Neue Hardware für eine schlaue Lösung

[FSC830]

Ganz abgesehen davon: QNAP hat es schon mehr als einmal fertig gebracht, das ein FW Update eine Funktion außer Betrieb setzt oder unbrauchbar macht.
Bei openVPN ist mir zwar nichts bekannt, aber Pferde und Apotheke.
Apropos Update: wird das NAS upgedatet, ist die VPN Verbindung für diese Zeit nicht erreichbar! Bei Site-to-site VPN über Router hast Du ununterbrochen Zugriff.
Und Router Updates sind eher seltener als eine neue FW bei QNAP .
Mein pfSense habe ich erst zweimal auf einen neuen FW Stand gebracht, in dergleichen Zeit hatte ich mind. 5-8 FW Updates der NAS.

Gruss

 

[tiermutter]

Zu QNAP und VPN:
IPsec verwende ich nicht, habe ich keine Ahnung von.
OVPN ist veraltet, wie sehr habe ich lange nicht geschaut, lt. Release Notes von QVPN ist es Version 2.4 und das wäre sehr sehr bitter.
Wireguard ist im Kernel implementiert und ich gehe nicht davon aus, dass der Kernel allzu oft ein Update bekommen wird, teilweise waren aktuelle NAS bis vor Kurzem mit Kernel 4.2 unterwegs (die Kernelversion ist ebenfalls sehr alt).

 

[MarkusAT]

- Du brauchst halt extra Hardware die extra Geld kostet.

Damit kann ich leben, wenns mir mehr Sicherheit bringt Die Extra HW kostet ja nicht 1000€, wenn ich mir 2 NAS mit jeweils 3x8TB HDD's kaufe, soll es nicht an einem 100-200€ Router scheitern, wenn es mir was bringt.

bildlich gesprochen sind die Wände des Tunnels nur so stark wie Dein Passwort bzw. die Verschlüsselungsparameter

Das ist klar, das ist ja so oder so der Fall, egal wo der VPN läuft.

Nutzt Du jedoch die Router als Tunnelendpunkte, kannst Du bspw. von Deinem PC auf die GUI vom NAS und auf die Laufwerksfreigaben zugreifen und z.B. Dateien direkt vom PC dorthin kopieren.

Das will ich alles gar nicht , es soll über den VPN nur der tägliche Sync laufen

Wichtig ist in beiden Fällen, starke Verschlüsselungsparameter und strake Passwörter zu verwenden!

Kann da eine HW VPN mehr als der QNAP VPN?

1) Weniger Belastung für das NAS (und es bleibt "sauberer")

Da am NAS eh so oder so nichts läuft (das steht nur Faul rum und wartet auf neue Daten )

2) NAS nicht "direkt" aus dem Internet ansprechbar

Das ist eben der Punkt, es ist ja direkt Ansprechbar (jetzt) aber nur über den VPN.

Wenn nur NAS A auf NAS B zugreifen soll, wäre es ggf. dann vllt doch eine Option, das VPN einfach NAS zu NAS laufen lassen

Mehr soll es nicht. Smart Home, Gestenetzwerk etc. kann ja so oder so über den Router gesteuert werden.

OVPN ist veraltet, wie sehr habe ich lange nicht geschaut, lt. Release Notes von QVPN ist es Version 2.4 und das wäre sehr sehr bitter.
Wireguard ist im Kernel implementiert und ich gehe nicht davon aus, dass der Kernel allzu oft ein Update bekommen wird, teilweise waren aktuelle NAS bis vor Kurzem mit Kernel 4.2 unterwegs (die Kernelversion ist ebenfalls sehr alt).

Das ist natürlich ein Argumemt, alte Version ist sicher auch anfälliger für Sicherheitslücken.
Die Frage ist, wenn ich einen "Fertigrouter" kaufe, welchen auch immer, ob der dort aktueller gehalten wird, wo wir wieder hier wären:

Vorteil:
- Du bist nicht abhängig davon, wie der Entwickler des NAS die VPN Software implementiert (zB ist bei QNAP die OVPN Implementierung fürn XXX).
- Der VPN Zugriff wird ebenfalls durch die Firewall geregelt und geht nicht spurlos an ihr vorbei. Läuft der VPN Server nämlich auf dem NAS, ist durchaus der Zugriff auf alle anderen Geräte im LAN möglich, nur bekommt es die Firewall nicht mit, da der Tunnel "an ihr vorbeigeht".

Ich bin nicht abhängig was QNAP macht, aber was der Hersteller X mit dem Router macht

 

[blurrrr]

100-200€

Das könnte vllt ein "bisschen" eng werden (je nachdem, was es denn so wird)

Das ist eben der Punkt, es ist ja direkt Ansprechbar (jetzt) aber nur über den VPN.

Wenn ein NAS VPN-Server spielt und das andere NAS VPN-Client, hat man da erstmal keinen Zugriff vom Client aus. Entweder gibt es eine Route für die Clients, dass das Remotenetz über das VPN des lokalen NAS erreicht werden kann (somit dient es als Gateway ins Remotenetz), oder ein Client wählt sich eigenständig in das Remotenetz ein.

 

[MarkusAT]

Das könnte vllt ein "bisschen" eng werden (je nachdem, was es denn so wird)

Dann hab ich mir bis jetzt die falschen Geräte angesehen ^^
Wenn ich mir so eine Fritzbox6660 Cable ansehe oder einen Vigor 2766ac sollte das grob um 200€ machbar sein (ja gut, liegt beides etwas drüber).

Wenn ein NAS VPN-Server spielt und das andere NAS VPN-Client

So läufts aktuell. Also der Client (NAS_AT) wählt sich direkt (über den offenen Port) in das NAS_DE ein.

 

[blurrrr]

Achso, ok, bei "Fertiggeräten" mag das ggf. noch etwas anders aussehen, ich war jetzt eher in Richtung pfSense/OPNsense (jeweils kostenlos) unterwegs und dann eben + passende Hardware (Board, Gehäuse, SSD, etc.). Bevor ich zur Fritzbox greife, würde ich vermutlich eher einen Draytek nehmen, die Fritzbox ist nur ein einfacher Router (ohne explizite Firewall-Regelung), wie es beim Draytek aussieht, weiss ich grade garnicht, aber das dürfte schon um Welten anders aussehen.

 

[MarkusAT]

Aber mal zusammenfassend Vorteile/Nachteile für mich einer externen FW:

Vorteile:

• Der VPN über eine externe FW dürfte sicherer (da meist aktueller) sein, das ist aber der eiznige Grund, sicherer ist es vom Prinzip her nicht (außer dass die lokale FW umgangen wird, was aber kein Problem ist, wenn nur ich im VPN Tunnel rumwerke).
• Einer Portleiterweitung brauche ich nicht (die kein großes Problem sein dürfte, da es an die fixe IP des NAS geht und nur ein Port ist; ein Problem wäre es nur, wenn diesen Port auch ein anderer NAS dienst nutzen würde (die aber eh deaktiviert sind))
• Etwas weniger, was am NAS lauft und im komplexen System "NAS" ein Problem erzeugen kann
• Wenn ich wollen würde, könnte ich allen Geräten im Netwerk (TV, Radio, was auch immer) ohne bedenken Zugriff auf das NAS geben, weil mein Netzwerk insich geschlossen ist. Wenn ich das jetzt einfach so machen würde, wäre ich relativ blöd.

Nachteile:

• Wenn ich die externe FW nicht schlau einrichte (was am Anfang schon passieren kann), dann könnten meine nicht ganz IT-affinen Eltern auch in meinem Netzwerk rumwerkeln (das kann ich aber sicher irgendwie unterbinden nehme ich an)
• Eine Investition wird fällig
• Wenn dieses Gerät kein Kabel kann, brauch ich meinen Router trotzdem, der im Bridgemodus laufen muss. Hab somit einen Verbraucher mehr rum stehen der 24/7 läuft. Das würde für eine Firtzbox sprechen.
• Fritzbox ist aber sehr beschränkt, das würde für eine andere Lösung in Kombination mit der Vodafon Station als reines Modem sprechen.

Fragen:

• Kann ich bei jeder externen (fertig-) FW den VPN Tunnel so einstellen (als Laie), dass nur der NAS-Verkehr über den VPN läuft. Der Internetverkehr soll ja nicht über den VPN geroutet werden. Oder muss ich hier schon aufpassen, welchen Hersteller ich da nehme.

Achso, ok, bei "Fertiggeräten" mag das ggf. noch etwas anders aussehen, ich war jetzt eher in Richtung pfSense/OPNsense (jeweils kostenlos) unterwegs und dann eben + passende Hardware (Board, Gehäuse, SSD, etc.). Bevor ich zur Fritzbox greife, würde ich vermutlich eher einen Draytek nehmen, die Fritzbox ist nur ein einfacher Router (ohne explizite Firewall-Regelung), wie es beim Draytek aussieht, weiss ich grade garnicht, aber das dürfte schon um Welten anders aussehen.

Naja, es wurde mir, aufgrund meiner professionellen Netzwerkkentnisse, druchaus berechtigt dazu mehrfach geraten, eine Bastellösung sein zu lassen. Ich denke, das ist fürs erste auch mal die bessere Lösung.

Danke für eure Geduld mit mir, in dem ein oder anderen Forum häts da schon mehrfach Rüge gegeben

 

[the other]

Moinsen,

Danke für eure Geduld mit mir, in dem ein oder anderen Forum häts da schon mehrfach Rüge gegeben

keine Ahnung wo du dich sonst so rumtreibst, aber ich sehe das so: der Sinn hier soll doch sein, sich auszutauschen und gegenseitig zu supporten...also: solange alles nett und konstruktiv freundlich ist, immer her mit den Fragen...

Zu deiner Auflistung:
die Vorteile sind so ganz gut zusammengefasst. Eine

Portleiterweitung

kenne ich nicht (haHAA, der musste einfach sein). Ob du eine Portweiterleitung brauchst, kommt ja auch darauf an, wer oder was VOR dem VPN Server sitzt.
Die Ports für die Dienste des NAS sind da imho eher egal, denn wenn du per VPN in dein Heimnetz gehst, dann bist du da ja quasi wie im LAN drin, also sollte das keinen Konflikt bedeuten (oder stehe ich gerade auf dem Schlauch?)...
Damit nicht ALLE Geräte im Netz auf dein NAS können, hat ein NAS ja idR auch nochmals eine eigene Firewall, um eben diesen Zugriff zu regeln. Also ergänzend zur anderen netzwerkweiten Firewall...

Der genannte Nachteil

Wenn ich die externe FW nicht schlau einrichte (was am Anfang schon passieren kann), dann könnten meine nicht ganz IT-affinen Eltern auch in meinem Netzwerk rumwerkeln (das kann ich aber sicher irgendwie unterbinden nehme ich an)

trifft aber auch so zu: wenn du die Rechte auf dem NAS und die Firewall desselben nicht schlau einrichtest, dann können deine Eltern eben nicht im gesamten Netzwerk, wohl aber auf deinem NAS rumwerkeln.

Kann ich bei jeder externen (fertig-) FW den VPN Tunnel so einstellen (als Laie), dass nur der NAS-Verkehr über den VPN läuft. Der Internetverkehr soll ja nicht über den VPN geroutet werden. Oder muss ich hier schon aufpassen, welchen Hersteller ich da nehme.

Kurz gesagt: nein. Nicht bei jeder, nicht als Laie einfach mal eben so.

Ich denke mal, grundsätzlich kannst du mit der Gleichung rangehen: je einfacher das Gerät zu konfigurieren ist, deste weniger individuell spezifische Konfigurationen wird es geben (aka Fritzbox). Wenn das Gerät aber quasi JEDE Eventualität abdeckt, dann benötigt der Nutzer mehr Wissen, Erfahrung oder zumindest die Motivation sich ersteres anzueigenen (und den Mut, sich im Forum vielleicht auch mal mit ner weniger schlauen Frage zu outen...was voll okay ist, been there, done that... )

 

[MarkusAT]

keine Ahnung wo du dich sonst so rumtreibst, aber ich sehe das so: der Sinn hier soll doch sein, sich auszutauschen und gegenseitig zu supporten...also: solange alles nett und konstruktiv freundlich ist, immer her mit den Fragen...

Ach, da gibt's so Foren (in "meinem Thema" der Luftfahrt), da ist jeder Profi, jeder weiß es am besten und wenn die Frage quasi nicht schon so tief geht, dass man eine Dr. Arbeit braucht um diese zu verstehen, soll man es sowieso googlen oder hat eh keine Ahnung von der Materie.
Das ist hier (bis jetzt) nicht so

kenne ich nicht (haHAA, der musste einfach sein).

Ah, habs vergessen, so nennen wir eine Portweiterleitung in Österreich

Damit nicht ALLE Geräte im Netz auf dein NAS können, hat ein NAS ja idR auch nochmals eine eigene Firewall, um eben diesen Zugriff zu regeln. Also ergänzend zur anderen netzwerkweiten Firewall...

Hm, ich meine es eher Umgekehrt, es dürfen ruhig alles Geräte im Heimnetz auf das NAS (nicht aber aus dem Gästenetz), aber die Daten, die per VPN kommen, sollen NUR auf das NAS dürfen, nicht auf andere Geräte ins Netzwerk. Ich brauch (und will) den VPN ja nur für den NAS Sync nutzen, alles andere soll ruhig, auch per VPN, nicht von außen erreichbar sein. Ich will es also quasi sperren können. Wenn ich mal merke, was man damit alles für tolle Dinge machen kann, kann ich ja immer noch enizelne Dinge freigeben.

trifft aber auch so zu: wenn du die Rechte auf dem NAS und die Firewall desselben nicht schlau einrichtest, dann können deine Eltern eben nicht im gesamten Netzwerk, wohl aber auf deinem NAS rumwerkeln.

Dazu bräuchten Sie aber auch noch meinen persönlichen Zugang (Name, PW und 2FA) für das NAS. Das haben sie ja alles nicht

Kurz gesagt: nein. Nicht bei jeder, nicht als Laie einfach mal eben so.

Da komme ich sicher noch wieder hier zurück
Denn das wäre Voraussetzung, alles andere wäre ja ziemlich blöd.
Aber ich sehe schon, vom einfachen Fritzboxgedanken muss ich mich wohl schon wieder entfernen...

zumindest die Motivation sich ersteres anzueigenen (und den Mut, sich im Forum vielleicht auch mal mit ner weniger schlauen Frage zu outen...was voll okay ist, been there, done that... )

Ach da kenne ich nichts, ohne Fragen (und suchen und lesen) gibt's ja keinen Fortschritt.

 

[the other]

Moinsen,
ich muss da nochmal deinen Anfangspost hinterfragen: du möchtest zwei NAS syncen. Ein NAS_de steht bei dir, eines (NAS_at) bei deinen Oldies...
Welches NAS ist Quelle und Ziel?

Du könntest es ja auch so machen: der VPN Server läuft im Netzwerk deiner Eltern. Du wählst dich dort ein (hätte nebenbei den Vorteil, dass du zur Fernwartung auf die Geräte deiner Eltern kommen könntest, wenn da mal wieder jemand "das Internet gelöscht" haben sollte...wobei, dann vielleicht auch nicht ).
Damit würdest du die Verbindung zum VPN Server aufbauen, was verhindert, dass deine Eltern deinen Browsersuchverlauf checken können so wie früher mal .

Ansonsten: früher oder später (besser früher imho) wird sich vermutlich jedeR ambitionierte NutzerIn mit der Thematik auseinandersetzen müssen, da die Bedrohungsszenarien bezogen auf Netze deutlich zunehmen, immer mehr netzfähiges Zeug in Gebrauch ist und IT-Sicherheit auch für Privatanwender immer wichtiger wird (oder werden sollte).

Sicherlich kann eine Router mit VPN Server und Firewallregeln das mit zwei drei Klicks einrichten, dass via VPN reinkommende Infopakete eben NUR in VLAN xyz oder auf Gerät xyz gehen dürfen, sonst verworfen werden. Das wäre imho auch langfristig eine sinnige Sache, denn FALLS du mehr als ein Handy, einen PC und ein NAS im Netzwerk hast, wird das sicherlich irgendwann interessant. Das würde aber eben auch bedeuten: kostet Geld, kostet Zeit, muss regelmäßig gewartet und re-konfiguriert werden. Es müssen bestimmte Grundlagen ran, die für sich aber auch kein Hexenwerk sind.

Ich weiß: nicht von sich auf andere schließen. Aber: ich konnte nichtmal einen PC zusammenschrauben, als mich das Interesse an dem Thema gepackt hat. Wollte auch eher einen etwas besseren Router als die Fritzbox, hab dann lange gesucht und bin schließlich bei pfsense hängen geblieben. Mit wenig Ahnung hab ich mich dann reingebissen und bin sicherlich kein IT-Profi im Sinne von beruflich geeignet. Aber die basics fürs sicherere Heimentz sind dann schon hängen geblieben. Soll heißen: dat gait! Ist eben vor allem eine Frage der Motivation.
Und ob du jetzt einen zB fertigen Router wie draytek mit openVPN und Paktefilterregelungen einrichtest oder eine pfsense installierst und einrichtest ist wumpe, wenn du nicht weist, was du da machst.

Insofern: schau dir dein Netzwerk mal an, wieviele clients turnen da rum? Sind es viele, willst du diese vielleicht in Gruppen einteilen und eigenen VLANs zuteilen? Willst du den Verkehr zwischen bestimmten Geräten im Netzwerk verhindern und für bestimmte andere erlauben? Möchstest du Werbung und potentiell böse Seiten für Benutzer in deinem Netz sperren? usw.

Und dann lieber einmal richtig, als irgendwas kaufen und dann trotzdem nicht bekommen, was du wolltest...

 

[tiermutter]

lt. Release Notes von QVPN ist es Version 2.4 und das wäre sehr sehr bitter.

Weil ich sonst nicht ruhig schlafen kann:

[~] # openvpn --version
OpenVPN 2.4.11 x86_64-QNAP-linux-gnu

Da ist das noch offen https://www.cvedetails.com/cve/CVE-2020-15078/

Ist allerdings unter QTS 4.5.3, also mit dem älteren QVPN. Mich würde interessieren ob unter QTS 5 eine neuere Version läuft...

 

[MarkusAT]

Moinsen,
ich muss da nochmal deinen Anfangspost hinterfragen: du möchtest zwei NAS syncen. Ein NAS_de steht bei dir, eines (NAS_at) bei deinen Oldies...
Welches NAS ist Quelle und Ziel?

Beides ist beides

Also, was ich jetzt am laufen habe (und so soll es dann auch laufen, nur evtl auf anderen Wege):
NAS_DE (bie mir) hostet den VPN Server
NAS_AT ist VPN Client
3 Ordner sollen von DE nach AT gesichert werden (jeweils alles neue überschreiben, in AT hat keiner Zugriff auf diese Ordner)
3 ordner sollen von AT nach DE gesichert werden (jeweils alles neue überschreiben, in DE hat keiner Zugriff auf diese Ordner, gut ich zur Wartung schon)
1 Ordner soll von AT nach DE sowie umgekehrt synchronisiert werden

Das lauft jetzt alles so und soll danach auch wieder so laufen.

Du könntest es ja auch so machen: der VPN Server läuft im Netzwerk deiner Eltern. Du wählst dich dort ein (hätte nebenbei den Vorteil, dass du zur Fernwartung auf die Geräte deiner Eltern kommen könntest, wenn da mal wieder jemand "das Internet gelöscht" haben sollte...wobei, dann vielleicht auch nicht ).

Nö, eher nicht, aus mehreren Gründen:
- Router und die etwas seltsame Konfiguration dorten sollten unberührt bleiben, siehe Post #11
- Der AT Standort soll so gut wie möglich Wartungsfrei bleiben, sprich die Apps am NAS werden zur Sicherheit regelmäßig geupdatet, der Rest soll einfach "laufen"
- Möchte dort auch ungern im Fall der Fälle irgendwelche Ports öffnen, einen DynDNS machen oder sonst was. Auch ist es gar nicht sicher, ob ich dort an eine statische IPV4 komme (bei mir in DE geht das schon alles).

Damit würdest du die Verbindung zum VPN Server aufbauen, was verhindert, dass deine Eltern deinen Browsersuchverlauf checken können so wie früher mal .

Wenn nur das NAS durch den VPN kommt (was es ja soll), können die das ja so oder so nicht, wobei in der heutigen Zeit läufts eher umgekehrt, checken dass die mit der ach so tollen neuen Super Software nicht noch 5 mal Müll runter laden ^^

Ansonsten: früher oder später (besser früher imho) wird sich vermutlich jedeR ambitionierte NutzerIn mit der Thematik auseinandersetzen müssen, da die Bedrohungsszenarien bezogen auf Netze deutlich zunehmen, immer mehr netzfähiges Zeug in Gebrauch ist und IT-Sicherheit auch für Privatanwender immer wichtiger wird (oder werden sollte).

Daher bin ich ja (auch) überhaupt auf ein NAS gekommen

Sicherlich kann eine Router mit VPN Server und Firewallregeln das mit zwei drei Klicks einrichten, dass via VPN reinkommende Infopakete eben NUR in VLAN xyz oder auf Gerät xyz gehen dürfen, sonst verworfen werden. Das wäre imho auch langfristig eine sinnige Sache, denn FALLS du mehr als ein Handy, einen PC und ein NAS im Netzwerk hast, wird das sicherlich irgendwann interessant. Das würde aber eben auch bedeuten: kostet Geld, kostet Zeit, muss regelmäßig gewartet und re-konfiguriert werden. Es müssen bestimmte Grundlagen ran, die für sich aber auch kein Hexenwerk sind.

Stand jetzt hab ich 2 Netzwerke:
- Standard, da ist alles drinnen (mit MAC-Filter für WLAN Geräte)
- Gäste (wenn halt mal Besuch kommt)

Auf Dauer würde ich auch gerne einfach die beiden haben, sprich das NAS soll im Standardnetz hängen, dort darf dann auch ruhig jeder Zugreifen, nur die eingehende VPN Verbindung soll nur auf das NAS gehen und nicht auf ein anderes Gerät. Geht das überhaupt? Oder ist die einzige Lösung dann wie jetzt, dass der VPN direkt am QNAP läuft?

Möchstest du Werbung und potentiell böse Seiten für Benutzer in deinem Netz sperren? usw.

Die Bösen Seiten nutze ich doch selber, ja nicht sperren

Und dann lieber einmal richtig, als irgendwas kaufen und dann trotzdem nicht bekommen, was du wolltest...

Das auf jeden Fall

Weil ich sonst nicht ruhig schlafen kann:

[~] # openvpn --version
OpenVPN 2.4.11 x86_64-QNAP-linux-gnu

Da ist das noch offen https://www.cvedetails.com/cve/CVE-2020-15078/

Ist allerdings unter QTS 4.5.3, also mit dem älteren QVPN. Mich würde interessieren ob unter QTS 5 eine neuere Version läuft...

Danke!
Was heißt denn "on servers configured with deferred authentication, which can be used to potentially trigger further information leaks" für mich in der Praxis?
Kann der einfach den Tunnel umgehen?

 

[tiermutter]

https://community.openvpn.net/openvpn/wiki/CVE-2020-15078
Da sehe ich grad dass es in 2.4.11 auch behoben ist Also Entwarnung was das angeht!

 

[blurrrr]

mit MAC-Filter für WLAN Geräte

Nur mal so am Rande... die "Idee" eines MAC-Filters bei WLAN ist ja "ganz nett", praktisch ist das aber schon ziemlicher Blödsinn, denn wenn man in Angreifer-Position ist, guckt man sowieso erstmal, wer hier mit wem spricht, womit die MAC-Adressen sowohl vom Router, als auch von den Clients sichtbar sind. Wirf einfach mal einen Blick auf diesen Artikel hier. MAC-Adressen lassen sich auch recht leicht spoofen, mehr dazu hier. Bei verkabelten Dingen etwas problematischer (physikalischer Zugriff auf Ports, etc.), bei WLAN allerdings recht einfach, da man mitunter auch einfach nebem dem Gebäude stehen kann (oder noch weiter weg, je nach Signalstärke). Übrigens auch ein Grund, warum meine APs nur mit 25% Sendeleistung laufen, das Signal muss nicht die ganze Nachbarschaft abdecken Vor ein paar Jahren hat der MAC-Filter noch geholfen die Kiddies fernzuhalten, aber mittlerweile gibt es sicherlich 1000+ Anleitungen bei Youtube, wie man sich an fremden WLANs zu schaffen macht, also von daher würde ich da nicht mehr unbedingt auf den MAC-Filter bauen

 

[MarkusAT]

Wirf einfach mal einen Blick auf diesen Artikel hier.

Hm, das dürfte technisch (und auch für den angreifenden Anwender) einfacher sein, als gedacht ^^

Übrigens auch ein Grund, warum meine APs nur mit 25% Sendeleistung laufen, das Signal muss nicht die ganze Nachbarschaft abdecken

Ich wäre schon froh, wenn der Router im Wohnzimmer das letzte Eck im Schlafzimmer vernünftig abdecken würde

Vor ein paar Jahren hat der MAC-Filter noch geholfen die Kiddies fernzuhalten, aber mittlerweile gibt es sicherlich 1000+ Anleitungen bei Youtube, wie man sich an fremden WLANs zu schaffen macht, also von daher würde ich da nicht mehr unbedingt auf den MAC-Filter bauen

So wiegt man sich in falscher Sicherheit ^^ Danke für die Aufklärung, dann kann ich den Filter ja wieder getrost abschalten.

Aber es sollte doch (mit dem richtigen Gerät) folgendes möglich sein, oder? (korrigiert mich bitte, von VLAN's habe ich noch weniger Ahnung als vom Rest)

• Sagen wir mal Punkt zum Internet ist meine VF Station, läuft dann im Bridgmodus rein als Modem
• Dahinter steht eine HW Firewall (sagen wir mal so ein Draytek Gerät), auf der ein VPN Server läuft, mit dem sich das NAS_AT verbindet
• Ich mache mir ein VLAN1, der VPN hat nur auf dieses VLAN1 Zugriff, daran hängen per Kabel mein PC und das NAS, WLAN ist davon abgekoppelt ==> keiner kann von außen auf meinen PC oder mein NAS kommen, ich hab von diesen Geräten (und zu diesen Geräten) aber auch keinen Zugriff zu meinen anderen Smart Homer Geräten, Internetzugriff von meinem PC hab ich aber
• Ich mach mir ein VLAN2, da hängt der ganze eigene Rest. MAC-Filter könnte ich machen, ist aber vergebene Liebesmüh, immerhin mach ich das Netzwerk nicht auf den ersten Blick Sichtbar
• Ich mach mir ein VLAN3, dass ist von allen anderen entkoppelt und nur für meine Gäste, das kann auch jeder Depp sehen

Läuft das so, bzw kann das so laufen? Trial & Error schaff ich ohne Geräte noch nicht ^^

 

[-jody-]

Hallo Markus,

ich versuche den "Tunnel" etwas heller zu machen

1. Punkt zu Punkt-Verbindung (NAS - NAS)
Je nach OS des genutzten NAS lässt sich das, so wie Du es ja offensichtlich bereits nutzt konfigurieren und dürfte weitestgehend sicher sein (sofern keine Bugs in der Software sind.
Das Einrichten des VPN geht relativ einfach, dafür ist der Funktionsumfang stark eingeschränkt.

2. separate HW (Router aus dem "Consumerbereich")
auch hier gilt, je nach Hersteller lässt sich schnell und "anwenderfreundlich" ein VPN etablieren. Hier sind aber i.d.R. Verschlüsselungsparameter weitestgehend vorgegeben.
Ziel ist es eben schnelle und einfache Lösungen bereitzustellen (ggf. halt mit Nutzerkonto in der Cloud und unterstützenden Diensten wie zB. DynDNS etc)
Das Einrichten des VPN ist ebenfalls recht einfach, der Funktionsumfang genügt dem "Durchschnittsanwender"

3. separate HW (Router "gehobener Bereich")
bieten meistens komplette und auch komplexe Firewall- und VLAN-Funktionalität mit, sind aber nicht "mal eben" zu konfigurieren!
Bei diesen Geräten lassen sich die Verschlüsselungsparameter (für VPN) in der Regel auch den persönlichen Präferenzen anpassen, Zugriffsrechte einzelner Netzwerkgeräte/User lassen sich granular einstellen, VPN-Traffic lässt sich zielgerichtet konfigurieren.
Sofern erforderlich lässt sich mittels zusätzlicher Lizenzen auch noch Intrusion Detection und/oder Online-Virenschutz mit konfigurieren und nutzen.
Die Einrichtung des VPN mit allen erforderlichen Parametern ist je nach Hersteller komplex bis sehr kompliziert und erfordert in den meisten Fällen eine steile Lernkurve
Gleiches gilt auch und insbesondere für die jeweilige Firewall und u.U. auch für die Konfiguration der VLANs

4. Eigene HW mit *sense
Hier kannst Du Dich mit der HW austoben und auf eine große Community im Netz zurückgreifen. Je nach eingesetzter Software ist auch hier eine hohe Lernbereitschaft erforderlich! Konfigurieren lässt sich eigentlich so ziemlich alles was mit "Netzwerken" zu tun hat (siehe auch 3.) aber der Aufwand ist nicht zu unterschätzen.

So nun kurz zum Thema VLAN
VLAN trennt unterschiedliche Netze, die auf einer physikalischen Verbindung (Kabel/WLAN) laufen. Die Trennung erfolgt hierbei über ein zusätzliches "BIT" welches die VLAN-Kennung enthält. Hierbei wird unterschieden, ob es sich um ein sogenanntes "tagged"-VLAN (die VLAN ID wird vom jeweiligen Endgerät mitgeschickt) oder um ein sogenanntes "port based VLAN" handelt (hier "markiert" der Switch den Datenverkehr eines bestimmten Netzwerkports mit der ihm zugewiesenen VLAN-ID. Beide Varianten können in einem Netzwerk genutzt werden/auftreten.

Nun zu Deinen Fragen:

In Abhängigkeit der genutzten Lösung (1-4) kannst Du festlegen:

A. im eigenen Netz
1. welcher Client innerhalb Deines Netzes VPN nutzen kann/darf und wohin (Stichwort VLAN in Kombination mit FW)
2. von welchem internen Netz Du wohin zugreifen kannst
z.B.:
(LAN1 -> WLAN, LAN1 -> IOT, LAN1-> Internet, LAN1 -> VPN, LAN1 -> LAN2)*
(LAN2 | WLAN , LAN2 | IOT, LAN2 -> Internet, LAN2 | VPN, LAN2 | LAN1) *
* "->" Zugriff erlaubt "|" Zugriff nicht erlaubt

B. im entfernten Netz
1. welcher Benutzer (Nutzerkennung wird mit dem Aufbau der VPN-Verbindung übermittelt) kann auf welche Ressource zugreifen
2. ggf. welche Ziel-IPs dürfen/können angesprochen werden.

Für eine "gute" Empfehlung wäre für mich das zur Verfügung stehende Budget, sowie der Grad Deiner Bereitschaft neues zu lernen von Bedeutung.
Neben den bereits genannten Geräten von AVM und Draytek könnte ich mir auch sehr gut Geräte von Zyxel (z.B. USG), aber auch von Securepoint (z.B. BlackDwarf) oder von Ubiquiti vorstellen.
Ferner ist der Umfang Deines Lokalen Netzes von Bedeutung (Anzahl der Clients im Netz), Sicherheitsbedarf und Anzahl der Nutzer in Deinem Netz.

Vielleicht bist Du auch so nett und schreibst mal alle Deine Vorstellungen in einem Post zusammen (einschließlich möglicher zukünftiger Bedarfe!) da es mittlerweile etwas unübersichtlich hier geworden ist

Grüße und Gute Nacht
Jody

 

[MarkusAT]

Hi @-jody-

wow, vielen vielen lieben Dank für diese ausführliche Beschreibung

ich versuche den "Tunnel" etwas heller zu machen

Danke Dir, ich glaub ich bin von den ganzen Infos hier schon geblendet

1. Punkt zu Punkt-Verbindung (NAS - NAS)
Je nach OS des genutzten NAS lässt sich das, so wie Du es ja offensichtlich bereits nutzt konfigurieren und dürfte weitestgehend sicher sein (sofern keine Bugs in der Software sind.

Genau, und das beruhigt mich vorerst schon mal, weil das "befriedigt" meine ursprüngliche Intuition.

Durch Tipps, und "man könnte" aber bin ich gieriger geworden, oder sagen wir mal so, darauf aufmerksam gemacht worden, dass mein Netzwerk zwar läuft wie es ist, aber sicherlich die ein oder andere Schraube zum Optimieren da wäre, vor allem langfristig gesehen. Da alles läuft, hat ja alles keinen Stress.

Ich bin aber (leider) der learning by doing Typ ==> bevor ich 3 Wochen lese und dann alles auf einen Ruck klappt, kauf ich mir HW (im Optimalfall vom Anfang an die richtige), "verkacke" 300 Mal das richtige Setup komplett und setze alles auf Werkseinstellungen zurück (ging mit dem NAS auch so, hat nur aber schon nach dem ersten Komplettreset und Neukonfiguration von 24TB RAID funktioniert ^^) und probiere es von vorne.

Von Deiner Beschreibung her, würde ich Punkt 2 (fast) ausschließen, da ich es beim NAS auch schon fast bereue, auf ein Fertigteil, und keinen selbstbau mit TrueNAS etc. gesetzt zu haben. Bliebe also gehobener Router oder eigene HW.

Wichtig ist mir aber auch, es soll kein Overkill sein, ich brauch nicht HW um 500€, die (übertrieben) 6 Monate zum Konfigurieren braucht, daher Tendenz zu Option 3

Wo wir zu diesen Punkten kommen:

Für eine "gute" Empfehlung wäre für mich das zur Verfügung stehende Budget, sowie der Grad Deiner Bereitschaft neues zu lernen von Bedeutung.

Das Budget hab ich mir mal grob bei 200€ gesetzt, wenns um 200€ aber nur eine suboptimale Lösung gibt, ich aber um 350€ die Superlösung bekomme, mit der ich die nächsten 10 Jahre happy werde, solls auch okay sein.
Die Bereitschaft zu Lernen ist groß, die Zeit... Naja, es dauert halt so lange es dauert, aber bei 60+ Stunden in der Arbeit, Renovierung einer Wohnung, Partnerin, Freunde und Hobbys, bleibt nicht mehr viel Schlaf.

Ferner ist der Umfang Deines Lokalen Netzes von Bedeutung (Anzahl der Clients im Netz), Sicherheitsbedarf und Anzahl der Nutzer in Deinem Netz.

Lokales Netz:

• 1 PC (hängt immer am LAN Kabel, hätte aber theoretisch WLAN)
• 2 x Smart TV (je nach Anschlüssen könnte TV1 am LAN Kabel hängen, TV2 ist über WLAN drinnen)
• 1 x Denon Receiver (LAN Kabel)
• 2 x Handy (WLAN)
• 1 x Tablet (WLAN)
• 3 x Spielzeug (Alexa, Google Home) (WLAN)
• 1 x Drucker (WLAN)
• 1 x Homeatic IP Access Point (LAN Kabel) + 4x Fenstersensoren + 6x Heizkörperthermostate, der hängt über das HIP so im Netz, dass ich meine Heizung auch von auswärts steuern könnte
• 2 x Blue Ray Player (1x LAN Kabel, 1 x WLAN)
• Smart Home soll evtl erweitert werden (Lichtschalter, evtl 2 Steckdosen, ist aber noch offen)
• Evtl kommt noch ein Repeater/AccessPoint dazu, vermutlich nicht für das NAS (wie mal angedacht) aber für eine bessere Abdeckung in der Wohnung selbst, wobei das bei besserer HW vermutlich hinfällig wäre
• Achja, Modem/Router ist aktuell eine Vodafone Station

Sicherheitsbedarf:

• Ganz ehrlich? Ich weiß es nicht. Die Daten am NAS sollen auf keinen Fall von unbefugten eingesehen werden können. Dafür soll ja der VPN sowie Nutzer mit Ordnerfreigaben da sein
• Generell: Klar, wenn einer meine Heizung steuert oder plötzlich in voller Lautstärke Musik abspielt, fände ich das ziemlich uncool, die Welt wird dadurch aber nicht untergehen

Nutzer:

• Partnerin (nutzt alle Geräte und soll auch einen Ordner am NAS haben wo sie auf ihre Daten Zugriff hat (in dem Ordner am NAS in dem nur ihr User Zugriff hat)
• ab und an Gäste (die aber nur Internet brauchen und ansonsten keinen Zugriff, wobei bei Bedarf ein Streamen an den TV ganz nett wäre)
• Ich selbst, Zugriff auf alles (außer Ordner am NAS, die anderen Nutzern vorbehalten sind (Partnerin, Vater, Mutter)

Vielleicht bist Du auch so nett und schreibst mal alle Deine Vorstellungen in einem Post zusammen (einschließlich möglicher zukünftiger Bedarfe!) da es mittlerweile etwas unübersichtlich hier geworden ist

Was stelle ich mir vor:

• VLAN1, in dem meine Partnerin und ich Zugriff auf alles haben, optimaler Weise per WLAN, dass auch die Partnerin aufs NAS kann. Ein VPN sollte (vom lokalen WLAN aus) vermieden werden, denn +1 tut sich hier und da schon bei Excel schwer, wenn ich ihr erkläre, dass sie einen VPN nutzen muss um auf Daten zuzugreifen, wird sie den eh nie nutzen. Ist es aber Sicherheitstechnisch sehr ratsam, das NAS nicht im selben VLAN wie das WLAN zu haben, kann es auch in einem eigenen VLAN2 sein
• VLAN2 sollte dann aus meinem PC (der nur eine Verbindung zum NAS und dem Internet, nicht aber zu anderen Geräten im Netzwerk braucht) und dem NAS bestehen. Will ich doch Mal Daten vom PC mit dem Handy über WLAN austauschen, kann ich mich ja über WLAN mit dem PC in VLAN1 einwählen
• VLAN3 soll einfach nur Internet haben, jedoch komplett unabhängig von meinen Geräten (für Gäste). Inwiefern das mit dem Wunsch harmonieren kann, das Gäste auch mal was an den TV streamen, weiß ich nicht (vermutlich gar nicht, wäre aber absolut kein Weltuntergang. Hab ich in 2 Jahren vielleicht 1 Mal gebraucht)
• Das NAS im entfernten Netz (und nur das NAS außer ich gebe ein anderes Gerät explizit frei, z.B. ich weiß ich bin 3 Wochen im Ausland und will Wartungszugriff auf das NAS) soll sich mit dem NAS in VLAN 2 verbinden können. Allgemein nur zum Datensync.
• Wenn ich (sicheren) Zugriff auch von Unterwegs (dem Handy, den Laptop) auf das NAS habe, oder auf meine Router oder auf den VPN Server wäre das toll, aber das ist absolut kein muss. Lieber gar nicht, als nicht so sicher. Ich bin da vermutlich durch meine Arbeit etwas Datensicherheitsparanoid. Bis jetzt lagen alle Daten auf verschlüsselten HDD's, vom Netzt getrennt im Schrank, doppelt. Da musste ich mir hier keine Gedanken machen, außer dass die Wohnung abbrennt. Daher auch der Gedanke mit einem weit entfernten NAS (zusätzlich natürlich zum Backup auf der externen HDD, das bleibt). Was auf keinen Fall in Frage kommt, ist ein Zugriff über irgendeinen QNAPCloud Dienst oder ähnliches
• Generell kommt hier oder da ein anderes Smart Home Geräte dazu
• Achja, anscheinend gibt's beim XBox Gaming immer mal wieder Probleme mit manchen Router Einstellungen und Teredo haben (fragt mich aber bitte nicht, was das genau tut, aber damit wird irgendwie die Online Konnektivität zwischen Spieleservern und lokalen Spiel bereitgestellt). Bei mir läufts ohne dass ich Ports dafür aufmachen muss, das würde ich gerne so beibehalten. Klingt komisch, aber ich brauche XBox Gaming am PC tatsächlich zum Arbeiten ^^
• Eventuell (auch wenn Suboptimal, das werde ich jedoch erst im Sommer sehen) wird das NAS in den kühlen Keller geschickt. Da ein 8-Parteienhaus, heißt das aber zwanghaft eine Anbindung des NAS über das WLAN. Das soll aber vermieden werden und ist nur eine Lösung für den heißen Notfall. Das NAS kann (per LAN-Kabel) nur im Wohnzimmer oder im Schlafzimmer stehen. Ein auf Volllast laufender Lüfter ist hier leide ausgeschlossen.

Eigentlich läuft auch ziemlich alles das Meiste so:

• VLAN1: mein generelles WLAN (mit meinem so tollen MAC-Filter ), in dem hängt halt der PC und das NAS mit drinnen ==> vermutlich Suboptimal
• VLAN2: das gibt's nur so halb, ich sag mal, das ist der VPN Tunnel vom externen NAS zum internen NAS (okay, für das Mischen eines VLAN's mit einem VPN würdet ihr mich vermutlich auf Lebenszeit aus diesem Forum ausschließen)
• VLAN3: ist mein Gäste WLAN

Wenn ich irgendwo mehr ins Detail gehen soll/muss, bitte einfach Bescheid geben. Ich werde dann diesen Post bearbeiten, damit es nicht wieder auseinandergerissen wird

Danke, Liebe Grüße und eine gute Nacht, immerhin geht in 4 Stunden wieder der Wecker,
Markus

 

[-jody-]

Hallo Markus,

herzlichen Dank für die Zusammenfassung! muss ich erstmal sacken lassen
Habe zwar schon recht konkrete Ideen, aber dafür wird das avisierte Budget nicht reichen...

Grüße
Jody

 

[MarkusAT]

Hi Jody,

ich habe zu Danken fürs geduldige Lesen und sich Gedanken machen

Liebe Grüße,
Markus

 

[Stationary]

Die Fritte gibt es auch als Kabelrouter und dort lässt sich das VPN zumindest einfach einrichten und nutzen, sofern man sich ein entsprechendes MyFritz!-Konto anlegt

Da muß man kein MyFritz-Konto anlegen, das geht mit beliebigen DynDNS-Anbietern. Wenn der TE schon ein DynDNS für sein VPN am Laufen hat, kann er das auch auf due Fritzbox übertragen.
Das derzeitige Problem der Fritzbox ist eher, daß nur das IPSec-Protokoll unterstützt wird und nicht klar ist, wann WireGuard kommt.