Synology software NAS geen VPN-netwerkverbinding

[biomass]

@Verwijderd Laat je niet door ons opjagen Rustig lezen en proberen.

[Verwijderd]

@biomass
en de rest :-)
Dadelijk ben ik terug. Synology assistent heeft ip nas veranderd.

[ Voor 89% gewijzigd door Verwijderd op 22-06-2023 03:02 ]

[biomass]

Als je dit opzichzelf wil testen, moet het antwoord van http(s)://LAN.IP:poort hetzelfde zijn als http(s)://WAN.IP:poort

Je WAN IP is je externe IP, meestal in te zien in je router of op te vragen by sites als whatsmyip.com
Wat ik verwacht te zien is als je http://LAN.ip:5000, dat je antwoord te zien krijgt op https:LAN.IP:5001
Dat is niet zo'n goede voorbeeld poort om te forwarden. Als je Webstation aan hebt staan, kun je misschien beter even testen met 80 en/of 443

Of rechtstreeks met 5001 inderdaad

[ Voor 3% gewijzigd door biomass op 21-06-2023 11:50 ]

[biomass]

Het is lastig te volgen als je posts steeds radicaal wijzigt

[Verwijderd]

@biomass
DSM gebruikt o.a. 5001

Webstation gebruikt 80 en/of 443

Ik weet wat mijn WAN IP is. Dat zie je ook in mijn screenschots waarin ik mijn WAN IP blur.

Ik heb nu poort 80 geforward in de router.

Ik begrijp jouw verhaal niet met antwoord LAN IP:poort hetzelfde als WAN IP:poort. Of heb je het over de router-instellingen bij portforward? Die staan toch goed?

Ik moet toch gewoon https:\\IP VAN MIJN NAS:80 intikken in de adresbalk van mijn android en kijken of ik via poort 80 op de NAS kom? En dus kijken of het open zetten van poort 80 voor de NAS werkt?

[biomass]

Als de portforwarding werkt, zie je zowel van binnenuit als van buitenom hetzelfde; vandaar twee IP's om te testen.

[E - Jay]

Verwijderd schreef op woensdag 21 juni 2023 @ 11:40:
@biomass
en de rest :-)
Dadelijk ben ik terug. Synology assistent heeft ip nas verandert.

Synology Assistant veranderd geen ip-adressen, die tool zoekt je Nas op in je netwerk en toont het verkregen IP-adres door de dhcp in je router (mits je geen andere dhcp server hebt draaien).
Ik zou er sowieso voor gaan zorgen dat je Nas een vast IP-adres heeft, hetzij dat je in de Nas zelf een adres instelt buiten de dhcp range van je router (daar ga ik even vanuit dat die de adressen uitdeelt) of dat je het mac-adres van je Nas in de router koppelt aan een gewenst ip-adres.
Anders wordt het lastig met portforwardings.

[Verwijderd]

@E - Jay
Ja, dat zei ik niet goed. Die zoektool voor de NAS had een IP aangemaakt. Normaal gesproken edit ik hemzelf na bijv. een dsm-crash naar het IP dat ik wil hebben. Maar dat laatste had ik vergeten.

Ik heb een vast IP adres maar die lag inderdaad binnen de dhcp-range van 1 tot 252. Ik heb de IP pool verkleint. Alle apparatuur ligt nu buiten de dhcp-range. Mijn hemel zeg. Niet handig was dat. Huilen

[ Voor 40% gewijzigd door Verwijderd op 21-06-2023 13:15 ]

[Verwijderd]

@E-jay
Maar een vast IP binnen dhcp levert toch ook geen probleem op voor portforwarding? Dus dat kan het probleem van het niet werken van portforwarding niet zijn, want ik heb altijd vaste IP-adressen gehad.

[E - Jay]

Verwijderd schreef op woensdag 21 juni 2023 @ 15:40:
@E-jay
Maar een vast IP binnen dhcp levert toch ook geen probleem op voor portforwarding? Dus dat kan het probleem van het niet werken van portforwarding niet zijn, want ik heb altijd vaste IP-adressen gehad.

E.e.a. ligt natuurlijk aan je configuratie. Maar normaal gesproken heb je te maken met een DHCP-lease, de tijd dat een IP-adres is toegewezen aan een apparaat. Stel je zet je nas uit of er is een stroomstoring geweest, lease is voorbij en jij zet vervolgens je nas weer aan. die vraagt aan de dhcp server vervolgens weer een ip-adres ... dat kan dan een ander adres zijn dan initieel.
Of stel dat een apparaat ip-adres 192.168.0.5 heeft gekregen omdat die in de dhcp pool zit en jij zet vervolgens een ander apparaat aan die jij vast hebt ingesteld op 192.168.0.5 dan krijg je rariteiten. (dubbel ip in je netwerk)

Dus als door het verlopen van de dhcp lease het ip-adres van het apparaat wijzigt, bijvoorbeeld van 192.168.0.5 naar 192.168.0.99 dan gaat je portforwarding de mist in omdat je die hebt ingesteld dat die (wederom bijvoorbeeld) poort 1194 door moet sturen naar 192.168.0.5 ... ofwel het verkeerde apparaat.
Heb je straks een VPN naar je slimme tosti-apparaat

[Bertus]

Ik heb niet alles gelezen, maar je zegt dat je gebruik maakt van VLANs.

De setting die je zag zal vermoedelijk voor tagged vlans zijn.

Zitten je NAS en PC in dezelfde VLAN? En is er uberhaupt verkeer mogelijk naar buiten vanuit die VLANs voor de bepaalde ranges? Is er DNS beschikbaar in die VLANs?

Misschien moet je mijn post maar negeren maar dat is het eerste waar ik op aansloeg toen ik je startpost las.

[Verwijderd]

@E-jay
Klinkt begrijpelijk jouw verhaal. Dan toch maar IP's buiten de dhcp -range, zoals ik de boel nu heb geconfigureerd.

@Bertus
NAS en PC zitten in hetzelfde vlan. Beide hangen aan een untagged poort aan een switch.

Ik hoop dat er verkeer mogelijk is naar buiten.

Ik weet niet of ik jouw post moet negeren. Dat doe ik dus niet.

[ Voor 31% gewijzigd door Verwijderd op 22-06-2023 12:04 ]

[Bertus]

Verwijderd schreef op woensdag 21 juni 2023 @ 19:59:
@E-jay
Klinkt begrijpelijk jouw verhaal. Dan toch maar IP's buiten de dhcp -range, zoals ik de boel nu heb geconfigureerd.

@Bertus
NAS en PC zitten in hetzelfde vlan. Beide hangen aan een untagged poort aan een switch.

Ik hoop dat er verkeer mogelijk is naar buiten.

Ik weet niet of ik jouw post moet negeren. Dat doe ik dus niet. We zitten hier op een plek met mensen die heel veel verstand hebben van ict. Als je iets zegt dat niet klopt, dan krijg je (terecht) een klap om je oren en dan mag je erover nadenken. Net als vroeger op de kleuterschool. Dat je als je iets doet wat niet mag, je even in de hoek moet staan. Pas maar op Bertus ;-)

Ik probeer alleen te helpen dus je laatste alinea negeer ik maar.

En weet je router ook van deze vlans af? Ik weet niet hoe je netwerk eruit ziet verder, zeker niet qua vlans, maar zitten ze in dezelfde range aan de binnenkant? Dat is al een begin. Misschien even goed kijken welke VLANs op welke poorten zitten. Dat kan je plezier verpesten.

[Verwijderd]

@biomass
Jij zegt: als de portforwarding werkt, zie je zowel van binnenuit als van buitenom hetzelfde.Vandaar twee IP's om te testen. LAN IP:poort hetzelfde als WAN IP:poort.

Oke, dus als ik van buitenaf met een android wil connecten met mijn NAS. Dan geef ik met de android een verzoek op mijn WAN IP met een daarbij horende poort (externe poort). Die externe poort koppel ik vervolgens aan het LAN IP van mijn NAS met de daarbij horende zelfde poort (interne poort) waarop de android mij wil connecten => portforwarding oftewel poort doorsturen.

[Verwijderd]

Dank je wel Bertus.

[ Voor 223% gewijzigd door Verwijderd op 27-06-2023 18:41 ]

[biomass]

Beantwoord je eigen vraag eens? Open de/een pagina op poort 5001,443 of 80 van je NAS op het LAN IP in de browser van je telefoon en open dan dezelfde url maar dan met het WAN IP van je NAS. Lukt dat?

[Verwijderd]

@biomass
NAS is onbereikbaar met LAN IP NAS met poort 80.

WAN IP van de NAS voer ik liever niet in op mijn android.

Maar als het met het LAN IP NAS niet werkt, dan heeft het volgens mij ook geen zin om het met het WAN IP te doen. Of zeg ik hier iets geks?

[ Voor 92% gewijzigd door Verwijderd op 21-06-2023 22:32 ]

[biomass]

Dan heeft je telefoon misschien nog niet het IP wat bij het VLAN hoort waar jij hem ingedeeld hebt? Wifi op de telefoon even uit gehad? Ik heb zelf geen VLANs, dus weet niet zo 1-2-3 wat ik met die tabel moet, maar wat voor je telefoon geldt moet ook voor je pc gelden. Kun je binnendoor en buitenom?
Zo nee, dan is je VLAN configuratie waarschijnlijk spelbreker. Ergens zal uit moeten blijken dat je Wifi SSID verkeer mag routeren dat getriggerd wordt door je LAN of WAN IP aan te roepen.

[Verwijderd]

@biomass
Ik heb 4g op mobiel gebruikt voor de test. Dus met een dynamisch IP 10.164.2x.x.

De mobiele telefoon zit in VLAN0. Bij de NAS en de PC in hetzelfde subnet.

Ik heb gewoon een vast IP op de mobiel en dat werkt perfect. Zonder problemen.

De rest moet ik uitzoeken /overdenken.

[ Voor 43% gewijzigd door Verwijderd op 21-06-2023 22:44 ]

[Verwijderd]

Poort 1 van de router is een tagged poort. Er zitten meerdere vlan's in.

Aan poort 1 van de switch hangt mijn router.

Poort 1 van de switch staat op tagged. Het lijkt mij dat dat niet goed is. Maar wat betekent dat voor de config? Is dat de verklaring waarom de NAS van buiten niet wordt gevonden?

Ik heb poort 1 van de switch nu op untagged gezet.

Als er vanaf de router een pakket met tag 34 op de switch ontvangen wordt, dan zal de switch deze uitzenden op alle poorten die in vlan0 als untagged aanwezig zijn. Dan krijgt de NAS toch het pakket? Maar wat gebeurt er dus als poort 1 van de switch op tagged staat zoals in het schema? Ik zie het niet?

[ Voor 63% gewijzigd door Verwijderd op 22-06-2023 13:21 ]

[Verwijderd]

@Bertus
Ik kan met een pc die in een VLAN zit op internet. Dan kan ik concluderen dat er verkeer naar buiten mogelijk is, toch?

[ Voor 64% gewijzigd door Verwijderd op 22-06-2023 13:22 ]

[Bertus]

Ja, maar aangezien elk VLAN een interface heeft, en ook daar mogelijk firewall regels tussen zitten kan dat problemen opleveren.

Ik ben niet zo goed in het vertalen van je schema naar een plaatje in mijn hoofd dus dat moet je zelf doen.

Of bijvoorbeeld eens alles in hetzelfde VLAN ongetagged testen.

[UTPBlokje]

Ik heb een kort vragen lijstje gemaakt om uitsluitsel te krijgen en wat orde in de chaos te scheppen.
Verder zie ik dat er een hoop netwerk kennis mist om dit werkend te krijgen.

Graag antwoorden met ja of nee

Op de draytek router. Staat het vinkje van opvpn server uit ?

Op je Android device. Wanneer deze is verbonden met je WiFi. Komt het ip van je Android overeen met het netwerk van je nas?

Kan je wanneer je bent verbonden met de wifi met je Android device wel bij de webinterface van de nas

Zit de pc in hetzelfde netwerk als de nas?

Kan je vanuit je pc de webinterface van de nas benaderen op lokaal ip?

Heb je de OpenVPN al getest op je pc?

Portforward vanuit de draytek naar 5001 WAN-LAN
Werkt dit ?


Vooralsnog zie ik dat het netwerk problemen zijn en niet zozeer de vpn van de nas.

[Verwijderd]

@UTPBlokje
Op de draytek router. Staat het vinkje van opvpn server uit ? ja

Op je Android device. Wanneer deze is verbonden met je WiFi. Komt het ip van je Android overeen met het netwerk van je nas? ja

Kan je wanneer je bent verbonden met de wifi met je Android device wel bij de webinterface van de nas ja => http://(wan1 IP):5000

Zit de pc in hetzelfde netwerk als de nas? ja

Kan je vanuit je pc de webinterface van de nas benaderen op lokaal ip? ja => http://(LAN IP NAS):5000

Heb je de OpenVPN al getest op je pc? ja => werkt niet

Portforward vanuit de draytek naar 5001 WAN-LAN
Werkt dit ? ja => http://(wan1 IP):5000

[UTPBlokje]

Verwijderd schreef op donderdag 22 juni 2023 @ 19:48:
@UTPBlokje
Op de draytek router. Staat het vinkje van opvpn server uit ? ja

Op je Android device. Wanneer deze is verbonden met je WiFi. Komt het ip van je Android overeen met het netwerk van je nas? ja

Kan je wanneer je bent verbonden met de wifi met je Android device wel bij de webinterface van de nas ja => http://(wan1 IP):5000

Zit de pc in hetzelfde netwerk als de nas? ja

Kan je vanuit je pc de webinterface van de nas benaderen op lokaal ip? ja => http://(LAN IP NAS):5000

Heb je de OpenVPN al getest op je pc? ja => werkt niet

Portforward vanuit de draytek naar 5001 WAN-LAN
Werkt dit ? ja => http://(wan1 IP):5000

Top dank voor het invullen.

Je geeft bovenstaand aan dat je Android in hetzelfde netwerk zit als de nas. Waarom benader je de nas dan op wan ip?

[Verwijderd]

@UTPBlokje
Ik benader de NAS met de android van buitenom (extern IP / WAN IP) omdat ik niet alleen vanuit huis de NAS wil benaderen.

Ik zit te denken. Ik benader de NAS nu met mijn android met het LAN IP van de NAS. Dat is nu dus verkeerd ingesteld volgens mij als het via internet moet komen? Met 4G moet dat dan toch via het WAN IP?

Ik heb ook niet voor niets portforwarding.

Met de OpenVPN-connect-app kan ik nog niet de NAS connecten. Zowel op mijn PC als de android niet. Ik geloof dat er niet mis is met het ovpn-bestand. Ik zal er morgen nog even naar kijken.

Kun je trouwens tweakers doneren?

[ Voor 22% gewijzigd door Verwijderd op 22-06-2023 23:21 ]

[UTPBlokje]

Verwijderd schreef op donderdag 22 juni 2023 @ 22:58:
@UTPBlokje
Ik benader de NAS met de android van buitenom (extern IP / WAN IP) omdat ik niet alleen vanuit huis de NAS wil benaderen.

Ik zit te denken. Ik benader de NAS nu met mijn android met het LAN IP van de NAS. Dat is nu dus verkeerd ingesteld volgens mij als het via internet moet komen? Met 4G moet dat dan toch via het WAN IP?

Ik heb ook niet voor niets portforwarding.

Met de OpenVPN-connect-app kan ik nog niet de NAS connecten. Zowel op mijn PC als de android niet. Ik geloof dat er niet mis is met het ovpn-bestand. Ik zal er morgen nog even naar kijken.

Kun je trouwens tweakers doneren?

Ik snap wat je wil bereiken. Maar om uit te sluiten waar de kink in de kabel zit moet het eerst intern werken. Dit moet zowel werken op PC als Android. Extern ga je pas bekijken wanneer het intern werkt.

PC kan wel bij de nas via de webinterface maar kan geen openvpn openen.
Je subnetten wil je niet delen. dus hier een voorbeeld setup

Je pc en nas zitten in subnet 192.168.34.0/24

PC heeft ip 192.168.34.100/24
NAS heeft ip 192.168.34.20/24

Voor de VPN heb je een dynamisch ip netwerk die synology zelf maakt 10.8.0.1/24 dit mag anders zijn. Maar moet afwijken van je eigen netwerken.

Maak een export van de config vanuit de synology nas en pas alleen het ip adres van de remote aan .

code:

dev tun
tls-client

remote 192.168.34.20 1194

# The "float" tells OpenVPN to accept authenticated packets from any address,
# not only the address which was specified in the --remote option.
# This is useful when you are connecting to a peer which holds a dynamic address
# such as a dial-in user or DHCP client.
# (Please refer to the manual of OpenVPN for more information.)

#float

# If redirect-gateway is enabled, the client will redirect it's
# default network gateway through the VPN.
# It means the VPN connection will firstly connect to the VPN Server
# and then to the internet.
# (Please refer to the manual of OpenVPN for more information.)

#redirect-gateway def1

# dhcp-option DNS: To set primary domain name server address.
# Repeat this option to set secondary DNS server addresses.

#dhcp-option DNS DNS_IP_ADDRESS

pull

# If you want to connect by Server's IPv6 address, you should use
# "proto udp6" in UDP mode or "proto tcp6-client" in TCP mode
proto udp

script-security 2


comp-lzo

reneg-sec 0

cipher AES-256-CBC

auth SHA512

auth-user-pass
<ca>
Staat ingevuld
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Staat ingevuld
-----END CERTIFICATE-----

</ca>

Je vpn config file ziet er dan als volgt uit


De config importeer je in de openvpn client van de pc en dit zal dan moeten werken.

Kan je dan alsnog geen connectie krijgen moet er gekeken worden naar firewall regels tussen de Vlans vanuit de draytek. Bij default staat dit in draytek niet aan.

[Verwijderd]

@UTPBlokje
Wat je beschrijft heb ik allemaal al gedaan. Ik had alleen redirect gateway aanstaan. Omleiden van de router zou dat zijn. Ik ga later uitzoeken wat het inhoudt. Voor nu heb ik het uitgezet in het ovpn-bestand.

Alles lijk ik goed te hebben ingesteld. Dan ga ik kijken naar de firewall-regels tussen de vlan's vanuit de draytek. Bertus had dat ook al aangegeven. Wat een gedoe allemaal. Akelig apparaat die draytek. En jij ziet ook gewoon dat ik een draytek heb. Dat heb ik nergens vermeld. Blijkbaar niet de eerste keer dat je een router ziet.

[ Voor 23% gewijzigd door Verwijderd op 24-06-2023 09:03 ]

[W1ck1e]

En jij ziet ook gewoon dat ik een draytek heb. Dat heb ik nergens vermeld.

Uit een eerder berichtje van jou :

Verwijderd schreef op woensdag 7 juni 2023 @ 10:12:
...
@Shinji
Ik heb een draytek router. Provider: budget alles in 1 (dat is van KPN). Ik weet niet of het carrier grade NAT is. Ik weet uberhaupt niet wat carier grade NAT is. Ik zal het eens opzoeken/inlezen.
...

[ Voor 11% gewijzigd door W1ck1e op 24-06-2023 11:02 ]

[Verwijderd]

@W1ck1e
Jullie zijn scherp mensen.

Ik heb nu de DDNS-naam ingevuld in het ovpn-bestand en de firewall-regels toegevoegd in mijn router. Het invullen van het IP-adres van de NAS in het ovpn-bestand werkte bij mij niet => ik kreeg in de log van de openvpn-connect-app de melding 'server poll timeout, trying next remote entry....'

Maar het werkt..... mijn hemel, het werkt Ik heb een vpn-pad voor mijn android met de NAS. Ik heb verdomme een VPN-server van mijn NAS gemaakt :-) :-) :-) :-)

Ik heb onderstaande firewall-regels. Ik hoop dat ze goed zijn.





Ik vraag me af of die derde regel in de firewall eigenlijk wel nodig is. De NAS hoeft toch geen berichten naar een client te sturen? Of toch wel, om terug te reageren voor aanvragen of iets?

Dank je wel allemaal. Ik ben er erg blij mee :-)

Nu mezelf meer verdiepen in networking om echt te snappen wat ik aan het doen ben. Ik heb veel geleerd de afgelopen weken, maar ik besef dat er nog een lange weg te gaan is.

Maar ik ga vast nog vragen krijgen m.b.t. nieuwe problemen die gaan ontstaan.

[biomass]

Mooi dat het gelukt is.

Het ziet er uit als of de derde regel nodig is omdat je voor een UDP verbinding met je VPN service hebt gekozen. Het enige wat er mogelijk mis is met regel #3 dat het *elk* verkeer van je NAS naar buiten toestaat.

Als je kiest voor het TCP protocol heb je alleen aan een inkomende regel genoeg.

Ik heb zelf voor TCP gekozen omdat dat beter gaat over 4G/5G.

[Verwijderd]

@Shinji
Een wat late reactie op jouw vraag. Het was me ontgaan. Maar ik heb op dit moment geen speciale use case voor TCP. Ja, TCP 443 wil ik straks gaan gebruiken.

@biomass
Shinji opperde om naar TCP 5001 te gaan. Deze poort wordt alleen al gebruikt. Door DSM bijvoorbeeld.

TCP 443 kan dus ook niet. Want ik wil in de nabije toekomst een website hosten.

Kan ik TCP 1723 ook voor openVPN gebruiken?

[ Voor 51% gewijzigd door Verwijderd op 25-06-2023 09:39 ]

[Shinji]

Verwijderd schreef op zondag 25 juni 2023 @ 08:39:
@Shinji
Een wat late reactie op jouw vraag. Het was me ontgaan. Maar ik heb op dit moment geen speciale use case voor TCP. Ja, TCP 443 wil ik straks gaan gebruiken.

@biomass
Shinji opperde om naar TCP 5001 te gaan. Deze poort wordt alleen al gebruikt. Door DSM bijvoorbeeld.

TCP 443 kan dus ook niet. Want ik wil in de nabije toekomst een website hosten.

Kan ik TCP 1723 ook voor openVPN gebruiken?

Nogmaals, dat heb ik niet geopperd, ik heb die poort als test voor poortforwarding naar DSM te testen zodat je de poortforwarding afzonderlijk kon testen.

Als je hier echt mee verder wil zou ik je willen adviseren nauwkeuriger te lezen.

[Shinji]

biomass schreef op zaterdag 24 juni 2023 @ 12:22:
Mooi dat het gelukt is.

Het ziet er uit als of de derde regel nodig is omdat je voor een UDP verbinding met je VPN service hebt gekozen. Het enige wat er mogelijk mis is met regel #3 dat het *elk* verkeer van je NAS naar buiten toestaat.

Als je kiest voor het TCP protocol heb je alleen aan een inkomende regel genoeg.

Ik heb zelf voor TCP gekozen omdat dat beter gaat over 4G/5G.

Als de draytek zich als fatsoenlijke firewall gedraagt heb je ook #3 niet nodig.

Het doel is cliënt server, die rule #3 is alleen nodig als de VPN vanuit de server ook geïnitieerd moet kunnen worden. Dat is bij site to site bijvoorbeeld wenselijk. Bij cliënt server niet omdat de server geen IP adres van de andere kant nog weet dus de verbinding zal altijd vanaf de cliënt gestart worden.

Een fatsoenlijke firewall houdt een sessie tabel bij en match het uitgaande verkeer dan op de bestaande sessie waardoor #3 niet nodig is.

Als de draytek zich als een ACL gedraagt dan is die regel wel nodig (al dan niet in een wat beperktere vorm).

[biomass]

Verwijderd schreef op zondag 25 juni 2023 @ 08:39:
Kan ik TCP 1723 ook voor openVPN gebruiken?

quote:

code:

************************************************************************
* PLEASE NOTE THE FOLLOWING:                                           *
*                                                                      *
* ASSIGNMENT OF A PORT NUMBER DOES NOT IN ANY WAY IMPLY AN             *
* ENDORSEMENT OF AN APPLICATION OR PRODUCT, AND THE FACT THAT NETWORK  *
* TRAFFIC IS FLOWING TO OR FROM A REGISTERED PORT DOES NOT MEAN THAT   *
* IT IS "GOOD" TRAFFIC, NOR THAT IT NECESSARILY CORRESPONDS TO THE     *
* ASSIGNED SERVICE. FIREWALL AND SYSTEM ADMINISTRATORS SHOULD          *
* CHOOSE HOW TO CONFIGURE THEIR SYSTEMS BASED ON THEIR KNOWLEDGE OF    *
* THE TRAFFIC IN QUESTION, NOT WHETHER THERE IS A PORT NUMBER          *
* REGISTERED OR NOT.                                                   *
************************************************************************

[Verwijderd]

@Shinji
Je hebt gelijk.

Ik ga nadenken over de firewall.

@biomass
Maar dan kan ik dus elke vrije poort gebruiken? Poorten zijn allemaal hetzelfde? De eigenschap van de poort wordt bepaald door het protocol? Het is dan zoeken naar een poort die vrij is. Zoekt en gij zult vinden.

[Shinji]

Verwijderd schreef op maandag 26 juni 2023 @ 10:37:
@Shinji
Je hebt gelijk.

Ik ga nadenken over de firewall.

@biomass
Maar dan kan ik dus elke vrije poort gebruiken? Poorten zijn allemaal hetzelfde? De eigenschap van de poort wordt bepaald door het protocol? Het is dan zoeken naar een poort die vrij is. Zoekt en gij zult vinden.

Waar ga je dan over nadenken?

Je kan elke poort gebruiken, of je het wil hangt af van de keuzes die je maakt. Elke poort is in principe gelijk.

Elke poort is gelijk maar voor de handigheid zijn er standaard diensten die gebruik maken van standaard poorten (22 SSH, 23 Telnet, 80 HTTP, 443 HTTPS, 445 SMB etc).

Je kan daar van afwijken voor "security through obscurity" of bijvoorbeeld omdat TCP/443 eigenlijk altijd open staat als je ergens anders bent.

Als je OpenVPN op TCP/443 draait dan kan je die ook vanaf bijvoorbeeld het McDonalds gasten Wifi gebruiken. Soms worden voor gasten netwerken alleen poort 80/443 en dns toegestaan.

Als je altijd 4G/5G gebruikt of bij mensen thuis hun wifi is dat niet per se relevant.

[Verwijderd]

@Shinji
Dan ga ik het instellen via TCP 443.

Hun wifi zal ik dan veelal gebruiken. Maar via 443 is dan toch verder geen probleem lijkt mij. TCP is wel betrouwbaarder en stabieler,

Ik ga nadenken over hoe het is met een cocktail op aruba :-) Nee, zonder gekheid. Bijv. nadenken over hoe ik de firewall het beste kan instellen / fine-tunen. En nog meer dingen die ik graag wil verwezenlijken. Bijv. het volgende:

Graag wil ik o.a. camera’s ook via een pc kunnen bekijken via internet.

Met het openvpn-connect pad op de pc kan ik niet inloggen in dsm op de adresbalk.

Omdat het ip continu verandert, probeerde ik het met mijn ddns-naam, maar dan lukte ook niet.

Hoe kan ik met het vpn-pad inloggen in dsm op mijn pc via internet?

Of moet ik een synology surveilance station client voor windows installeren? Maar dan kan ik niet inloggen in dsm. Graag wil ik via internet het hele dsm-pakket kunnen raadplegen.

[Verwijderd]

Dit is wat gebruiker lier heeft gezegd:
Het feit dat je administrator als gebruikersnaam gebruikt is een groter risico dan je interne IP adres blurren (waar echt helemaal niemand iets mee kan). Just saying...

Heb je de server wel goed ingesteld:
https://kb.synology.com/n...enter/vpn_setup?version=7
Kan je een overzicht van alle private IP adressen van de NAS en VPN server hier vermelden?

Hij zegt dat anderen niets hebben aan lokale (private) ip adressen en dat ik met een gerust hart lokale ip adressen kan verstrekken. Niemand kan iets met een lokaal ip adres zegt hij.

Dat niemand iets heeft aan andermans lokale ip adres is toch niet waar?

Is het vreemd als ik mijn lokale ip adressen blur?

Wat lier zegt rijmt ook niet met het volgende:
Je eigen, lokale (private), IP-adres bevat ontzettend veel informatie over jou als internetgebruiker. Door te schuilen achter een ander IP-adres (vpn), blijf je online veel veiliger en vooral anoniemer.

Wan-adressen zijn daarentegen juist minder problematisch om te verstrekken omdat het slechts postbus-adressen zijn.

Ik begin nu een beetje te snappen hoe het werkt met ip adressen. Maar zo'n opmerking van lier maakt mij dan wel paranoide. Waarom zegt hij dat ik prima lokale ip adressen kan verstrekken hier op tweakers?

Of is het gek wat ik hierboven zeg? Zit ik ernaast?

@Shinji
Het bovenstaande is waarom ik nadenkt over dit soort dingen. En er valt voor mij nog genoeg om over na te denken ;-)

[RonnieKo]

Goed,

1) Gebruikersnaam en wachtwoord: Zorg voor VPN toegang tot je NAS met behulp van een normaal account. Regel zo dat dat account alleen bedoeld is voor de toegang via de VPN-verbinding. Het Admin-account alleen via het lokale netwerk laten inloggen. Dat kan je instellen. Als je het allemaal goed instelt kan je met de VPN-verbinding ook op je NAS-server komen. Dan inloggen met andere gebruikersnamen voor de verschillende diensten op de NAS-server.

2) Lokale IPv4-adressen zijn altijd in bepaalde reeksen. Deze zijn vastgelegd in standaarden. Daardoor zullen lokale netwerken vaak in dezelfde reeksen zitten. Zoals de 192.168.x.x-reeks en de 10.x.x.x reeks. Zo zijn er nog een aantal.

Wat @lier zal bedoelen is het IP-adres van je provider. Ga je een VPN-provider gebruiken (zoals Nord-VPN) om over het internet te surfen dan krijg je een publiek IP-adres van de VPN-provider. Dan is het wat minder zichtbaar dat je bijvoorbeeld uit Nederland of bij KPN / Ziggo zit. Wel dat je via VPN-provider surft.

Als je je VPN-verbinding goed opzet kan het zo zijn dan al je internetverkeer van het toestel met VPN-verbinding via de NAS-server en je internetverbinding thuis verloopt. (Standaard gateway instellen).

3) Als je je publieke IPv4-adres hier neerzet kan iemand wat sneller een keer denken: Laat ik een poortscan doen en eens kijken of ik binnen kom.

[Verwijderd]

@RonnieKo
Helder.

Ik heb vpn toegang tot mijn nas met een normaal account zonder administrator bevoegdheden ingesteld.

Via het administrator account bewerk ik de nas.

Graag wil ik inderdaad al het internetverkeer via de vpn van de nas. Dus de nas als default gateway.

Ik heb nu een vpn connect app geïnstalleerd op een pc. Ik krijg dan een dynamisch ip van de vpn server. Als ik ipconfig uitvoer, dan zie ik het volgende:



Het vervelende is dat ik de nas niet altijd aan wil hebben staan. Ten minste niet op dit moment. Dus ik wil de nas dan ook niet als default gateway. Dan moet ik de router als alternatieve dns-server instellen waarschijnlijk?

[ Voor 7% gewijzigd door Verwijderd op 27-06-2023 13:50 ]

[RonnieKo]

Bij de client moet je instellen welke "Gateway" voor het internetverkeer gebruikt mag worden. Internetverkeer via de NAS betekent wel dat je al het (externe) internetverkeer twee keer op je netwerk hebt. Dat is een afweging.

Bij windows kan je ook de standaard VPN-verbindingsmodule gebruiken. Zelf heb ik de NAS in de nachtelijke uren uit staan. In de ochtend start deze weer op. De VPN-verbinding start ik handmatig op. Ik gebruik de VPN-vebinding vooral om bestanden en Synology Notes extern te ontsluiten. Teams vindt een VPN-verbinding niet altijd lekker om te werken. Dus dan geen VPN.

[Verwijderd]

Dus dan beter niet de nas als standaard gateway instellen.

Maar als ik de open connect app handmatig aanzet (dat wat jij ook doet), dan heb ik toch internet via vpn?

En het lijkt mij dan dat ik dan kan ik kiezen of ik via vpn of normaal ga internetten.

Dat met die timer is ook een tip :-) Die ga ik denk ik ook gebruiken.

[RonnieKo]

Inderdaad. Als je handmatig doet dan zal je dan pas via de VPN het internet gaat. Als je dat aangeeft.

Als je NAS op een timer gaat zetten: Kijk even welke automatische processen je in de nacht hebt staan. Deze kan je dan naar de randen van het uitzetten / opstarten zetten dan worden ze ook nog uitgevoerd. Bijvoorbeeld backuppen e.d.

[Verwijderd]

@RonnieKo

Met redirect-gateway def1 in de ovpn-file werkt de openvpn-connect app wel op de android, maar kan ik geen camerabeeld bekijken met dscam. Ook kan ik niet op internet.

Als ik # redirect-gateway def1 instel (dus het hekje ervoor), dan kan ik wel camerabeeld bekijken met dscam op de android en op internet. Gaan beide dan wel door de vpn-tunnel?

Als het haakje weg is voor redirect-gateway def1 dan zou toch al het verkeer door de vpn-tunnel gaan (ook websites bezoeken)?

En mijn wan-ip hoort toch ook niet zichtbaar te zijn op internet? Dat is het wel.

Ik heb alles ingesteld volgens hoe het hoort. Ik snap er niets van.

[ Voor 43% gewijzigd door Verwijderd op 27-06-2023 22:19 ]

[RonnieKo]

Ik heb niet veel ervaring met OpenVPN. Dat zou ik dan moeten uitzoeken. Via de andere protocollen werkt het bij mij probleemloos.

Bij configuratiebestanden is het dat regels actief worden zonder # ervoor. Alles met een # wordt overgeslagen. Dat kan je ook zien dat regels met # vaak ook aanwijzingen en uitleg bevatten.

Johan Abbink schreef op dinsdag 27 juni 2023 @ 21:56:
En mijn wan-ip hoort toch ook niet zichtbaar te zijn op internet? Dat is het wel.

Welk publiek ip-adres bedoel je? VPN is niet meer dan een directe tunnel van een apparaat naar een ander apparaat. Zit je telefoon bijvoorbeeld op het 4G-netwerk van Vodafone en je gaat op internet dan krijg je een publiek IP-adres (WAN) van Vodafone. Zit je thuis bij KPN en je hebt de WiFi aan staan dan maakt je telefoon via de WiFi van KPN-verbinding verbinding met het internet. Dan heb je een publiek IP-adres van KPN.

Ben je niet thuis, je telefoon zit op het 4G-netwerk van Vodafone en je maakt nu de VPN-verbinding naar thuis (KPN). Daarnaast heb je ingesteld dat al het externe netwerkverkeer via de VPN-verbinding moet lopen. Daardoor lijkt het voor apps op de telefoon dat deze op het interne thuisnetwerk zit. Alle websites die je via de browser bezoekt zien je publieke IP-adres van KPN en niet die van het 4G-netwerk Vodafone. Dit omdat al het netwerkverkeer via de VPN-verbinding loopt.

Omdat het niet altijd handig is om direct extern netwerkverkeer (zoals bezoeken van internetsites zoals Tweakers.net) over de VPN-verbinding te laten lopen kan je instellen dat netwerkverkeer voor extern direct over de normale verbinding loopt. Bij de telefoon op het Vodafone-netwerk is dat dan via Vodafone.

Wil je ook dat het publieke IP-adres van KPN tijdens het surfen niet zichtbaar is dan zal je via een VPN-dienst als NordVPN moeten gaan werken. Als je dan via de VPN-dienst van NordVPN op internet begeeft dan zien de websites het publieke IP-adres van NordVPN. Dit was ook al eerder uitgelegd.

[ Voor 10% gewijzigd door RonnieKo op 28-06-2023 09:09 ]

[Verwijderd]

@RonnieKo
Met 'Clients toegang geven tot LAN-server' in de OpenVPN-server instellingen, geef je aan dat al het externe netwerkverkeer via de VPN-verbinding moet lopen, toch?

Dat publieke adres dat je krijgt van de provider is altijd het vaste, eigen, unieke WAN-adres? Ik heb hier dan mijn DDNS-naam aan gekoppeld. Dat is handig als de provider mijn WAN-adres verandert.

Als ik met een android via 4g een website wil bezoeken, dan krijgt mijn router (om de android later te dienen) van de provider het WAN-adres. Dat WAN-adres wordt vervolgens door de VPN-tunnel geleid, en die maakt er een dynamisch IP-adres van voor de android, waarmee ik vervolgens de site bezoek. Met betrekking tot dat laatste wordt mijn VPN-server de WAN-IP verstrekker om te kunnen internetten. Begrijp ik dat goed? Of snap ik het nog steeds niet?

Ik probeer er grip op te krijgen en te snappen wat er gebeurt.

Heeft iemand een tabel of link waarin belangrijke firewall-instellingen voor OpenVPN staan beschreven. Wat kan ik open zetten, en wat moet dicht?

[Verwijderd]

Mijn OpenVPN-connect app op de PC ontvangt veel vaker pakketten dan op de android als ik niets met de PC en android doe. Bij de PC is het VPN-verkeer veel actiever.

[RonnieKo]

Verwijderd schreef op woensdag 28 juni 2023 @ 10:26:
Dat publieke adres dat je krijgt van de provider is altijd het vaste, eigen, unieke WAN-adres? Ik heb hier dan mijn DDNS-naam aan gekoppeld. Dat is handig als de provider mijn WAN-adres verandert.

Bij consumenten is het semi-vast. Ik heb eigenlijk altijd wel een vast adres. Alleen gewijzigd door de provider toen ze intern overstapten op een ander systeem / netwerkopzet bij glas. Goed DDNS kan handig zijn om niet het IP-adres te moeten onthouden Testen van verbindingen doe ik altijd via IP-adres. Dan zit je rechtstreeks en niet via de omweg van een DDNS-provider.

Verwijderd schreef op woensdag 28 juni 2023 @ 10:26:

Als ik met een android via 4g een website wil bezoeken, dan krijgt mijn router (om de android later te dienen) van de provider het WAN-adres. Dat WAN-adres wordt vervolgens door de VPN-tunnel geleid, en die maakt er een dynamisch IP-adres van voor de android, waarmee ik vervolgens de site bezoek. Met betrekking tot dat laatste wordt mijn VPN-server de WAN-IP verstrekker om te kunnen internetten. Begrijp ik dat goed? Of snap ik het nog steeds niet?

Nee. Als het 4G-toestel via 4G-netwerk zit krijgt het een IP-adres van het 4G-netwerk. Ga je surfen op het internet dan wordt dat adres doorgegeven. Als je een VPN-verbinding gaat opzetten dan wordt er als ware softwarematig een tweede netwerkkaart geactiveerd waar al het netwerkverkeer over heen gaat. De VPN-software doet zich voor als "netwerkkaart" in het toestel. Bij het opzetten van een verbinding krijg je via de VPN-server toegang tot je thuisnetwerk. Daarom krijgt het toestel een IP-adres van de VPN-server. Je zit gewoon op je interne thuisnetwerk. Je gaat via je standaard internetrouter / verbinding het internet op. Er wordt een soort van "omweg" gemaakt. Via VPN is dan het publieke IP-adres van je thuisverbinding is het IP-adres dat bij websites zichtbaar is. Niets meer en niets minder.

Dat er meer netwerkverkeer is een beetje afhankelijk van alle services, processen en apps die op een apparaat draaien. Windows zal mogelijk naar updates zoeken en downloaden. Terwijl het andere apparaat dat niet doet. Of andere programma's die fijn op de achtergrond meedraaien. Daar is niets zinnigs over te zeggen.

[ Voor 14% gewijzigd door RonnieKo op 28-06-2023 11:44 ]