VPN Plus Server ervaringen

[aliazzz]

Veel toeters en bellen dat VPN Plus, "maar weinig wol".

Daar ben ik het niet geheel mee eens. De SSL-VPN optie binnen VPN Plus werkt goed, is stabiel en vergt geen of althans nauwelijks onderhoud. Ze heeft mij heel wat keren veilig laten internet bankieren in het buitenland.

Tuurlijk, de encryptie is default iets minder sterk vs. OpenVPN. Maar daar staat een stuk gebruiksgemak tegenover!
Bovendien overleeft SSL VPN wel SRM updates, terwijl dit elke keer bij OpenVPN maar moet blijken. Met OpenVPN heb ik tot afgelopen April (toen overgegaan) daar nog weleens wat gerommel mee gehad.

Beide opties zijn prima, maar vanuit gebruikers optiek, want dat ben ik, is eenvoud doorslaggevend.

[Babylonia]

Met betrekking tot https en SSL certificaat:
Zie toevallig op het internationale Synology forum een overeenkomstige ervaring wat ik ook merk met die beveiligingsmeldingen:

https://forum.synology.com/enu/viewtopic.php?f=265&t=137504

Veel toeters en bellen dat VPN Plus, "maar weinig wol".

Daar ben ik het niet geheel mee eens.

Dat mag? Ieder mag er het zijne van denken. En dat hoeft niet perse mijn mening te zijn. 

In de ruim twee jaar dat ik de RT1900ac gebruik (sinds 3e week oktober 2015), met OpenVPN nog nooit problemen ondervonden, anders dan dat ik een keer een update van de Windows Client software uitvoerde. De verbinding was toen niet stabiel.
Door één versienummer terug te gaan in de OpenVPN Windows Client software was het opgelost.

Met VPN Plus heb ik juist een hele waslijst aan problemen ondervonden, wat nu eindelijk een keer opgelost lijkt te zijn.
In die zin dat alle conventionele VPN protocollen nu eindelijk stabiel werken.  Maar ondervind juist nog steeds problemen met die https in relatie tot de expliciete Synology VPN oplossing, terwijl dat op basis van de instellingen eigenlijk niet zou moeten plaatsvinden.  (Zie 2 reacties verder).

Ik ben juist helemaal niet bang dat de ondersteuning van OpenVPN op zou houden. Daarmee zou Synology zichzelf in de vingers snijden, omdat het wereldwijd een te verbreidt VPN protocol is tegenover hun eigen VPN services, om dat te laten schieten. Dat pikken gebruikers simpelweg niet.
Het is zelfs zo dat het oude VPN-server pakket, waarbij men een jaar terug al had aangekondigd dat het zou vervallen, nog steeds beschikbaar is, en updates ondergaan. Schijnbaar teveel gebruikers die gewoon liever bij de oude versie blijven??

[Birdy]

Heb ook wel eens die andere VPN opties getest echter, het viel mij dus tegen dat de Router geen Let's Encrypt kent dus, als je Let's Encrypt wilt gebruiken, dan eerst op je NAS maken en daarna exporteren naar je Router en dat is niet fijn als je certificaat is vernieuwd op je NAS.
Dus, het niet hebben van Let's Encrypt software op de Router (die natuurlijk altijd aanstaat t.o.v. mijn NASsen, waarbij Let's Encrypt auto zou kunnen updaten) weerhoudt mij helemaal om de andere VPN opties te gebruiken.
Synology is ook niet van plan om Let's Encrypt ter beschikking te stellen op de Routers.

[Babylonia]

Zie ook een joker ( *. ), maar werkt bij mij kennelijk niet in relatie met "WebVPN". Zou daar mijn hostingprovider eens voor moeten benaderen wat de instellingen zouden moeten zijn om het werkend te krijgen.

Een joker is een joker. Dat behoort met elke naam te werken. Zo niet, lijkt me dit een bug in WebVPN en niet iets wat jouw hostingprovider kan veranderen.

Inmiddels bij mijn hostingprovider geïnformeerd.

Mijn NL-domein ondersteunt wel jokers vóór de domein naam (voor het gebruik van sub-domeinen).
Daar is die joker / wildcard codering voor bedoeld die ik in mijn domeingegevens terugzag.

Alleen mijn SSL certificaat gaat niet zover, en is niet toegewezen voor het gebruik met een wildcard vóór de domeinnaam.
(De enige uitzondering erop is www.)  Vandaar het probleem wat zich toont bij gebruik van WebVPN.

De extra kosten van een SSL certificaat wat wel de wildcard optie ondersteunt is mij echter niet de moeite waard om daarop over te stappen.
Dus blijft er praktisch alleen SSL VPN over om eventueel in te zetten van de extra VPN mogelijkheden naast de conventionele VPN methoden.
(SSL VPN is overigens toch al de meest interessante van de twee extra VPN methodes).

[Dutchy1502]

Sinds deze week ben ik ook trotse eigenaar van een synology router. Met name de VPN opties hebben mij overgehaald deze router te kopen, waarbij ik erg nieuwsgierig was naar de WebVPN functionaliteit.
Het instellen van de diverse VPN's lukte erg makkelijk. Gelukkig zie ik dat Babylonia mijn vermoeden over mijn SSL certificaat kon verifieren, ik krijg in de WebVPN waarschhuwingen omdat mijn certificaat niet werkt voor subdomeinen.

De WebVPN wil ik graag gebruiken om toegang te krijgen tot mijn NAS en andere programma's die daarop draaien met een web interface. Dit lukt zonder enkel probleem!

Daarnaast wilde ik graag proberen om via de WebVPN met een RD web terminal connectie te maken. Ik heb hiervoor een windows server 2012 op een PC geïnstalleerd en dit ingesteld. Vanuit mijn LAN kan ik hier op inloggen en remoteapps openen. Vanuit de VPN lukt dit helaas niet. Ik krijg een de volgende foutnelding Error: Unable to display RD Web Access .

Ik zag ergens op de Synology site dat WebVPN alleen voor interne (simpele) sites is bedoeld. Heeft iemand ervaring hiermee? Ik probeer al uren iets te vinden, maar kom nog niet echt verder.

[aliazzz]

@Dutchy1502
Wellicht kan je hier wat mee?
https://www.synology-forum.nl/synology-router/vpn-plus-server-gt-nieuwe-webbased-remote-desktop-client-functionaliteit!/

[Dutchy1502]

Top! Bedankt aliazzz! Daar ga ik zeker naar kijken.
Inmiddels ben ik er ook achter dat het aan de serverversie ligt. Op de 2012 versie kan ik wel inloggen, echter kun je daar minder makkelijk remoteapp mee faciliteren (moet onderdeel zijn van een AD).

[Babylonia]

Met name de VPN opties hebben mij overgehaald deze router te kopen, waarbij ik erg nieuwsgierig was naar de WebVPN functionaliteit.....

.....De WebVPN wil ik graag gebruiken om toegang te krijgen tot mijn NAS en andere programma's die daarop draaien met een web interface. Dit lukt zonder enkel probleem!.....

.....Ik zag ergens op de Synology site dat WebVPN alleen voor interne (simpele) sites is bedoeld.....

Het gebruik van typisch het Synology eigen "WebVPN" is IMO juist vrij beperkt, met de nadelen die ik eerder uitvoerig heb beschreven.
Als het je gaat om via een "web-interface" je NAS te benaderen, en dat onder VPN, kun je dat namelijk onder ELK (conventioneel) VPN protocol.
Daar heb je de opties van de extra Synology VPN Plus mogelijkheden niet voor nodig.

Alle conventionele "niet" Synology gerelateerde VPN-protocollen en enkel het Synology gerelateerde "SSL VPN" geven je daarbij tevens duidelijkheid of je onder een VPN-verbinding connectie hebt, of juist NIET (in het geval het niet is ingeschakeld). Als je dan zo mogelijk een van die extra Synology VPN mogelijkheden zou willen benutten, zou ik juist willen opteren om dan de "SSL VPN" optie in te zetten. Omdat die in ieder geval een consequente connectie via VPN verschaft.

Bij gebruik van het Synology "WebVPN" protocol is dat nu juist de bottleneck, dat de connectie per "tab" van de webbrowser afwisselend onder VPN kan vallen, of juist NIET.  Dat moet je per tab van de webbrowser in de www adresregel telkens opnieuw controleren.  Even nog afgezien dat je daarbij een meer uitgebreide "wildcard" SSL certificaat moet inzetten om de meldingen van "onveilige website" te vermijden.

Voor "interne" (LAN) benadering bij je thuis van websites heb je geen VPN nodig.
Hooguit wil je anoniem het web op om "big brother is watching you" uit te sluiten.
Maar dat zit hem dan niet zozeer in de VPN-server verbinding met thuis, maar eerder met een VPN-verbinding via een externe VPN-service.

[Dutchy1502]

@Babylonia

Helemaal eens dat de functionaliteit van de WebVPN beperkt (lijken) te zijn.

Voordat ik de router kocht had ik ook al een OpenVPN server draaien waarmee ik verbinding met mijn thuisnetwerk kon maken.
Wat mij juist aantrok met de WebVPN is dat deze werkt zonder installatie van client software. Mijn idee is dus om de WebVPN op poort 443 te laten draaien waardoor ik vanuit elke locatie en PC verbinding kan maken met alle software van Thuis.
Deze mogelijkheid heb ik volgens mij niet met een van de andere VPN opties die jij beschrijft. Ik ben zeker geen expert op dit gebied dus misschien zit ik daar wel naast hoor.

Een nice to have voor mezelf is het instellen van RemoteApp op windows server. Hiermee kan ik dan als het ware een eigen cloud omgeving beschikbaar stellen door de WebVPN portal waarin ik alle programma's kan opstarten die ik wil, maar ik weet nog niet of dit werkt.
Al met al denk ik dat de WebVPN niet zozeer als vervanging hoeft te dienen voor de andere VPN opties, maar wel andere mogelijkheden biedt.

Overigens heb ik een workaround voor het certificaat. Ik heb de prefix van de WebVPN ingesteld op www. Hiermee wordt het certificaat geaccepteerd en kun je in ieder geval zonder error naar je portal gaan.

[Babylonia]

Mijn idee is dus om de WebVPN op poort 443 te laten draaien waardoor ik vanuit elke locatie en PC verbinding kan maken met alle software van Thuis.

Deze mogelijkheid heb ik volgens mij niet met een van de andere VPN opties die jij beschrijft.

Ik weet niet hoe je dat bedoelt met "alle software van thuis", maar ik vermoed met het standaard VPN Plus pakket, dan toch enkel die software die via een web-interface is te bedienen??  (Een andere connectie optie is er niet met "WebVPN").
En daarvoor hoef je nu juist helemaal niet die "WebVPN" voor in te zetten. Dat kan met elke conventionele VPN-verbinding.

Ik doe o.a. het systeembeheer bij een charitatieve organisatie. En benut de "normale" VPN-mogelijkheid juist speciaal om op afstand routers, managed switches, WiFi "straalverbinding", Access Points, en printers in te kunnen stellen. Daarvoor ga ik niet speciaal naar de organisatie toe, maar doe dat vanuit mijn eigen huis, of net waar ik op dat moment ben (met een tablet die ik bij heb), mocht er een probleem zijn.

De mogelijkheid om "Guacamole" als Remote Desktop in te zetten waar @aliazzz eerder naar refereert heb ik niet geprobeerd en heb er dus ook geen ervaring in. Maar wat ik erover lees vermoed ik dat "Guacamole" op zichzelf niet gerelateerd is aan het gebruik van een "WebVPN" optie van het VPN Plus pakket?
"all you need to access your desktops is a web browser." Eerder draaide het kennelijk al op een NAS. Die heeft helemaal geen "VPN Plus" opties.
Maar daar kan @aliazzz wellicht wat meer uitleg over geven.   (Overigens een beta "WebVPN" pakket gebruik ik niet).

Overigens heb ik een workaround voor het certificaat. Ik heb de prefix van de WebVPN ingesteld op www. Hiermee wordt het certificaat geaccepteerd en kun je in ieder geval zonder error naar je portal gaan.

Die methode had ik eerder met de testen die ik deed ook al ingezet voor "het portaal".  Maar geldt dan alsnog niet voor elke "random" prefix van elke aangeroepen web-pagina via "WebVPN".

[Dutchy1502]

Ik weet niet hoe je dat bedoelt met "alle software van thuis", maar ik vermoed met het standaard VPN Plus pakket, dan toch enkel die software die via een web-interface is te bedienen??  (Een andere connectie optie is er niet met "WebVPN").
En daarvoor hoef je nu juist helemaal niet die "WebVPN" voor in te zetten. Dat kan met elke conventionele VPN-verbinding.

Ik wil de WebVPN inzetten om verbinding te maken met een RemoteApp server via een webportal. Op die manier kan ik veilig verbinding maken en de apps die geïnstalleerd zijn op mijn windows server gebruiken met elke thin client. Met een normale VPN kun je volgens mij niet met een willekeurig apparaat verbding maken zonder installatie van extra software toch?

Uiteraard zou ik de RemoteApp webportal ook direct beschikbaar kunnen maken door poort 443 te forwarden, maar zoals gezegd ben ik geen IT-expert en zeker niet op het gebied van beveiliging. Het lijkt mij dus veiliger een portaal vóór de RemoteApp webserver te hebben.

De mogelijkheid om "Guacamole" als Remote Desktop in te zetten waar @aliazzz eerder naar refereert heb ik niet geprobeerd en heb er dus ook geen ervaring in. Maar wat ik erover lees vermoed ik dat "Guacamole" op zichzelf niet gerelateerd is aan het gebruik van een "WebVPN" optie van het VPN Plus pakket?
"all you need to access your desktops is a web browser." Eerder draaide het kennelijk al op een NAS. Die heeft helemaal geen "VPN Plus" opties.
Maar daar kan @aliazzz wellicht wat meer uitleg over geven.   (Overigens een beta "WebVPN" pakket gebruik ik niet).

Dit is eigenlijk wat ik wil bereiken alleen heb ik nog weinig succes met het gebruik van Docker op mijn NAS. Met de functie in VPN server Plus (beta) wordt de resolutie beperkt en werk je volledig in een andere desktop. Met RemoteApp start je maar 1 programma op en heb je verder de desktop van het apparaat waarop je werkt.
Dat vind ik persoonlijk fijner werken.

Mbt het certificaat: daar kwam ik helaas ook achter, initieel is de foutmelding in ieder geval weg

@aliazzz
Heb jij de RDP functie in de VPN plus server werkend gekregen? De VNC optie werkt bij mij, maar met de RDP krijg ik de melding "er is een fout opgetreden" maar via een PC kan ik wel middels RDP inloggen op de desbetreffende server.

[Babylonia]

Ik wil de WebVPN inzetten om verbinding te maken met een RemoteApp server via een webportal. Op die manier kan ik veilig verbinding maken en de apps die geïnstalleerd zijn op mijn windows server gebruiken met elke thin client. Met een normale VPN kun je volgens mij niet met een willekeurig apparaat verbding maken zonder installatie van extra software toch?

Een webportal is een webportal.  In principe heb je daar alleen een webbrowser voor nodig.
Maar omdat het wellicht enkel achter een afgeschermd LAN netwerk is op te roepen, moet je dus eerst "binnen je eigen systeem zijn."
Dat kan met elke conventionele VPN verbinding.   Niet anders dan wat ik doe met routers, switches, Access Points, printers....
Je gebruik in dat geval "als je binnen bent" alleen de lokale IP-adressen van de web interfaces van die apparaten.

Zo gauw je de VPN-verbinding verbreekt, is ook alle connectie met al die apparaten verbroken.
Het is dus of het een of het ander. Dat geeft IMO meer overzicht en duidelijkheid hoe je verbindingen lopen, dan afwisselend het ene tabblad in een webbrowser wel onder VPN, en het andere weer niet.

[Dutchy1502]

Helemaal eens, enig verschil is dat je met de conventionele VPN extra software of instellingen moet maken en dat bij voorkeur dus op eigen hardware instelt.
Door de WebVPN is dat niet nodig.

[Babylonia]

Alleen voor OpenVPN moet je een extra stukje software installeren. De andere VPN-mogelijkheden zijn standaard ingebakken bij elk OS.
Waarbij aangetekend dat je om veiligheidsredenen PPTP beter niet kunt gebruiken.

Verder bij WebVPN de onzekerheid dat de ene tab in de browser beveiligd is, en de andere niet, is vanuit veiligheidsoverwegingen IMO een aanzienlijk zwaarder wegend nadeel, dan het nadeel eenmalig een stukje software te moeten installeren. Dat valt daarbij in het niet.  Dat nadeel in "schijn"veiligheid van WebVPN lijkt praktisch gezien van een min of meer vergelijkbare orde als het gebruik van PPTP. Alleen bij uitzondering als je zelf geen PC bij de hand hebt en afhankelijk bent van een PC die je even ter beschikking wordt gesteld kan WebVPN een "noodoplossing" zijn.

[Dutchy1502]

Doorgaans zal ik gewoon gebruik maken van mijn eigen hardware met ingestelde vpn zoals jij ook schrijft.
Maar het komt ook regelmatig voor dat ik geen eigen hardware bij heb en toch bij mijn LAN wil kunnen. Daar is dan webvpn handig voor.

Overigens is de onzekerheid geen issue als ik naar portals in je LAN verbind. Omdat ze benaderbaar zijn via WebVPN zorg ik dat ze vanaf WAN niet te benaderen zijn. Dan weet je dus altijd zeker dat je over VPN verbonden bent.

Zoals ik eerder zei, ik geloof niet dat WebVPN een vervanger is, maar het biedt wel extra mogelijkheden die nuttig gebruikt kunnen worden