Synology-Forum.nl
Overige software => DDNS / Quick Connect / EZ-Internet / Portforwarding => Topic gestart door: mchp92 op 28 november 2015, 12:29:55
-
Ik heb vanochtend een openvpn tunnel opgezet op mijn synology
Ds213j meest actuele dsm
Als ik de vpn connect, zie ik keurig dat mijn ddns een ander ip laat zien (mijn exit point van vpn)
Maar als ik dsfile probeer te connecten via 3g werkt dat niet meer
Wifi aan, en via ddns connecten nas terwijl tunnel nog steeds open staat werkt wel gewoon
Als ik mijn vpn disconnect werkt alles weer als voorheen
Hoe zit dit?
Tbv de vpn heb ik aanvullend port 1195/tcp door mijn routers geforward. Dit moet goed zijn gegaan want de tunnel kan connecten
Hoe los ik dit op?
-
De standaard poort voor OpenVPN is niet 1195, maar 1194
-
Ibvpn geeft aan 1195
Die heb ik geforward etc
Connectie vpn werkt
Alleen dan daarna niet meer net dsfile enzo
-
Misschien dat je handmatig de te gebruiken poort voor OpenVPN voor je NAS (router) op 1195 hebt gezet, en daarmee een port forwarding hebt gedaan. (Bij OpenVPN kun je poorten aanpassen). Standaard is echter wel 1194
Heb je wel het bijhorende certificaat en configuratiebestand vanuit de VPN-server geexporteerd, en ingeladen in je tablet met bijv. de OpenVPN Connect app?
Zonder certificaat geen verbinding. Dat certificaat heb je nodig bij elk apparaat waarmee je een OpenVPN connectie wilt opzetten. Dat is juist het cruciale van deze VPN methode, om op die wijze de veiligheid te waarborgen.
Opzetten van een VPN-verbinding volgens het OpenVPN protocol naar een VPN-server werkt in basis voor een NAS vergelijkbaar als voor de nieuwe Synology router.
Voor meer aanwijzingen zie een beschrijving die ik heb gemaakt voor connectie met de Synology router.
M.b.t. een smartphone of tablet op basis van Android, zie onderaan < deze reactie > (http://www.synology-forum.nl/synology-router/vpn-verbinding-met-rt1900ac-als-vpn-server/msg173087/#msg173087)
Na edit van het profiel op aanwijzingen van de readme......
Als resumé om bijv. ook een OpenVPN connectie op te zetten vanuit een Windows PC naar de VPN-server op router of NAS, gelden mogelijk vergelijkbare instellingen die ik voor de configuratie moest invullen, zie < HIER > (http://www.synology-forum.nl/synology-router/vpn-verbinding-met-rt1900ac-als-vpn-server/msg173529/#msg173529)
-
Volgens mij wordt hier langs elkaar heen gepraat en gebruikt TS een externe VPN server. Als je via die server bij je eigen netwerk komen, dan zul je bij de VPN dienst poorten moeten forwarden naar je eigen WAN IP. Lang niet alle VPN diensten ondersteunen dit forwarden.
Toevallig stond er gisteren een stuk op security.nl: Lek+bij+VPN-aanbieders+kan+IP-adres+gebruikers+onthullen (https://www.security.nl/posting/452337/Lek+bij+VPN-aanbieders+kan+IP-adres+gebruikers+onthullen)
-
Voor Open VPN heb je een te importeren certificaat/configuratiebestand nodig.
Die externe VPN-aanbieders, gebruiken die Open VPN? Want dan wordt het instellen voor gebruikers relatief complex.
(De vraag van de TS gaat specifiek over Open VPN).
Aanvulling:
Bij de verwijzing naar < een artikel elders > (https://www.perfect-privacy.com/blog/2015/11/26/ip-leak-vulnerability-affecting-vpn-providers-with-port-forwarding/) lees ik dat het lek alle VPN protocollen betreft via zo'n VPN-server aanbieder:
"Also note that due to the nature of this attack all VPN protocols (IPSec, OpenVPN, PPTP, etc.) and all operating systems are affected."
-
VPN aanbieders bieden verschillende protocollen aan, OpenVPN, PPTP, L2TP/IPSEC, SSTP enz.
Van de complexiteit ziet de klant niet direct iets.
De klant krijgt een config en moet die importeren in een client of b.v. client software van de aanbieder zelf.
Hoewel, op de NAS kan dat soms even zoeken zijn omdat er ogenschijnlijk alleen een certificaat geïmporteerd kan worden.
In geval van TS zou hij contact moeten opnemen met zijn VPN provider om zijn DS te kunnen bereiken via de VPN.
Of zij dat doen is de vraag... en TS zou dan ook moeten vragen of ze betroffen zijn door dat "lek" (wat eigenlijk een misconfiguratie is).
-
Ik neem aan dat TS naar mij verwijst? ;-)
Voor de duidelijkheid
- ik heb een ibvpn account bij een vpn service provider
- via diens beschrijving heb ik een openvpn verbinding in mijn nas geconfigureerd, inclusief certificaat opladen in nas
- in mijn beide routers port forwarding voor 1195 opgezet (heb twee routers achter elkaar)
- ik kan in mijn nas gewoon aan dat vpn connecten, en zie dan ook meteen het ip adres van syn ddns gaan verwijzen naar de vpn exit server, ipv mijn eigen isp adres
Conclusie: vpn configuratie is correct
Vervolgens wil ik met mijn iphone via ds file gaan connecten via de url die ik al heel lang gebruik (bij behorende port forward is a heel lang "goed")
Dit lukt *wel* in deze gevallen:
- vpn staat uit
- vpn staat aan EN mijn iphone hangt aan wifi
Dit lukt *niet* als:
- vpn staat aan en mijn iphone hangt aan 3g
Tenslotte wil ik nog opmerken dat ik ik mijn "buitenste" router, een dns entry heb opgevoerd die mijn xxxxxx.synology.me url direct resolvet naar mijn binnenste router.
Mijn buitenste router is van isp. Aangezien ik die principieel niet vertrouw, hangt mijn hele netwerk aan mijn binnenste router. Die binnenste router is de ENIGE host in het lan van mijn buitenste router. Wifi loopt dus rechtstreeks achter mijn binnenste router in dat lan
-
Ik neem aan dat TS naar mij verwijst? ;-)
Wie bedoel je met TS ? TS = de Topic Starter en, dat ben je zelf. ;)
-
Tenslotte wil ik nog opmerken dat ik ik mijn "buitenste" router, een dns entry heb opgevoerd die mijn xxxxxx.synology.me url direct resolvet naar mijn binnenste router.
Maar dan is het volgens mij logisch dat Wifi gewoon werkt. Je komt niet eens door de vpn tunnel omdat de DNS je direct naar het interne IP van je 2e router doorstuurt in plaats naar het exitpoint van je VPN. Of mis ik hier iets?
-
Ik geloof dat jij nu aan de beurt ben met "langs elkaar heen" ;)
Van wat ik nu met de zeer uitgebreide informatie wel begrijp is het volgende:
Het enige punt waar de TS (Topic Starter, alias @mchp92 ) problemen mee heeft is de rechtstreekse connectie van DS File met zijn NAS via het 3G netwerk, als de VPN-verbinding actief is.
Wat hij echter in zijn opsomming nog niet heeft aangegeven is of de verbinding wel lukt met:
- VPN staat uit en de iphone hangt aan 3G
Mogelijke discrepantie:
Connecten met DS File via WiFi moet de verwijzing van de connectie naar het interne IP-adres van de NAS verwijzen.
Connecten met DS File via 3G moet de verwijzing van de connectie naar het externe IP-adres van de internet-aansluiting verwijzen.
In het laatste geval moeten in de twee routers de juiste poorten worden doorgestuurd: 1e router naar de 2e router, in 2e router naar de NAS.
-
@mchp92
Voor de duidelijkheid, is je Iphone (aan 3G) verbonden met ibvpn?
In dat geval zul je contact op moeten nemen met ibvpn zoals reeds geschreven.
-
MOD: Onnodige citaat is verwijderd, lees even. (http://www.synology-forum.nl/vragen-en-opmerkingen-over-het-forum/gebruik-de-citaatknop-met-mate-17838/)
Maar dan is het volgens mij logisch dat Wifi gewoon werkt. Je komt niet eens door de vpn tunnel omdat de DNS je direct naar het interne IP van je 2e router doorstuurt in plaats naar het exitpoint van je VPN. Of mis ik hier iets?
Dit zou inderdaad een verklaring kunne zijn. Had ik zelf kunnen bedenken :-/
-
MOD: Onnodige citaat is verwijderd, lees even. (http://www.synology-forum.nl/vragen-en-opmerkingen-over-het-forum/gebruik-de-citaatknop-met-mate-17838/)
@Babylonia
Om even de ontbrekende info aan te vullen: connectie met telefoon aan 3g, terwijl tunnel uit staat, werkt gewoon. Zo heb ik mijn nas bijna twee jaar gebruikt.
Qua port forwarding - in mijn buitenste router staan alle poorten die je regulier voor je nas gebruikt (5000/1, 5005/6, maar nu ook 1194 en 1195) doorgestuurd naar mijn tweede binnenste router. Daar is alles keurig geforward naar het ip van mijn nas. Hosts die aks recipient van port forwarding staan, hebben uiteraard een vast/gereserveerd IP.
Alle informatie nog eens bij elkaar schrapend, inclusief mijn gevallenonderscheid wanneer t wel/niet werkt, is dat als ik via de tunnel binnenkom in mijn nas, de app dsfile (en dsdownload, etc) weigert te connecten. Ik dacht even dat dat aan de vpn poort ligt (1195 ipv 5000). Maar vervolgens stel ik me ook voor dat de vpn client jn mijn nas de ip pakketjes uitpakt, en daar staan dan weer poort 5005 of zo in, en dat moet dan associeren met de het juiste proces (file station) in de nas.
En toen was mijn vpn-kennis even uitgeput.
Om het verhaal nog smeuiiger te maken. Ik heb (los van die ibvpn-beschrijving) nog een tweede vpn ingericht om "te spelen". Die staat normaliter uit.die vpn is als volgt. OpenVPN client op mijn iphone. Mijn linksys wrt1900ac (binnenste router) heeft dan een openvpn server draaien. Als ik die op mijn gsm aan zet (staat ie eigenlijk nooit) heb ik dus een tunnel van mijn telefoon naar mijn binnenste router. Die stuurt dan mijn dsfile verkeer vlgs de gebruikelijke forwarding gewoon door naar mijn nas. Dat werkt gewoon. Vandaar mijn hypothese dat het basisverkeer met poort 5000, netjes wordt ingepakt in vpn verkeer op poort 1194 (dat is de poort voor mijn openvpn server ibvpn loopt over 1195). Dat verkeer wordt dan in mijn router uitgepakt en doorgezet naar interne ip vd nas over poort 5005.
Hopelojk volgen jullie t nog een beetje haha
Any ideas?
-
@mchp92
Betreffende je laatste alinea.
Zelf heb ik op mijn 2e router (een Synology RT1900ac) ook een VPN-server draaien.
Kan vanuit mijn smartphone + 3G dan ook naar de NAS.
Alleen je beredenatie met "basisverkeer" met ingepakte pakketjes via of over "poort 5000" als Port Forwarding is helemaal niet aan de orde.
Bij die VPN heb je verbinding "alsof je in je eigen LAN" netwerk zit. In je LAN roep je gewoon het interne IP-adres aan waar je NAS zit om met je NAS verbinding te hebben (dus ook met DS File op je smartphone). Van Port Forwarding is dan geen sprake. Je kunt eventueel de Port Forwarding (5000/5001....) die je op zowel je 1e alsook je 2e router hebt ingesteld uitschakelen.
Dan nog heb je via die VPN-verbindingsmethode (VPN-server op 2e router, smartphone als Client), nog steeds verbinding met de NAS.
-
Wil je daarmee zeggen dat de port forwards moeten uit staan als ik via lan cq vpn connect?
Lijkt me toch nog steeds onligisch, als was t maar omdat ik al jaren binnen lan connect met port forwards aan. Port nummer moet natuurlijk wel worden gebruikt anders weet nas niet welk proces het verkeer moet oppakken
-
Port Forwarders zijn alleen functioneel voor benadering van "normaal" extern verkeer van buiten uit. Enkel een hulpmiddel om onderscheid te kunnen maken wat het verkeer verder in je LAN moet doen, zonder voor "die buitenstaander" te weten welk intern LAN IP-adres daarvoor wordt gebruikt.
(Je draait bijv. een web-server op je NAS waar gebruikers gewoon je WAN IP-adres van je internet account intikken, of een eraan gekoppelde domeinnaam).
Voor intern LAN-verkeer hoef je ze niet uit te zetten, maar ze zijn op dat moment helemaal niet actief functioneel.
Voor intern LAN-verkeer maak je onderscheid door de LAN-IP adressen op te roepen waar een apparaat achter hangt.
Doe maar eens een test door die Port Forwarders uit te schakelen, en je NAS binnen je eigen LAN, of via VPN te benaderen zonder die Port Forwading. Voor een VPN-server op je 2e router moet uiteraard nog wel de poort in de 1e router zijn doorgestuurd naar de 2e router die wordt gebruikt voor het VPN-protocol (1194),
Wel het poortnummer achter het interne LAN IP-adres invullen voor de juiste service, indien er meerdere services op je NAS actief zijn.
-
DDNS laat het IP van ibvpn zien, voor de oplossing zie:
@mchp92
Voor de duidelijkheid, is je Iphone (aan 3G) verbonden met ibvpn?
In dat geval zul je contact op moeten nemen met ibvpn zoals reeds geschreven.
Hoewel mijn vraag niet direct beantwoord werd is het antwoord waarschijnlijk toch gekomen:
dat als ik via de tunnel binnenkom in mijn nas
Dus nogmaals zie:
@mchp92
Voor de duidelijkheid, is je Iphone (aan 3G) verbonden met ibvpn?
In dat geval zul je contact op moeten nemen met ibvpn zoals reeds geschreven.
-
Heb tickets ingeschoten bii zowel ibvpn als synology
Hoopte even dat iemand hier zoiets al had opgezet en wist hoe t precies zit om t aan de praat te krijgen
-
Als je met je Iphone over 3G zonder VPN je NAS wilt bereiken, kun je meerdere gateways inschakelen.
[attach=1]
In dit geval moeten natuurlijk wel de poorten openstaan voor de betreffende Apps.
-
Zonder vpn werkt alles als een zonnetje
Kan zelfs op kantoor over wifi aldaar, met dsvideo mijn films van thuis af streamen
3g idem (langzamer alleen)
Het is de vpn van buitenaf (wan) naar binnen (lan) waar t mis ging
-
Kunnen we uit "ging" afleiden dat het nu opgelost is?
-
Het is de vpn van buitenaf (wan) naar binnen (lan) waar t mis ging
Mogelijk moet je wel in de Firewall de achterliggende virtuele IP-gateway open zetten om toegang te hebben tot de applicaties in je "normale" LAN IP-range??
Voor de Open VPN server op mijn Synology router is de virtuele VPN IP-range standaard in het 10.8.0.xxx bereik,
terwijl de "normale" LAN IP-range van mijn router in het 192.168.10.xxxx bereik ligt.
Update:
Ik heb het net even bekeken voor mijn situatie met een Synology router. Daar moest ik inderdaad in de Firewall voor Open VPN de virtuele IP-range (in het 10.8.0.xxx bereik) openstellen om connectie te kunnen maken met de router zelf via het eigen LAN IP-adres (in het 192.168.10.xxxx bereik).
Is bij mij eigenlijk standaard ingesteld, maar heb gekeken wat het doet als ik die juist uitschakel.
Voor de NAS was dat evenwel niet nodig, maar dat komt mogelijk door het specifieke beleid van de Synology router waar Port Forwarders vóór Firewall regels gaan, en daarmee settings van de Firewall overrulen. Voor een andere router, zoals dat van de TS, kan dat mogelijk anders uitpakken, afhankelijk van het beleid van die firmware ten aanzien van een Firewall.
(Op afstand met twee computers kan ik via de "normale" niet VPN-verbinding mijn router op afstand bereiken en instellingen veranderen, en op de andere computer via de VPN-connectie testen hoe het uitpakt).
-
Let op - het probleem met mijn nas staat los van mijn vpn server op mijn router
Ook als die uit staat, heb ik het probleem met ibvpn. Server is natuurljk extern, mijn nas is vpn client
-
Het lijkt erop dat ik een werkende oplossing heb, na tips vd vpn helpdesk
Remote connect aan nas moet bij vpn gebruik niet meer via syn ddns (die wijst naar een server waar je geen routing / firwarding kunt inregelen), maar via QuickConnect
Dan werkt t allemaal
-
Vind ik toch een "vreemde" oplossing waarom dit wel zou werken en een DDNS domeinnaam niet, tenzij je ten behoeve van een DDNS domeinnaam de benodigde Port Forwarders voor je thuissituatie niet helemaal correct hebt ingesteld.
Het verschil van QuickConnect tegenover het gebruik van een DDNS domeinnaam is feitelijk alleen het stukje thuisnetwerk waar je bij QuickConnect geen Portforwarders hoeft in te stellen.
Of met andere woorden, er zit mogelijk een discrepantie in je ingestelde Port Forwarders, als het met een DDNS domein niet werkt?
Iemand met meer technische kennis daar nog een gedachte over?
-
Eigenlijk wou ik niet meer reageren omdat er op bepaalde vragen geen antwoord kwam, maar goed.
In dit geval werkt DDNS niet omdat:
DS is verbonden met een VPN provider en dat betekent dat de DDNS het IP van het exit-point (ibvpn) laat zien.
Dus als je van buiten wilt verbinden met DDNS wordt er verbonden met ibvpn en gaat dus zo niet werken.
De antwoorden om dat op te lossen staan in het topic maar worden niet gelezen.
Lang leve QC :D
-
Ja mijn hypothese is ditzelfde. ddns wijst naar vpn exit. Verkeer dat van binnenuit mijn lan start en via vpn naar buiten gaat, ziet de respons op "natuurlijke wijze" door de vpn terugkomen
Als ik vanaf buiten naar binnenwil, komt mijn request bij het vpn server point. Maar die server heeft "geen idee" waar t verkeer binnen het vpn heen moet
Dus ondanks dat de forwards binnen mijn router goed staan, heb ik er niets aan.
Vervolghypothese: als ik van buitenaf rechtstreeks op mijn IP van mijn isp's router connect (mijn meterkast, zeg maar), zou t alsnog moeten werken
Lijkt me te prefereren boven qc, dat loopt nl via relays van synology
@mmd: vraag: ik heb een vpn server op mijn binnenste router. Als ik via zo n tunnel verkeer naar mijn router stuur, zou het dan theoretisch moeten werken? Mijn buitenste router heeft dns entry op mijn persoonlijke url die naar binnen toe resolvet, en niet via de synology ddns
-
Het is wel een interessant gegeven. Moeilijk om je voor te stellen wat er allemaal gebeurt en hoe de datastromen lopen.
ik heb een vpn server op mijn binnenste router. Als ik via zo n tunnel verkeer naar mijn router stuur, zou het dan theoretisch moeten werken? Mijn buitenste router heeft dns entry op mijn persoonlijke url die naar binnen toe resolvet, en niet via de synology ddns
In het geval van een VPN-server op de 2e router, en je wilt als Client van buitenaf de VPN-server benaderen.
Eenmaal een tunnel actief, bij connectie van buitenaf gebruik je feitelijk daarna gewoon een intern LAN IP-adres.
Wil je naar de NAS, gebruik je het intern LAN IP-adres waar de NAS achter zit.
Maar ik heb even wat gespeeld of er ook andere scenario's' werken.
VPN-server op de 2e router (Synology RT1900ac) + gebruik van het 3G netwerk (smartphone).
Test 1
Vanuit de 1e router alleen de VPN-poort doorgestuurd naar de 2e router. Op de 2e router draait de VPN-server.
Expliciet alleen heb ik dan toegang extern via VPN. Eenmaal de VPN-tunnel actief, kan ik alleen met een intern LAN IP-adres de erachter hangende NAS benaderen.
Zowel een QuickConnect als DDNS-domein werken in dat geval niet.
Test 2
Vanuit de 1e router is niet alleen de VPN-poort doorgestuurd naar de 2e router, maar ook de reguliere poorten voor een "normale" verbinding. Op de 2e router draait de VPN-server.
- Gebruik van LAN IP-adres kan ik contact maken met de erachter hangende NAS.
- Gebruik van het WAN IP-adres van mijn internet account kan ik contact maken met de erachter hangende NAS.
Volgens mij heb ik in dit geval eerst contact via de tunnel tot aan de VPN-server, gaat vervolgens de connectie weer "naar buiten", om dan via de "reguliere" connectie weer terug te komen op mijn internet-aansluiting, via Port Forwarding dan verder te gaan naar de 2e router, en verder via Port Forwarding op de 2e router connectie met de erachter hangende NAS. (Zonder die 2e Port Forwarding werkt het ook niet).
Op die wijze, werken bij mij tevens QuickConnect en de DDNS domeinnaam.
Hoe dat dan werkt met "loop backs" e.d. is mij niet bekend. Maar dat er sprake is van een "loop back" wordt dadelijk duidelijk.
Dat ik eerst echt connectie via de VPN-tunnel heb tot aan mijn VPN-server thuis, heb ik gecheckt door op de smartphone een webbrowser op te klikken en bij "watismijnip.nl (http://watismijnip.nl/)" het IP-adres te controleren van waaruit ik connectie heb. Die geeft het IP-adres weer van mijn internetconnectie thuis en niet van mijn connectie via 3G.
Tevens heb ik even in de logbestanden gekeken van de NAS. Die geeft op de bewuste tijdstippen ook enkel een connectie weer vanuit mijn eigen WAN-IP adres thuis, niet vanuit een mobiel 3G netwerk IP-adres. (En ervoor vanuit een LAN IP-adres bij test 1).
-
Ga ik eens rustig bestuderen
Dank voor je experimenten