FB6660 und VPN

[Leonardus]

Guten Tag,
vorweg gesagt, ich habe sehr wenig Ahnung von VPN, möchte aber jetzt hiermit erste Schritten unternehmen. In meinem LAN ist auch ein NAS (Synology) integriert. Womit solltei ch jetzt anfangen, beim NAS oder beim FB6660?
Gibt es da wichtige Sachen zu beachten?

VG,
Leonardus

 

[Stationary]

Der VPN-Server gehört nach Möglichkeit auf die Fritzbox, das ist schließlich die Eingangstür zu Deinem Netzwerk (analog: Du schließt ja auch die Haustür ab und nicht erst die Wohnzimmertür).
Wie das genau läuft, ist bei AVM sehr gut beschrieben, teilweise hängt die genaue Vorgehensweise davon ab, welches FritzOS Deine Box hat und ob Dein ISP (internet service provider) Dir eine öffentliche IPv4 zugewiesen hat oder nicht (Stichwort dann CG-NAT).
Es empfiehlt sich heutzutage eigentlich - falls möglich - den Zugang mit Wireguard aufzusetzen, eventuell mußt Du da noch etwas warten, bis Deine FB das entsprechende Update bekommt.
Wenn alles nicht klappt, dann ist „tailscale“ (da gibt es eine App im Synology Appstore) eine Option, das funktioniert sogar mit Starlink.

 

[Leonardus]

@Stationary , vielen Dank, werde dann mal aktiv werden

 

[Barungar]

Für die FritzBox 6660 gibt es eine Labor-Firmware mit Wireguard. Das ist aber eine Beta-Version, die noch eventuelle Fehler / Schwächen haben könnte. Ich vermute (spekulativ) das in den nächsten Wochen (noch im ersten Quartal 2023) die finale Version für die FritzBox 6660 erscheinen wird.

Wenn Du also Wireguard nehmen willst (das ist ein gehyptes VPN) brauchst Du entweder die Labor-Firmware (mit eventuellen Macken) oder Du wartest bis zum finalen Release in ein paar Wochen.

Alternativ kannst Du ein VPN auf Basis von IPsec machen, das hat aber zur Zeit ein paar Einschränkungen. Erstens geht es nur mit öffentlicher IPv4 und zweitens wird noch IKEv1 eingesetz; damit können z.B. aktuelle Android-Geräte sich nicht damit verbinden. Auch hier bringt die neue Firmware (die auch Wireguard) enthält ein Update. Dann kann auch IPsec mit IPv6 genutzt werden und es geht auch das moderne IKEv2. Aber auch das würde bedeuten... Labor oder Warten...

P.S.: Den Hai durch den Wächter ersetzt.

 

[Stationary]

Für die FritzBox 6660 gibt es eine Labor-Firmware mit Wireshark

Wenn Du also Wireshark nehmen willst (das ist ein gehyptes VPN)

Auch hier bringt die neue Firmware (die auch Wireshark) enthält ein Update

Lies: Wireguard.

Wireshark hingegen ist eine Software zum Mitschneiden von Netzwerktraffic. Aber das weiß @Barungar viel besser als ich und hat sich bloß vertippt.

 

[Stationary]

das ist ein gehyptes VPN)

Es hat zumindest für iOS/Fritzbox-Nutzer den Vorteil, daß sich sehr einfach ein „on-demand“ VPN ohne weiteres Zutun des Nutzers aufsetzen läßt: geht automatisch an, wenn man das Heimnetz verläßt und geht aus, wenn das Gerät wieder ins Heimnetz einbucht. Das ließ sich mit dem IPSec-VPN der Fritzbox damals nicht ohne eine mobile device management Profil hinbekommen,

 

[Barungar]

Lies: Wireguard.

Wireshark hingegen ist eine Software zum Mitschneiden von Netzwerktraffic. Aber das weiß @Barungar viel besser als ich und hat sich bloß vertippt.

Ups... Sorry! Da hat @Stationary vollkommen recht. Da war ich gerade aber sowas von auf dem falschen Pferd unterwegs.
Nochmal als Richtigstellung:

• Wireguard --> neumodischer VPN-Ansatz basierend auf Client & Server
• Wireshark --> Programm zur Netzwerk-Analyse und aufzeichnung

Ich habe das Posting dann korrigiert und die Haie durch Wächter ersetzt.

Es hat zumindest für iOS/Fritzbox-Nutzer den Vorteil, daß sich sehr einfach ein „on-demand“ VPN ohne weiteres Zutun des Nutzers aufsetzen läßt: geht automatisch an, wenn man das Heimnetz verläßt und geht aus, wenn das Gerät wieder ins Heimnetz einbucht. Das ließ sich mit dem IPSec-VPN der Fritzbox damals nicht ohne eine mobile device management Profil hinbekommen,

Es braucht leider auf jeden Gerät eine zusätzliche App, während IPsec (so lange IKEv1 noch unterstützt wurde) mit "Bordmitteln", also ohne zusätzliche App, möglich war. Das wird dann mit IKEv2 auch wieder möglich sein. Zu iPhones kann ich nichts sagen, hatte ich nie. Bei Android war/ist IPsec simpler umzusetzen. Es viele Smartphone liefern auch schon alles (z.B. Samsung Routines in Samsungs OneUI integriert / alternativ VPNzilla, das noch mehr automatisierte Steuerung erlaubte) was man braucht um sogar Automatismen zu bauen. Sprich bin ich in WLAN xxxx alles gut, bin ich nicht in WLAN xxx aktiviere VPN-Profil yyy.

 

[Stationary]

IPSec geht auf iOS (wie auch auf MacOS) nativ ohne App, aber das automatische An- und Abschalten geht nicht ohne ein device management Profil (zuviel Aufwand für die meisten Privatnutzer).
Dafür braucht Android aber auch oftmals die zusätzliche App „Tasker“, soweit mir bekannt (außer vielleicht Samsung?).
Wireguard auf iOS kann automatisches on-demand, die Android WG-App allerdings noch nicht, hat mir mal jemand gesagt.

 

[Leonardus]

Wie das genau läuft, ist bei AVM sehr gut beschrieben, teilweise hängt die genaue Vorgehensweise davon ab, welches FritzOS Deine Box hat und ob Dein ISP (internet service provider) Dir eine öffentliche IPv4 zugewiesen hat oder nicht (Stichwort dann CG-NAT).

Im Info AVS steht:
„Diese Verbindung funktioniert wie ein abhörsicherer Tunnel, durch den die Daten zwischen den beiden Gegenstellen übertragen werden.“
Da ich aber vornehmlich meine IP im Internetverkehr unterdrücken möchte habe ich in eine Anfrage an AVS Support, wie ich am besten meine IP verdecken kann, folgende Antwort bekommen.
„Ich kenne hierzu keine Option auf Seite der FRITZ!Box. Gern kläre ich das intern nochmal ab und gebe Ihnen eine Rückmeldung. Aber ich bin mir fast sicher, dass das nicht funktioniert, außer mit Zusatzsoftware.“
Ist es jetzt so, dass die u.a. die Software Wireguard diese Zusatzsoftware ist?

 

[Stationary]

Du willst also kein VPN von draußen in Dein Netzwerk hinein haben, um von unterwegs auf die Diskstation zugreifen zu können, sondern ein VPN aus Deinem Netz heraus haben. Das ging aus Deinem ersten Post so nicht hervor, ist aber etwas ganz anderes.

Da mußt Du Dich dann mal bei VPN-Anbietern wie ProtonVPN und Konsorten umsehen. Je nachdem, wo die Server stehen sollen, mit denen Du aus dem Tunnel in die Welt trittst, ist das dann auch nicht immer kostenfrei zu haben.

 

[Leonardus]

OK, danke. Sorry, dass ich mich nicht korrekt ausgedrückt hatte!

 

[the other]

Moinsen @Leonardus,
ich persönlich halte von diesen Werbeversprechen der "Anonym und sicher durch unseren VPN Tunnel surfen" Anbieter original: nix.
Sicherlich kann es Szenarien geben, in denen es schön ist, wenn (zB für streaming Angebote, die nur per us-amerikanischer IP nutzbar sind) die IP irgendwie "verschleiert wird".
Wenn es aber darum geht, dass du dann denkst, du bist irgendwie "anonymer" oder "sicherer" Im Netz unterwegs...nö. Bedenke dabei, dass diese VPN Provider deinen Netzverkehr theoretisch auch mitlesen können, deine Daten über deren Server gehen, die wiederum nicht unbedingt in Ländern stehen, die es mit Datenschutz und -sicherheitsvorgaben allzu streng nehmen...
Und in wie weit auf behördliche Nachfrage dann wirklich Anonymität gewahrt ist...tja, kannste so sehen oder anders.

Kurz: VPN für das sichere Surfen (nach Hause oder über den Umweg zu Hause) ist super, etwas salopp gesagt.
Aber um jetzt wirklich anonym zu sein...IMHO nicht wirklich, es gibt auch noch andere Wege als nur die IP. Sicherer per se auch nicht, weil...das Problem sitzt meist auf Layer 8 VOR dem Bildschirm. Von daher: Geld ausgeben für einen Service, der meiner Meinung nach vor allem aus heißer Luft besteht und im ungünstigsten Fall sogar noch das Gegenteil beinhaltet, nämlich DatenUNsicherheit (was passiert mit deinem Datenverkehr? Was wird gespeichert? Was wird weitergegeben? Wo wird es gespeichert? Wie sicher ist das genutzte VPN? usw).
Wie gesagt, nur meine eigene Meinung dazu...wird aber von einigen Menschen durchaus geteilt.

 

[Stationary]

Ich teile die Meinung von @the other, deshalb habe ich explizit auch nur ProtonVPN genannt, die sitzen in der Schweiz und sind meiner persönlichen Meinung nach relativ vertrauenswürdig, bei anderen wäre ich mir da je nach Firmensitz auch nicht immer sicher.

 

[the other]

Moinsen,
Es gibt ganz sicher auch sehr seriöse Anbieter. Das sollte auch erwähnt werden...
Mir ging es da eher grundsätzlich um Sinn und Unsinn solcher Angebote.
Und zum Glück kann ja auch jedeR selbst entscheiden, warum wer und wie teuer...

 

[Leonardus]

@the other / @Stationary
vielen Dank für Eure ehrliche Meinung. Auslöser meiner Frage war eine Identitätsklau vor einige Monate. Weiß der Teufel wie man es geschafft hat, aber all meine persönliche Daten würden für einen Einkauf über Paypal verwendet. Insgesamt ging es da um ca. 3 T€, das Ganze ist glimpflich ausgegangen weil sofort bemerkt und sofort Anzeige erstellt wurde. Es hätte aber auch anders ausgehen können. Deshalb waren wir, d.H. meine Frau und ich, doch sehr daran interessiert uns anonym ins Internet bewegen zu können. Aber da muss ich the other recht geben mit "Layer 8"
Lassen wir es dann so sein. Danke nochmals!
VG,
Leonardus

 

[the other]

Moinsen,
Das ist ja doof zu hören (Aufregung, Stress), aber auch zum Glück gut ausgegangen...uff.
Bedenke dabei die typischen old school Regeln (langweiliger als VPN aber recht bewährt.

Sichere Passwörter.
Für unterschiedliche Konten unterschiedliche Passwörter.
Nutze dafür ggf ein Passwortmanager wie keepass.
Wo möglich, nutze 2 Faktor Authentifizierung.
Mach nix wichtiges im öffentlichen wlan. Wenn, dann über deinen eigenen VPN Server zu Hause (fritzbox).
Meld dich immer korrekt ab.
Denk bei jedem klick 2 mal vorher nach. Bei Emails und Anhängen lieber 5 mal.
...
So auf die schnelle.

 

[Barungar]

@Leonardus Solche Daten für einen Identitätsdiebstahl fließen aber in der Regel an ganz anderen Stellen ab; da ist Deine IP-Adresse nicht beteiligt. Weil um aus der IP-Adresse eine Adresse zu machen, muss man schon beim Provider anfragen und die antworten nicht jedem einfach so. Da braucht es in der Regel behördliche Anfragen dazu.

Da ist es wahrscheinlicher, dass man auf einen falschen Link geklickt hat und dort Eingaben gemacht hat. Davor schützt ein VPN-Dienst nicht. Oder das ein Shop-/Dienstanbieter bei dem man selbst einen Account hat die "Daten verliert". Möglicherweise auch noch, in dem man sich dubiose Software auf einem Gerät einfängt/installiert. Alles in Alllem aber nix, wo ein VPN Dir wirklich hilft.

Übrigens für die, die mal Streaming in einem anderen Land schauen wollen. Da gibt es auch andere Lösungen als VPN-Anbieter. Da kann man sich eine VM in der Amazon Cloud oder so buchen, die wird wahlweise monatlich oder nach Betriebsstunden bezahlt, da reicht selbst eine mit 100 MBit/s Bandbreite. Da kann ich dann selbst den Tunnel machen und zahle in der Regel nur 25-50% dessen was ein VPN-Anbieter kostet.