zwei Router und Nas

Mit dem doppelten NAT durch die zwei Router machst du es dir da etwas schwer. Du müßtest die Portfreigaben so einrichten, daß der erste die erforderlichen Ports an die externe IP des zweiten weiterleitet, und der zweite dann an das NAS. Was geht, aber etwas unübersichtlich ist.

Vom Internet aus sieht man nämlich nur die externe IP des Netgear, und im lokalen Netz des Netgear nur die externe IP des D-Link (sofern das Power-LAN da nicht noch irgendwas macht, aber das müßte als Bridge fungieren...). Und wenn ich das richtig verstanden habe, steht erst im lokalen Netz des D-Link dein NAS. Du hast jetzt quasi zwei vom Internet und voneinander getrennte Netze, zwischen denen geroutet wird.

Welche Ports benötigt werden, kannst du hier herausfinden. Ich schätze, der auch angebotene "Synology Assistant" würde im Zweifelsfall per UPnP den Router kontaktieren und um die Freigabe der Ports bitten, aber (a) nützt dir das nur was bei einem direkt erreichbaren Router und (b) ist es aus Sicherheitsgründen keine gute Idee, auf dem Router diese Funktion aktiviert zu lassen. "Da könnte ja jeder kommen."

Plan B würde darin bestehen, den vermutlich nur wegen WLAN vorhandenen zweiten Router nicht als solchen, sondern nur als Accesspoint zu benutzen (was meistens funktioniert, ggf. gibt es sogar einen "Accesspoint-Modus" wie bei D-Link) und in das lokale Netzwerk des ersten zu hängen, also nicht über WAN, sondern über LAN - womit du Netzwerk Nummer 2 los wärst. Dann mußt du aber tatsächlich beim zweiten den DHCP abschalten, denn mehrere DHCP-Server in einem Netzwerk sind für das wunderbarstmögliche Chaos gut. Und er braucht eine feste IP in Netzwerk Nummer 1, sinnvollerweise in dem dort vom Netgear verwendeten Subnetz.

Dann hättest du das Problem mit der Portfreigabe nur noch bei einem Router.

Ich würde übrigens aus Performancegründen empfehlen, ein NAS nicht über WLAN, sondern grundsätzlich verkabelt anzuschließen. Sonst hast du bei Datenübertragung zwischen NAS und einem anderen Gerät im WLAN immer das Problem, daß die zwei sich die Bandbreite teilen müssen.

Hey, danke für die Antwort.
Ich habe es jetz gelöst, wie du unter b) beschrieben hattest.
Funktioniert alles soweit ganz gut.

Die Nas hängt per Kabel am Dlink.

Jetzt habe ich nur noch das Problem, das ich von außen nur per Synology Apps zugreifen kann (über quick ID).
Allerdings würde ich gerne den ES Datei Explorer unter Android nutzen.
Intern funktioniert das auch wunderbar sowohl per FTP als auch über WebDav.
Aber versuche ich mich von extern einzuwählen, findet der Explorer den Server nicht.
Ich habe DynDNS vom Netgear eingerichtet.
Und weder mit meiner DynDns id noch sonstigen IPs komme ich einfach nicht auf den Server.

Dazu kommt noch das Problem mit dem Plattenruhemodus der nicht funktioniert und wenn nur ca. 30min.

Zum Thema Zugriff von Außen solltest Du dich mal mit dem Thema VPN (Virtual Private Netzwork) befassen.

Soweit ich das verstanden habe, ist die Quick-ID eine Art VPN, welches aber nur innerhalb der Apps zur Verfügung steht. Daher ist die Verwendung mit dem ES Dateiexplorer nicht möglich.

Um auch mit dem ES Dateiexplorer auf dein NAS zugreifen zu können, müsstest Du eine eigene VPN-Verbindung vom Hand zu deinem Heimnetzwerk realisieren. Ich kann dir dazu aber leider keine weiteren Ratschläge geben, da ich persönlich soetwas noch nicht gemacht habe und daher auch keine praktischen Erfahrungen damit habe. Sorry.

Ein VPN ist sicherlich die sichere Variante, aber nicht noetig, um eine Verbindung von außen aufzubauen. Hierzu bedarf es nur zweier Dinge:
1. Du musst die Firewall im Router so konfigurieren, dass sie Pakete von außen auf den spezifischen Port mit dem spezifizierten Protokoll zulaesst. Das ist allerdings nicht ganz unkritisch. Normalerweise wuerde man dabei die IP Adresse des zugreifen Systems definieren. Aber Dein Android wird keine statische public IP Adresse haben, sondern eine sich in gewissen Zeitabstaenden aendernde dynamische. Das bedeutet, dass Du in diesem Konfigurationspunkt einen * definieren und somit den Zugriff nicht auf bestimmte IP Adressen beschraenken kannst. Somit kann jeder von außen zugreifen. Der Zugriff ist dann nur durch das Passwort geschuetzt.
2. Du musst ein NAT mit einer Portweiterleitung konfigurieren. Also den externen Port (5000) auf die IP und Port der Synology.

Das kannst Du ja mal testweise konfigurieren, um zu spielen. Ob Du das aber dauerhaft so belassen willst, haengt von Deiner Risikofreude ab.

hallo,
also ich werde mich jetzt mal mit dem Thema VPN auseinandersetzen und dann wahrscheinlich nur noch darüber zugreifen, da es wie ihr sag die sicherste Variante ist.

Danke

soo
ich hab jetzt VPN eingerichtet.
Doch jetzt habe ich folgendes Problem:
vom Handy aus komme ich in den VPN solange das Handy im D1 Netz hängt. Auch wenn ich mim Handy einen Hotspot mache komme ich mit dem PC drauf.
Ist jetzt aber mein Handy oder Laptop in einem anderen Netzwerk (in der Arbeit) komme ich nicht mehr auf meine VPN.

Weiß jemand woran das liegen kann?

Gruß Kevin

1kW (Beitrag #7) schrieb:

soo ich hab jetzt VPN eingerichtet.

Welchen VPN-Server nutzt du? Ich nehme an, den der DS
Welchen Client hast du auf deinem Handy/Laptop?
Welches Protokoll nutzt du?

Es kann gut sein, dass dein Arbeitgeber den genutzten VPN Port blockiert. Eventuell kannst du einen anderen Port verwenden?
Oder aber du hast das gleiche Problem wie vorher: doppeltes NAT vor dem VPN-Server auf der DS.

Ich nehme das PPTP Protokoll und den Server auf der DS.
Ich nutze die vorinstallierten Clients.
Das der Port blockiert ist kann gut sein, aber als ich es aus einem anderen externen Wlan versucht hatte, funktionierte es auch nicht.

Welchen Netgear Router hast du? Unterstützt der kein VPN? Falls ja, dann empfehle ich dir, als VPN-Server den Router zu verwenden und nicht die DS. Auf das NAS hast du automatisch auch Zugriff, wenn du mit dem VPN des Routers verbunden bist.

Ansonsten nutzt PPTP den TCP-Port 1723 zur Verbindung mit dem VPN Server. Der Port darf also nirgends geblockt sein. Auch Sicherheitsgründen ist PPTP jedoch nicht erste Wahl (da knackbar). Kennst du diese Anleitung? Eventuell kannst du auf OpenVPN umsteigen, da gibt es auch einen extra Android-Client.

Generell komisch ist, dass du über D1 VPN nutzen kannst, über WLAN aber nicht. Was hast du bei Server-Adresse eingetragen? Da müsste der DynDNS-Aufruf stehen. Wird die Adresse aktualisiert, wenn dein DSL zuhause eine neuen IP zugeteilt bekommt?

Wo der Knackpunkt bei dir genau liegt, weiß ich auch nicht. Ich verbinde mich mit meiner Fritzbox und kann dadurch per VPN über Android und Laptop auf die DS zugreifen. Aus dem Firmennetzwerk würde das hier auch nicht funktionieren, irgendwas wird da geblockt. WLAN bei Freunden hingegen ist gar kein Problem. Viel mehr Erfahrung habe ich in dem Bereich auch nicht. Eventuell kannst du im Synology VPN-Server Forum dein Problem schildern, dort sitzen eher die Experten.

Ich habe den netgear wnr1000 ob der VPN kann weiß ich nicht.
Ich hatte bissher die Externe IP angegeben, da mein DynDns noch nicht richtig funktioniert.
Wie kann ich prüfen ob der Port irgendwo geblockt wird?
Ich werde es mal mit OpenVPN versuchen.

Danke für die Hilfe.

Ob du unter Windows auf deinen PPTP-Port zuhause kommst, könntest du mit dieser Seite testen.
Sollte das nicht funktionieren, dann stimmt vermutlich mit der Weiterleitung etwas nicht. Ob du überhaupt mit dem Laptop über den Port 1723 aus dem Firmennetz kommst, könntest du herausfinden, indem du versuchst, dich zuhause anzumelden und dann in einem Konsolenfenster (CMD) mit

netstat | find "1723"

prüfst, ob der Port verwendet wird. Kommt keine Meldung, dann wird der Port wohl geblockt. Mit dieser Seite kannst du es wohl ebenso prüfen.

Ok. Danke
werde ich morgen mal ausprobieren.

Du kannst mal davon ausgehen, dass die Verwendung von VPN aus einem internen Firmennetz heraus nicht möglich ist. Als Administrator unterbindet man soetwas eigentlich generell, bzw. macht es nur mit ausdrücklicher Sondergenehmigung in speziellen Ausnahmefällen möglich. Das ist in den meisten Firmen so. So verhindert man, dass Daten unautorisiert per VPN aus der Firma geschafft werden können.

Es muss an dem Geschäfts Netzwerk liegen, da es bei meiner Freundin auch funktioniert.
Kann ich den geblockten Port umgehen?
Macht ja Sinn das VPN geblockt wird aber ich will es trotzdem nutzen

Wenn du im Client für PPTP einen anderen Port einstellen kannst, könntest du es zumindest versuchen. Du musst nur daran denken, dass in der DS der Port nicht verändert werden kann. Somit musst du in deinem heimischen Netzwerk den abweichenden Port auf 1723 der DS umlenken.

Einfacher wird es eventuell mit OpenVPN, denn da kannst du den Port auch in der DS-Konfiguration einstellen.

OpenVPN empfiehlt sich auch aus Sicherheitsgründen, denn PPTP ist kein sicheres Protokoll mehr. In der Konsequenz könnten sich Fremde auf deinem NAS einloggen, da hättest du auch gleich bei http(s) bleiben können...

Du musst selber entscheiden, ob du damit Ärger in der Firma bekommen könntest. Du kannst jedenfalls nicht davon ausgehen, dass größerer Traffic über ein VPN-Interface unbemerkt bleibt. Eventuell bekommst du den Port 1723 von der IT ja auch freigeschaltet, wenn du den Admins erläuterst, wofür du das benötigst.

Eventuell bekommst Du aber auch eine Abmahnung wenn es rauskommt, je nachdem wie tolerant die Administration ist..

Ich würde es sein lassen, wenn ich Du wäre.

Kommt halt darauf an, wie die private Nutzung von firmeneigenen Ressourcen geregelt ist. Hier geht es ja nicht nur um Netzwerksicherheit, sondern auch um den Schutz von Firmendaten. Da versteht nicht jeder Chef Spaß.

ich hab jetz OpenVPN und es funktioniert auch aber ich werde es im Geschäft nur sehr selten nutzen um keinen Ärger zu riskieren.

Danke für eure Hilfe

Und erneut zeigt sich, dass man sein NAS von außen nur über VPN erreichbar machen sollte.

Das Problem mit der Sicherheitslücke ist ja nicht die Lücke selbst, sondern die Frage ob und wann Sicherheitspatches von Seiten der jeweiligen NAS-Hersteller bereitgestellt werden.

Ein selbst aufgesetztes Linuxsystem mit einem Samba-Deamon ist ja schnell gefixt. Sobald die Sicherheitspatches vom Samba-Entwicklungsteam heraus kommen, werden diese bei den meisten Linux Distributionen schnell per Sicherheitsupdate verfügbar gemacht. Das Problem ist aber, dass 99% aller NAS eben auf vom jeweiligen Hersteller zusammengestellter Firmware laufen. Und da kann es dann schon mal dauern, bis Sicherheitspatches kommen - wenn sie überhaupt noch bereitgestellt werden (nicht jeder Hersteller bietet jahrelang Sicherheitsupdates für seine Produkte an)...