Verbinden van Synology met VPN: "Use default gateway on remote network" vraag

[svgmr]

Ik heb een Synology DS918+ me DSM6. Ik heb een abonnement bij een VPN dienst die ik heb ingesteld op de NAS middels het importeren van een .ovpn bestand. Als ik de optie 'Use default gateway on remote network' aanvink bij in instellen van de VPN verbinding, werkt één van mijn applicaties op de NAS niet meer goed (Roon, een media streamer). Hier kan ik dan niet meer op inloggen. Het lijkt erop dat als ik bovengenoemde optie niet aanvink, Roon wel gewoon werkt. Echter: ik lees overal dat geadviseerd wordt om deze optie WEL aan te vinken.   

Mijn vraag: wat is het risico als ik 'Use default gateway on remote network' NIET aanvink? Verbindt mijn NAS dan nog wel via de VPN verbinding zodat mijn IP adres niet zichtbaar is en mijn privacy gewaarborgd is? 

Kan iemand met uitleggen wat deze optie precies inhoudt? Ik weet dat er veel op internet over geschreven is, maar helaas met zoveel jargon dat ik met beperkte kennis van netwerken hier geen chocolade van kan maken. Je hulp wordt erg op prijs gesteld!

[Babylonia]

Als je  'Use default gateway on remote network'  NIET aanvinkt, loopt data verkeer NIET via de VPN verbinding.

Engels:          (Bij de optie m.b.t. OpenVPN)
https://kb.synology.com/en-global/DSM/help/DSM/AdminCenter/connection_network_vpnclient?version=6

6. Tick any of the following checkboxes depending on your needs:
    Use default gateway on remote network:
    Enable this option to route the network traffic of the Synology NAS to the specified VPN server.

Nederlands:   (Bij de optie m.b.t. OpenVPN)
https://kb.synology.com/nl-nl/DSM/help/DSM/AdminCenter/connection_network_vpnclient?version=6

6. Schakel een van de volgende selectievakjes in:
    De standaardgateway op het externe netwerk gebruiken:
    Schakel deze optie in om het Synology NAS-netwerkverkeer naar de gespecificeerde VPN-server te routeren.


Ik ken dat "Roon" niet.
Maar als ik afga op de informatie bij "Roon":

https://roon.app/en/how-roon-works

        The Roon Server is the brain of your system. It manages your music files, streaming services, and your audio devices.
        The simplest, most powerful Server is a Nucleus.
        But you can also download and install it for free on Mac, Windows, Linux, select QNAP and Synology NAS

Vermoed ik dat je probeert via een connectie van buitenaf je NAS te benaderen,
en dan een connectie wilt leggen met de "Roon server" die je hebt geïnstalleerd op je NAS ?

Dat gaat niet via een WAN connectie van een VPN service.
Want die VPN service zou dan exclusief voor jou situatie poorten moeten gaan doorsturen naar jou internetverbinding.
Zoiets gebeurt gewoon niet bij een commerciële VPN-service.

Dat wordt overigens ook bij de "Roon" support web pagina's aangegeven:
https://help.roonlabs.com/portal/en/kb/articles/port-forwarding-troubleshooting#Overview

        Double-check to make sure you don't have any VPNs, Firewalls, or other network filtering software blocking Roon.

Overigens zie ik bij die support pagina's aanbevelingen staan wat je juist absoluut NIET zou moeten gebruiken.
En dat zijn functies in de router ten aanzien van automatische configuratie via UPnP om poorten door te sturen.

• Turn on UPnP on your router and try to run Roon's port forwarding test again.

Weet niet of je die functies al hebt ingezet, reeds om "zonder VPN" een connectie met "Roon" van buitenaf te kunnen maken?
Maar vanuit veiligheidsoverwegingen is dat echt een absoluut verkeerde aanpak.

Zie onderwerpen op de website van  < security.nl  met zoekwoord UPnP en router >      -       < alleen op UPnP >

Poorten doorsturen (port forwarding) uitsluitend  "handmatig" in een router te configureren.

• Try to set up manual port forwarding in your router.
  
  • Make sure the IP/Port matches in any port forwarding rule you create.

Een methode die "misschien" (?)  "met actieve VPN" wel zou kunnen werken is via een Synology QuickConnect verbinding:
https://kb.synology.com/nl-nl/DSM/tutorial/Cannot_connect_Synology_NAS_using_VPN_via_DDNS
https://kb.synology.com/nl-nl/DSM/tutorial/Quick_Start_External_Access#t2

Een pakket als "Roon" lijkt daar echter geen onderdeel van uit te maken:
https://kb.synology.com/nl-nl/DSM/tutorial/Which_services_support_QuickConnect

Omdat het een third party pakket is, zou je het gewoon kunnen uitproberen, dan weet je het.  (Niet geschoten is altijd mis).


Andere optie die netwerk technisch wel kan:
Als je je thuisnetwerk kunt inrichten voor meerdere VLAN netwerken (minimaal twee).
Zou je de twee LAN poorten van een Synology DS918+  ieder op een eigen VLAN sub-netwerk kunnen aansluiten.

- Via het ene LAN een VPN verbinding naar buiten, via die commerciële VPN-service.
- Via het andere LAN, van buitenaf een verbinding met de NAS via het  "eigen WAN"  IP-adres van de internetverbinding,
  en daarmee je roon-server op de NAS benaderen.

Vergelijkbaar eerder daarover iets geschreven op het forum (en doorverwijzingen met werkende voorbeelden elders):
https://www.synology-forum.nl/firmware-algemeen/vpn-44888/msg320479/#msg320479

[svgmr]

Bedankt voor je uitgebreide antwoord. Ik ben niet zo heel erg thuis in de wondere wereld van netwerken en VPN's en begrijp nog niet alles.

Roon
Roon is een applicatie om muziek te streamen. De Roonserver draait op mijn NAS. Vanaf Roon remote kun je Roon bedienen (muziek kiezen). Roon remote draait op bv. windows, tablet of telefoon. Roon stuurt de muziek vervolgens naar een Roon endpoint. Dit is een apparaat dat met Roon kan samenwerken om muziek te streamen. Bv. een Logitech Squeezebox, Sonos, Auralic, Aurender etc. etc. Oneindig veel audio apparaten ondersteunen inmiddels het Roon protocol. Roon heeft ook een functie om van buiten je LAN muziek te kunnen streamen (bv. in de auto). Dat heet Roon Arc, maar dat gebruik ik niet. Mijn NAS staat zo ingesteld dat je deze niet van buiten kunt benaderen en dat is voor Roon Arc nodig. Je gaat immers vanaf je telefoon de Roon server op je NAS bedienen en die moet de muziek naar je telefoon doorsturen.

Kortom: volgens mij probeer ik niet om Roon van buiten mijn netwerk te benaderen. Het is denk ik wel zo dat Roon server moet connecten met een Roon cloud achtig iets om data op te halen (bv. metadata over je muziek, afbeeldingen, track informatie, artiest informatie etc.).

Use default gateway on remote network
Het gekke is dat als ik deze optie niet aanvink (en de data van de NAS - als ik je goed begrijp - niet via de VPN connectie verloopt) ik wél het IP adres van de VPN dienst terugkrijg als ik deze opvraag. Ik ben er altijd vanuit gegaan dat dit de ultieme check is om te controleren of het data verkeer tussen NAS en internet via de VPN verloopt. Ik merkte in het verleden ook dat mijn snelheid dan omlaag ging. Ik checkte dit altijd met 'curl ipecho.net/plain' maar dat werkte ineens ook niet meer. Ik doe het nu mbv 'Curl icanhazip.com', 'Curl checkip.amazonaws.com' of 'curl -s https://api.ipify.org'. Ik begrijp niet precies wat de commando's betekenen, maar ik krijg in alle gevallen hetzelfde IP adres terug dat eigendom is van mijn VPN provider, in het land waar ik voor gekozen heb om mee te verbinden. Betekent dit dan toch dat mijn data verkeer tussen NAS en internet niet via de VPN loopt?

Quick connect
Als ik het goed begrijp is dit alleen van toepassing als je van buiten de NAS probeert te bereiken (bv. Roon Arc) wat voor mij niet aan de orde is? Ik heb de NAS ingesteld zodat deze niet van buiten bereikbaar is. Zonder VPN werkt Roon dan prima, dus blijkbaar is het openzetten van poorten e.d. niet nodig voor Roon om correct te functioneren?

Zou het kunnen dat met het 'use default gateway on remote network' ook het lokale verkeer naar de NAS via de VPN gaat en zonder dat vinkje niet? Is op de één of andere manier 100% uitsluitsel te geven of internet verkeer met de NAS wel of niet via de VPN verloopt? (ik dacht dus via dat curl commando, maar mogelijk geeft dat nog niet voldoende zekerheid?

[Babylonia]

Houd rekening dat bedienen van de Roon server, en vervolgens de muziek streams verschillende dingen zijn.

Het gaat om "de richting" waarin data wordt verstuurd (vanuit een Client) en binnenkomt in de NAS om functies op te roepen,
of "uitvoerende data" te genereren en uit te sturen vanuit de NAS "naar buiten toe".
We kunnen elk detail wel proberen te ontrafelen, bij welk onderdeel het om intern- of extern data-verkeer gaat.
Maar heeft IMO niet zoveel zin.

Belangrijkste gegeven is toch datgene wat bij de Roon support pagina's zelf staat beschreven, en ik eerder heb benoemd.
https://help.roonlabs.com/portal/en/kb/articles/port-forwarding-troubleshooting#Overview

        Double-check to make sure you don't have any VPNs, Firewalls, or other network filtering software blocking Roon.

Datgene wat jezelf al had ontdekt, in je eerste reactie met in- of uitschakelen van menu opties van de VPN-service.
Dat Roon dan niet of wel werkt.         Dus die VPN functies veranderen wel degelijk afhankelijk van die instellingen.
                                                       (Lijkt me dat je die testjes in je vorige bericht niet juist hebt uitgevoerd?)

Gewoon conform de informatie van Synology zelf waar de gegeven VPN instellingen voor staan.
https://kb.synology.com/nl-nl/DSM/help/DSM/AdminCenter/connection_network_vpnclient?version=6

Probeer dus beide opties (VPN en Roon) niet tegelijkertijd te laten draaien.
Of neem je toevlucht tot een van de andere gegeven opties.
Het  "proberen"  van QuickConnect  (wat mogelijk ook niet werkt).
Of een netwerk set-up met gescheiden VLAN netwerken.  Maar dat vergt andere netwerk apparatuur en extra netwerk kennis.

[Briolet]

mbv 'Curl icanhazip.com', 'Curl checkip.amazonaws.com' of 'curl -s https://api.ipify.org'. Ik begrijp niet precies wat de commando's betekenen

'curl' is een download opdracht en erachter staat de url vanwaar je iets download.  (default is het een http download) Blijkbaar zijn dit sites die je het IP vanaf waar je de site benaderd laten downloaden.  Of beter gezegd: sites die alleen het IP adres laten zien zonder verdere opmaak. Als dit het IP van je VPN provider is, dan kom je inderdaad zo op het internet. (In elk geval via het curl commando.)

Code: [Selecteer]

NAME
       curl - transfer a URL

SYNOPSIS
       curl [options / URLs]

DESCRIPTION
       curl is a tool for transferring data from or to a server using URLs. It supports these
       protocols: DICT, FILE, FTP, FTPS, GOPHER, GOPHERS, HTTP, HTTPS, IMAP, IMAPS, LDAP, LDAPS,
       MQTT, POP3, POP3S, RTMP, RTMPS, RTSP, SCP, SFTP, SMB, SMBS, SMTP, SMTPS, TELNET, TFTP, WS
       and WSS.

       curl is powered by libcurl for all transfer-related features. See libcurl(3) for details.

URL
       The URL syntax is protocol-dependent. You find a detailed description in RFC 3986.

       If you provide a URL without a leading protocol:// scheme, curl guesses what protocol you
       want. It then defaults to HTTP but assumes others based on often-used host name prefixes.
       For example, for host names starting with "ftp." curl assumes you want FTP.

       You can specify any amount of URLs on the command line. They are fetched in a sequential
       manner in the specified order unless you use -Z, --parallel. You can specify command line
       options and URLs mixed and in any order on the command line.

       curl attempts to reuse connections when doing multiple transfers, so that getting many
       files from the same server do not use multiple connects and setup handshakes. This improves
       speed. Connection reuse can only be done for URLs specified for a single command line
       invocation and cannot be performed between separate curl runs.

       Provide an IPv6 zone id in the URL with an escaped percentage sign. Like in

       "http://[fe80::3%25eth0]/"

       Everything provided on the command line that is not a command line option or its argument,
       curl assumes is a URL and treats it as such.

      -s, --silent
              Silent or quiet mode. Do not show progress meter or error messages. Makes Curl mute.
              It still outputs the data you ask for, potentially even to the terminal/stdout
              unless you redirect it.

              Use -S, --show-error in addition to this option to disable progress meter but still
              show error messages.

              Providing --silent multiple times has no extra effect.  Disable it again with --no-
              silent.

              Example:
               curl -s https://example.com

              See also -v, --verbose, --stderr and --no-progress-meter.



[Babylonia]

Als dit het IP van je VPN provider is, dan kom je inderdaad zo op het internet. (In elk geval via het curl commando.)

Als dat commando via de NAS wordt uitgevoerd, zou je moeten weten op welk niveau die test wordt gedaan.
Dat kan los staan van op de NAS draaiende applicaties die via menu-instellingen wel of niet via die gateway van de VPN-server worden omgeleid.

Een actieve VPN verbinding wil niet zeggen dat alle applicaties via die VPN verbinding worden uitgevoerd.

[Briolet]

Vandaar dat ik de randvoorwaarden aangaf. (Dat wat jij rood gemaakt hebt).

Als je het echt wilt weten moet je all het verkeer via een 'tcpdump' commando moeten loggen en dan met Wireshark analyseren. 

En als je niets aan het toeval wilt overlaten moet je er een router voor zetten die ook uitgaand verkeer kan blokkeren. Dan blokkeer je daar alle uitgaande verbindingen die van de nas afkomstig zijn, behalve die naar je VPN provider.

[svgmr]

Okay, mijn hersenpan is hard aan het werken om het allemaal te begrijpen. Maar los van het feit dat ik het een irritant probleem vind, vind ik het leuk om wat nieuws te leren.

Als ik het goed begrijp is mijn NAS dus wel degelijk via VPN verbonden met het internet, maar wil dat niet zeggen dat alle applicaties ook daadwerkelijk van de VPN verbinding gebruik maken. Het Curl commando heb ik vanaf de NAS uitgevoerd (door met SSH in te loggen op de NAS) en gebruikt blijkbaar de VPN connectie. Maar het kan zijn dat een andere applicatie (bv. SABNZBD) géén gebruik maakt van de VPN verbinding. Tenzij ik het vinkje 'Use default gateway on remote network' aanvink, dan weet ik zeker dat ALLE verkeer vanuit de NAS (dus ook bv. SABNZBD) via de VPN loopt. Klopt het tot zover nog?

Ik zie het voor nu niet zitten om dubbele netwerken gaan aan te leggen: dat gaat m'n kennis te boven. Dan kan ik beter een extra NAS bijkopen: 1x specifiek voor Roon en 1x voor al het andere met een VPN verbinding.

Ik denk dat dan toch de twee belangrijkste vragen zijn:
1 Hoe kan ik op synology instellen welke applicatie wel/niet via de VPN loopt?
1. Kan ik testen of een applicatie (bv. SABNZBD) via de VPN loopt? Is daar niet bv. een pakketje voor te installeren of zo?

[Babylonia]

Als je het echt wilt weten moet je all het verkeer via een 'tcpdump' commando moeten loggen en dan met Wireshark analyseren.

Maar wat wil je met die diepere analyse van VPN en allerlei blokkades dan bereiken??

Waar het om gaat is dat  @svgmr  een "Roon server" heeft draaien,
waarmee hij problemen ervaart met ingeschakelde "gateway" verbinding van een VPN-server.

Datgene wat reeds kort beschreven als probleem in de help info van Roon zelf is terug te vinden.
(En als test met de VPN menu's wordt bevestigd). Dus dat weet je al.

Als je al iets wilt analyseren en inzicht wilt krijgen,
zijn dat de actieve verbindingen van die Roon server zelf, en de randvoorwaarden daarvan.
Zijn er bijv. instellingen in de router aangepast door automatische configuratie door UPnP services??
Bestudeer menu's / functies in de router  (en schakel UPnP functies van de router in ieder geval uit).

Je zou bijv. met een appje  "Fing"  per apparaat in het netwerk kunnen uitlezen welke poorten er worden gebruikt?
En dat vergelijken met de gegevens van die  Roon  applicatie, welke poorten daarin worden ingezet.

Dat geeft dan in ieder geval wat inzicht in de onderlinge verbanden van apparaten.

[Babylonia]

1 Hoe kan ik op synology instellen welke applicatie wel/niet via de VPN loopt?

    De standaardgateway op het externe netwerk gebruiken:
    Schakel deze optie in om het Synology NAS-netwerkverkeer naar de gespecificeerde VPN-server te routeren.

Met die instelling (onder bewerken)  voor een VPN-server  (in mijn voorbeeld:  Privado in Berlijn):

Ziet de verbinding er als volgt uit:



Ga je dan meer rechts in het menu naar  "Beheren".
Staat de VPN verbinding als interface bovenaan.




Schakel je van die VPN-verbinding de instelling  "De standaardgateway op het externe netwerk gebruiken"  UIT
En zet je weer een nieuwe VPN verbinding op.
Heeft de actieve VPN-verbinding zich in volgorde naar de 2e plek verplaatst.



De eerste interface "bovenaan" is gewoon het LAN netwerk Dat is nu standaard.
Vanuit die instelling gaat data die naar internet verwijzen via de router het gewone internet op, en niet via VPN.
Terwijl  de VPN-verbinding op dat moment wel gewoon actief is.  (Dat zie je tevens aan de "verbonden" weergave links van het menu).

Verwijzingen van applicaties in het netwerk waarbij je specifiek de 2e interface daarbij opneemt, gaan dan wel via VPN.

[Birdy]

Dan moet de VPN Provider wel een vast IP-adres kunnen willen geven.
BTW, die zullen er wel zijn maar, ik denk dat die optie ook een prijskaartje heeft.

[Babylonia]

Waarom zou die VPN-server een vast IP-adres moeten geven??

Ik geef alleen een uitleg van de internetverbinding "naar buiten toe" via  VPN  versus via het gewone LAN en dan het eigen WAN IP-adres.
Niets meer, niets minder.   

Een van de opties die dan wel zou kunnen werken  "via VPN"  is een optie om  "QuickConnect"  in te zetten.
Die maakt  "vanuit de NAS"  dan via de VPN-route naar buiten toe een verbinding met de Synology servers.

Een benadering van buitenaf gaat dan via QuickConnect eerst naar de Synology servers.
Daar wordt dan de  "handshake"  gemaakt, en kom je alsnog via de VPN-verbinding (met wisselend WAN IP-adres) in de NAS.
Vooropgesteld dat een applicatie als Roon met QuickConnect zou kunnen werken.

Een test met de DSM netwerk interface werkt in ieder geval wel via de QuickConnect optie en actieve verbinding met de VPN server in Berlijn.

Maar wat ik begrijp van de topic starter is het niet de bedoeling om van buitenaf met  Roon  te kunnen werken.
Maar ik weet niet welke functies via UPnP  zijn geactiveerd, en Roon "anders" werkt dan bedoeld?

Als het alleen de bedoeling is binnen het eigen thuisnetwerk met Roon te werken.
Zou je eigenlijk niets met VPN te maken hoeven hebben.  Dan zou  Roon  anders geconfigureerd moeten worden.

[Birdy]

Als dat VPN adres steeds wijzigt bij een nieuwe connectie, dan wordt het wel lastig, al is het maar een voorbeeld.
Of snap ik je niet............help  :'(

[Babylonia]

Zolang de VPN verbinding actief is, wijzigt er geen IP-adres.   (Of misschien na 24 uur ??)

Voor QuickConnect maakt dat echter niet uit.
Een uitgaande verbinding vanuit de NAS maakt met elk actief geldend WAN IP adres een verbinding met de Synology servers.
Of het nu je WAN IP-adres is van de internetaansluiting thuis, of een wisselend WAN IP adres van een VPN service in Berlijn of Parijs.

Dus met deze instelling:

6. Schakel een van de volgende selectievakjes in:
    De standaardgateway op het externe netwerk gebruiken:
    Schakel deze optie in om het Synology NAS-netwerkverkeer naar de gespecificeerde VPN-server te routeren.

Waar < DIT plaatje >  voor geldt (VPN dus bovenaan - niet als 2e regel, wat je laat zien als laatste plaatje uit mijn eerdere reactie).

Met de eerdere test in mijn vorige reactie aangetipt om de DSM interface van een NAS thuis te kunnen bereiken.
Heb ik dat gedaan door mijn laptop met een WiFi hotspot van mijn mobiele telefoon te verbinden.
En dan  "via het mobiele netwerk"  vanuit mijn laptop het  QuickConnect  adres van de NAS in de browser in te geven.

Die test vanuit de NAS met ingeschakelde VPN connectie naar Berlijn als hoofd interface / gateway.  Dat werkt !!

(Bovendien zijn voor die specifieke NAS helemaal geen port forwarders ingesteld en is connectie van buitenaf
zonder gebruik van QuickConnect,  helemaal niet mogelijk).


De meesten kennen de functionaliteit van een  DDNS  domein. Waarbij wisselende WAN IP-adressen geen probleem zijn.
Men moet echter wel  "port forwarders"  instellen om remote verbindingen naar een NAS  in het thuisnetwerk mogelijk te maken.
In geval van een actieve "uitgaande" VPN-verbinding vanuit de NAS naar een server elders, feitelijk "port forwarders" bij de VPN-server.
Wat bij commerciële VPN-diensten niet aan de orde is.
Bovendien zou een DDNS domein dan naar het WAN IP-adres van de VPN-service moeten verwijzen, wat ook niet mogelijk is.

QuickConnect  werkt op een andere manier, met alleen "uitgaande" op te zetten verbindingen naar een Synology server toe,
om de onderlinge connectie bij die "externe Synology  servers" daar op te zetten. Wisselende IP-adressen zijn daarbij geen enkel beletsel.
Evenmin zijn port forwarders aan de orde.  Ofwel een  QuickConnect  verbinding kan ook over het WAN IP-adres lopen van een VPN-service.

[svgmr]

Ik denk dat ik het snap 

Heel verhelderend hoe je kunt zien dat er twee gateways gebruikt kunnen worden om naar buiten te gaan: LAN en VPN en ik begrijp nu dat de bovenste in het overzicht de 'standaard' gateway is.

Blijft er nog één vraag: als ik dus de VPN niet tot de standaard maak, dus dat de LAN boven staat en de VPN eronder, dan moet dit doen: "Verwijzingen van applicaties in het netwerk waarbij je specifiek de 2e interface daarbij opneemt, gaan dan wel via VPN."

Hoe doe ik dat? Hoe kan ik binnen Synology applicaties aanmerken die via de 2e interface (VPN) het internet op gaan?