DiskStation ipv4 - ipv6

[DLMttH]

Na da haben wir es ja. Also nutzt du doch DS-Lite. In dem Fall musst du dann tatsächlich die vorgeschlagenen Ports nehmen.

Solltest du aber nicht, da das so oder so ein gewaltiges Sicherheitsrisiko war und ist.
Richte dir Wireguard VPN ein und greif darüber auf deine Sachen zu. Die Portfreigaben kannst du dann alle löschen.

 

[00Julius]

Richte dir Wireguard VPN ein und greif darüber auf deine Sachen zu.

Die Option habe ich bislang noch nicht richtig auf dem Schirm, da ich eine 7490 habe und die Möglichkeit mit Wireguard daher erst seit dieser Woche habe.

 

[dideldei]

Na da haben wir es ja. Also nutzt du doch DS-Lite. In dem Fall musst du dann tatsächlich die vorgeschlagenen Ports nehmen.

Ok, Dankeschön für die Antwort

Warum ich allerdings den NAS nicht von aussen erreichbar machen solle, sondern nur mit einer VPN 3. Anbieter ist mir schleierhaft. Ich nutze die hauseigene VPN von Synology Und das NAS ist sorgfältig eingerichtet. Sicherlich ist meine DSM über https erreichbar aber das stellt für mich eher ein kleines Risiko da, da einige Sachen wie Benutzer(Standart Benutzernamen) deaktiviert sind und nur verschlüsselte Dienste genutzt werden.

 

[DLMttH]

da ich eine 7490 habe

Die ganze Portweiterleitung habe ich auf den neuen Router

Dass es sich bei deinem neuen Router um ein solches Altertümchen handelt, hätte ja gar keiner ahnen können. Gibt es dafür einen bestimmten Grund? Die schafft ja kaum die 500 Mbit/s auszulasten, die du bezahlst....

Ergänzung (29. Juli 2023)

Sicherlich ist meine DSM über https erreichbar aber das stellt für mich eher ein kleines Risiko da

Ob das ein Risiko darstellt, oder nicht, bestimmst du leider nicht selbst. Nutzt du eine Zwei-Faktor-Authentifizierung oder nicht?

 

[dideldei]

du kannst aber über IPv6 und der Nas-eigenen vpn (QNAP, Sinology,ASUS usw.) bequem und sicher deine Daten von überall zugreifen.

Hallo,

ich muss den ehemaligen Port 1194 ja trotzdem freigeben, um den Vpn Server ansprechen zu können. Steht auch im ersten Post (VPN)

@ everyone
Warum ist jetzt notwendig, das Dual Stack zu erzwingen? Wenn ipv4 abgeschafft wird, ist man doch auf 6 angewiesen. Woher kommt diese Empfehlung? Weil jetzt klappt gar nichts mehr, trotz der Umstellung des ipv6‘s.

 

[DLMttH]

Es ist überhaupt nicht notwendig, Dual Stack zu erzwingen. Es ist aber ebenso nicht notwendig, sich sein Heimnetz in ein Botnet umwandeln zu lassen, weil man mehrere Ports geöffnet hat und eines der Produkte eine schwerwiegende Sicherheitslücke hat und du bekommst es nicht rechtzeitig mit.

Falls du nicht alle deine Sachen mit einer Zwei-Faktor-Authentifizierung oder PKI absichern kannst, solltest du ausschließlich per VPN auf diese Dinge zugreifen und wie es zur Verwendung einer 7490 als "neuer" Router an Glasfaser gekommen ist, ist auch ein bisschen seltsam.

 

[dideldei]

Das Ports freigegeben werden müssen, ist für mich jetzt kein Problem, wie zum Beispiel ehemals https für 5001. Wer sich damit nicht beschäftigt, sollte natürlich die Finger davon lassen, da hast du Recht. Die Botnets überprüfen Standard Benutzer die gesperrt sind und es ist mit einem 16stelliges PW versehen mit Sonderzeichen, Grossbuchstaben und zahlen. Bei einem gezielten Angriff ist es natürlich immer gefährlich aber das sind Zielgruppen wie mich nicht. Es sind ausgewählte Ports für Dienste die immer verschlüsselt sind und die Sicherheit von Synology ist gut und wird mit Updates gepflegt, darum sind sie ja im semi Pro Einsatz zu sehen. Ich nutze es seit 6 Jahren.


Woher kommt diese 7490? Ich empfange 520 down und 120 up (gebucht 500) und nutze eine 7590er.

Aber trotzdem ist jetzt mein Problem nicht gelöst, seit Glasfaser und für eine Alternative Rückentwicklung zu ipv4 kommt für mich (erstmal) nicht in Frage.

 

[00Julius]

Dass es sich bei deinem neuen Router um ein solches Altertümchen handelt, hätte ja gar keiner ahnen können.

Da hast du mich und @dideldei verwechselt.
Hättest du aber auch beim Zitieren sehen können.

 

[DLMttH]

Sehen kann nur, wer richtig guckt

Sorry an euch beide!

 

[Web-Schecki]

Aber trotzdem ist jetzt mein Problem nicht gelöst, seit Glasfaser und für eine Alternative Rückentwicklung zu ipv4 kommt für mich (erstmal) nicht in Frage.

Was genau ist denn das Problem? Über IPv4 musst du die angegebene Portrange benutzen. Über IPv6 kannst du (wahrscheinlich) beliebige Ports freigeben.
Grund ist, dass bei DS-Lite die öffentliche IPv4-Verbindung nicht bei dir zuhause per NAT terminiert wird, sondern bereits beim AFTR deines Anbieters und den teilst du dir mit anderen Kunden.

 

[00Julius]

Aber trotzdem ist jetzt mein Problem nicht gelöst, seit Glasfaser und für eine Alternative Rückentwicklung zu ipv4 kommt für mich (erstmal) nicht in Frage.

Genau dafür hat AVM seit der Firmware 7.5x den Wireguard VPN-Support eingeführt.
https://avm.de/service/vpn/wireguard-vpn-zur-fritzbox-am-computer-einrichten/

Es sind dann keine Portfreigaben mehr nötig.
Das wurde schon von @DLMttH in Beitrag #21 vorgeschlagen.

 

[dideldei]

Was genau ist denn das Problem? Über IPv4 musst du die angegebene Portrange benutzen. Über IPv6 kannst du (wahrscheinlich) beliebige Ports freigeben.
Grund ist, dass bei DS-Lite die öffentliche IPv4-Verbindung nicht bei dir zuhause per NAT terminiert wird, sondern bereits beim AFTR deines Anbieters und den teilst du dir mit anderen Kunden.

Guten Morgen @ everyone

Das ich mein NAS nicht mehr erreiche, seit dem ich den Glasfaser-Anschluss nutze. Die Portrange habe ich übernommen.

Anbei ein Beispiel aus der Fritzbox.

Früher bei ip4v hat der Port 5001 funktioniert für das https. Mit den neuen vorgeschlagenen Ports funktioniert es nicht (in der DSM/DS2018play habe ich den Port ebenfalls angepasst)

Thema: WireGuard. Ich muss mit jedem Gerät ein Tunnel nutzen, um dann meine VPN(openvpn) von Synology nutzen zu können?, dessen Client ich schon auf jeden Gerät nutze. D.s macht für mich keinen Sinn oder ich übersehe etwas.

 

[Web-Schecki]

Das ich mein NAS nicht mehr erreiche, seit dem ich den Glasfaser-Anschluss nutze. Die Portrange habe ich übernommen

Wie genau versuchst du das? Du musst jetzt die IPv4-Adresse des AFTR benutzen und natürlich den freigegebenen Port aus deiner Range.

 

[Engaged]

Thema: WireGuard. Ich muss mit jedem Gerät ein Tunnel nutzen, um dann meine VPN(openvpn) von Synology nutzen zu können?, dessen Client ich schon auf jeden Gerät nutze. D.s macht für mich keinen Sinn oder ich übersehe etwas.

Warum zwei VPN nutzen?
Nimm das modernere Wireguard und gut ist. 🤷🏻‍♂️

 

[00Julius]

Nochmals:
Du hast keine aus dem Internet erreichbare ipv4-Adresse mehr. Daher funktionieren deine bisherigen Portweiterleitungen nicht mehr.
Nun hast du mMn folgende Möglichkeiten:

• auf ipv4 bleiben und dir entweder beim Provider oder einem Dienstleister eine kostenpflichtige ipv4-Adresse zu buchen
• dein OpenVPN auf ipv6 umstellen
• WireGuard anstatt OpenVPN nutzen

 

[Web-Schecki]

Nochmals:
Du hast keine aus dem Internet erreichbare ipv4-Adresse mehr. Daher funktionieren deine bisherigen Portweiterleitungen nicht mehr.

Doch, die funktionieren weiterhin, aber er muss die vom Provider zugewiesenen Ports aus der Range 9836-9855 nehmen, die am AFTR für ihn freigegeben sind. Und natürlich die IPv4-Adresse des AFTR, denn sein Router zuhause ist nur per IPv6 angebunden.

 

[dideldei]

Ich nutze eine dy

Wie genau versuchst du das? Du musst jetzt die IPv4-Adresse des AFTR benutzen und natürlich den freigegebenen Port aus deiner Range.

Ich nutze eine DDNS und jetzt fällt mir auf, dass dieser Hostname gar nicht erreichbar ist (cmd/ping) aber in der DDNS ist der Verbindungstest grün "normal".

Der Quickconnect zu meiner DMS funktioniert problemlos, nur nicht per Hostname

Nochmals:
Du hast keine aus dem Internet erreichbare ipv4-Adresse mehr. Daher funktionieren deine bisherigen Portweiterleitungen nicht mehr.
Nun hast du mMn folgende Möglichkeiten:

• auf ipv4 bleiben und dir entweder beim Provider oder einem Dienstleister eine kostenpflichtige ipv4-Adresse zu buchen
• dein OpenVPN auf ipv6 umstellen
• WireGuard anstatt OpenVPN nutzen

Nach meinen jetzigen Stand, habe ich nur Einschränkungen nach der Umstellung. Beim normalen ipv4 habe ich jahrelang keine Probleme gehabt und es war alles einrerichtet und lief tadelos.. Da nützt mir meine große Leitung im Glasfaser jetzt auch nichts mehr. Schrecklich, dass ich mir jetzt eine kostenpflichtige ipv4 Adresse mieten muss. Das werde ich dann wohl tun.

 

[Web-Schecki]

Schrecklich, dass ich mir jetzt eine kostenpflichtige ipv4 Adresse mieten muss.

Musst du überhaupt nicht, wenn du damit leben kannst, die Ports aus der range zu verwenden, die dir bereitgestellt wurde.

Ich nutze eine DDNS und jetzt fällt mir auf, dass dieser Hostname gar nicht erreichbar ist

Also das klingt eher nach einem DNS-Problem. Auf welche IP zeigt der DNS-Eintrag? Klappt der Zugriff direkt per IP-Adresse?