept worden.

[Luxicon]

@Ben(V) Stel dat er tussen WAN en de website, 'afgeluisterd' wordt, zou het dan veiliger zijn, omdat er versleuteling wordt toegepast? Of is HTTPS dan al voldoende? Dat websites een ander IP zien, snap ik, maar end-to-end encryption met VPN klinkt in ieder geval veiliger (data = encrypted?) dan geen VPN. Of te denken aan al die ontelbare trackers waaraan je IP gekoppeld wordt.

Voor de situatie van @Papparaat:
Het is toch standaard om een VPN tunnel op te zetten, indien je op afstand toegang wil tot je eigen netwerk via WAN?

[ Voor 28% gewijzigd door Luxicon op 07-09-2020 17:02 ]

[Papparaat]

Ben(V) schreef op maandag 7 september 2020 @ 16:48:
VPN naar een VPN provider beveiligt in een thuissituatie helemaal nergens tegen.
Alles wat het doet is op het internet onzichtbaar maken waar jouw verkeer vandaan komt.
Dat is anoniem surfen en heeft weinig met beveiliging te maken.
Dus als jij website benadert ziet het er vanuit die website gezien eruit alsof je van de server van je VPN provider komt en meer niet.

Waar het wel voor beveiligt is als je met bijvoorbeeld de wifi van een public hotspot werkt.
Je weet namelijk nooit of zo'n hotspot wel save is en jouw verkeer niet onderschept.
Als je in zo'n situatie eerst een encrypted VPN tunnel opzet naar je VPN provider, dan kan jou verkeer niet meer onderschept worden.

Uhmmm...oké, heb ik me daar mooi laten foppen dan!
Dus de enige toegevoegde waarde van een VPN (met een non-dedicated IP) zit hem dus eigenlijk alleen in het anoniem surfen en downloaden, en beveiliging van mobile devices buiten je eigen netwerk?
Oh ja, en de geo-blokkades van bijv. Netflix omzeilen zeker?

Zijn er ook ergens handige overzichten of websites beschikbaar met do's en dont's op het gebied van internet- en netwerkbeveiliging? Zoals wel of niet gebruik maken van port forwarding, welke instellingen van je firewall moet je sowieso op orde hebben, risico's van dynamic DNS en meer van dat soort vragen.

[Ben(V)]

@Luxicon
Niks end-to-end.
Nadat jouw verkeer de tunnel verlaat bij de server van je VPN provider is het weer gewoon http dat iedereen kan zien.
Tenzij je dus https gebruikt, dan is het versleuteld tot aan de website die je wilt bereiken.

Zo'n VPN is enkel volledig veilig als je beide einden onder controle hebt.
Bijvoorbeeld als je via een VPN naar je werk gaat, dan is het uiteinde van de tunnel de server op je werk.

En je gooit tracking en beveiliging door elkaar.
En de meeste tracking wordt gedaan door de websites die je bezoekt en daar helpt VPN maar zeer beperkt tegen.

En om op het tweede vraag terug te komen.
Er zijn twee manieren om VPN te gebruiken.
1. Op je eigen netwerk een VPN server draaien, dan kun je vanaf het internet met een VPN client veilig je eigen netwerk bereiken.

2. Op je netwerk een VPN client aanzetten naar een server van een VPN provider (of bijvoorbeeld een VPN server op je werk) dan heb je een veilige tunnel vanaf je eigen netwerk tot aan de VPN server.

[Luxicon]

@Ben(V) Oke, dus als het verkeer vanuit de VPN server terug komt, is het verkeer niet versleuteld meer? Want ik dacht dat het versleuteld / ontsleuteld wordt bij zowel de client als de server, die het weer versleuteld terug zendt en het lokaal weer ontsleuteld wordt.

[Plenkske]

Je oorspronkelijke vraag:

Papparaat schreef op dinsdag 1 september 2020 @ 14:20:

Mijn vraag in het kort is hoe ik vanaf extern mijn thuisnetwerk kan benaderen als de VPN-client op de router actief is.

Wordt hier beantwoord:

Ben(V) schreef op maandag 7 september 2020 @ 17:43:

Er zijn twee manieren om VPN te gebruiken.
1. Op je eigen netwerk een VPN server draaien, dan kun je vanaf het internet met een VPN client veilig je eigen netwerk bereiken.

Je dient dus geen VPN client op je router actief te hebben, maar een VPN server.
Dit is perfect mogelijk met je Asus router. Ik weet alleen niet of er nog iets open moet staan in je Ziggo box (ik heb geen ervaring met Ziggo).

Apparaten waarmee je extern je thuisnetwerk wil benaderen, dienen een VPN client te hebben met verbinding naar je VPN server (op je router).

Je dient dus zelf de VPN server in te stellen in de router, en VPN clients in je apparaten.


Overigens, als je dit eenmaal hebt dan heb je ook geen port-forwarding meer nodig. Dat maakt je netwerk thuis weer iets veiliger.

[ Voor 5% gewijzigd door Plenkske op 08-09-2020 16:06 ]

[Ben(V)]

Luxicon schreef op dinsdag 8 september 2020 @ 15:55:
@Ben(V) Oke, dus als het verkeer vanuit de VPN server terug komt, is het verkeer niet versleuteld meer? Want ik dacht dat het versleuteld / ontsleuteld wordt bij zowel de client als de server, die het weer versleuteld terug zendt en het lokaal weer ontsleuteld wordt.

Nee je begrijp het nog steeds niet.
Als je een VPN client bent van een VPN provider dan bouw je een tunnel op naar de server van die VPN provider.
Al het verkeer (zowel heen als terug) door die tunnel is encrypted.
Maar bij de VPN provider wordt het decrypted en dan het internet op gegooid.
Als een website dan zo'n request krijgt stuurt die het antwoordt (de webpagina) terug naar de server van je VPN provider, die encrypt het weer en stuurt het weer door de tunnel naar jouw VPN client die het dan weer decrypt en op je Lan gooit.

Dus alles tussen jouw en de VPN provider is encrypted, maar daarna gaat het gewoon het internet op.

VPN tunnel beschermen je enkel tussen client en server, daarachter niet.

[Luxicon]

Ben(V) schreef op dinsdag 8 september 2020 @ 17:30:
[...]


Nee je begrijp het nog steeds niet.
Als je een VPN client bent van een VPN provider dan bouw je een tunnel op naar de server van die VPN provider.
Al het verkeer (zowel heen als terug) door die tunnel is encrypted.
Maar bij de VPN provider wordt het decrypted en dan het internet op gegooid.
Als een website dan zo'n request krijgt stuurt die het antwoordt (de webpagina) terug naar de server van je VPN provider, die encrypt het weer en stuurt het weer door de tunnel naar jouw VPN client die het dan weer decrypt en op je Lan gooit.

Dus alles tussen jouw en de VPN provider is encrypted, maar daarna gaat het gewoon het internet op.

VPN tunnel beschermen je enkel tussen client en server, daarachter niet.

Precies, zo had ik het ook in gedachten. Maar het lijkt mij vanzelfsprekender dat iemand tussen je WAN out probeert af te luisteren, dan tussen de VPN server en de websites die je bezoekt. Ook omdat je dan een ander IP gebruikt, het al lastig zou kunnen zijn om te weten welk verkeer dan van jou af komt.

[Ben(V)]

Waarom is dat waarschijnlijker?
Als ik iets zou willen afluisteren zou ik dat bij het binnenkomende verkeer van de website van bijvoorbeeld een bank doen.
Alles wat daar binnenkomt zijn bankzaken dus veel interessanter dan een willekeurig ip adres van een persoon.

Gelukkig hebben ook nog ssl encryptie die zoiets weer een stuk moeilijker maakt.

Maar zoals ik al zei een VPN naar een VPN provider voegt heel weinig security toe, die is enkel nuttig om anoniem het web op te kunnen.

VPN's zijn vooral nuttig om vanaf het internet veilig op je eigen Lan te komen zonder allemaal poorten te forwarden (enkel de VPN poort) en daar heb je geen VPN provider voor nodig.

[ Voor 31% gewijzigd door Ben(V) op 08-09-2020 17:45 ]