Keine Verbindung zur Synology DS im Büro (OpenVPN)

[Raijin]

Sorry, aber damit kann ich nichts anfangen. Ich frage nach nslookups von 3 Standorten (3x2=6) und du postest einen einzigen ohne Angabe was wie wo.

 

[tujay]

Habe mir die IP (WAN Fritzbox) aus dem Büro notiert! Dann den Laptop wieder per Hotspot ins O2 Netz gejagt und den nslookup gemacht... da kam dann die richtige IP bei rum

 

[Raijin]

Dann das gleiche nochmal von @home. Wichtig: Wirklich beide nslookups checken. Der erste ohne IP nimmt den lokal eingestellten DNS (meistens der Router) und der zweite nslookup inkl. IP (8.8.8.8) nimmt explizit den google-public-dns.

Du kannst im OpenVPN-Client auch das Logging aufbohren und den Wert für "verb" höher setzen. Evtl. kommen da weitere Fehlermeldunge.

 

[chrigu]

Nach chrigu's Aussagen müsste man ja glauben man könnte mit DS-Lite nicht mal surfen, weil die anderen Kunden ja gleichzeitig surfen...

ich hab es vielleicht zu einfach geschrieben....
der kabel-provider benennt die ports die für alle ds-lite benutzer offen sind... ports 20, 21, 80 und 433 werden für alle geöffnet... sobald aber ein anderer port (hier im beispiel 1094) benutzt wird, ende-geländer

das ist alles eine kostenfrage.

deshalb: entweder ipv4 verlangen, 6to4tunnel oder auf ipv6 umstellen.

 

[tujay]

Habe in den DS Einstellung mal nach WOL Optionen für die VPN Verbindung gesucht aber nix gefunden... werde den Gedanken in die Richtung einfach nicht los....

So... habe nun gewartet das die DS im Ruhemodus ist. Wlan am Notebook und Handy getrennt. O2 angeschmissen. Hotspot am Laptop verbunden und siehe da... es geht. NAS fährt aus dem Ruhezustand hoch.

Nun werde ich es später wieder zuhause testen. Wenn es dann dort nicht geht bin ich mit meinem Latein am Ende...!! Einzig vllt. noch das der DDNS Dienst nicht richtig aktualisiert... wobei dann das pingen ja nicht ginge!?

Oh man... schwieriges Unterfangen

 

[Raijin]

der kabel-provider benennt die ports die für alle ds-lite benutzer offen sind... ports 20, 21, 80 und 433 werden für alle geöffnet... sobald aber ein anderer port (hier im beispiel 1094) benutzt wird, ende-geländer

Selbst wenn dem so wäre - was ich im übrigen nicht 100% glaube, weil hier im Forum schon Leute erfolgreich VPN hinter Kabelinternet zum Laufen gebracht haben - ist es eine Sache von 30 Sekunden, den Port des VPNs zu ändern. Mindestens die Standard-Surf-Ports sind frei. Wenn irgendwelche Ports von Würmern geblockt werden, ist das Jacke wie Hose, gibt genug Alternativen (genauer gesagt 65535).

Wenn Port 53, 80, 443 oder andere Standard-Ports vom Provider ausgehend geblockt werden, kann man keinen public DNS mehr verwenden, nicht mehr richtig surfen und schon gar kein Online-Banking, o.ä. machen. Auch Webmail funzt dann nicht mehr. Wenn ein Provider das macht, hat er binnen 3 Monaten keine Kunden mehr.

Ich nutze mein OpenVPN auch nicht auf dem Default-Port, sondern nutze einen anderen, weil ich beruflich viel unterwegs bin und es nicht riskieren will, irgendwann mal hinter nem Portblock zu hängen.


@TE: Der Test mit nslookup hat zwei Gründe. #1 hast du schon abgehakt, DDNS ist korrekt aktualisiert worden. #2 ist ob der DNS, der bei dir zu Hause eingestellt ist, das auch mitbekommen hat. Daher einmal der Test mit dem eingestellten DNS und einmal explizit mit google-public-dns. Letzterer sollte das auf jeden Fall mitbekommen haben.

 

[chrigu]

die meisten mit kabel-internet, die server betreiben oder mit der ds-lite problematik zu tun hatten, haben eine ipv4 adresse, entweder über "nett fragen" oder business-tarif..
das kannst du selber nachforschen, hier.. entweder geht es um konsolen, die auf strikt bleiben oder solche die von kabel-internet zu einem server mit port soundso verbinden wollten.... ist jacke wie hose...

 

[Raijin]

Wenn der Provider bei DS-Lite (ausgehende) Ports blockt, warum sollte er das bei IPv4 nicht tun? Es geht dabei nicht um Geld, sondern um Sicherheit. Viele Provider blocken ganz gezielt bestimmte Ports, weil sich darüber Würmer oder andere Malware verbreitet. Nicht zuletzt wird damit auch versucht, Filesharing zu unterbinden. In dem Falle würden aber auch bei einer eigenen IPv4 exakt dieselben Ports geblockt. Nur weil man eine eigene IPv4 hat, hängt man nicht direkt im Internet, sondern immer noch im Netzwerk des Providers - wie bei DS-Lite auch. Denk dran, hier geht es um ausgehende Verbindungen aus einem Kabelanschluss, nicht um eingehende! Das sind zwei Paar Schuhe..

 

[tujay]

So... ich bin nun zuhause und es funktioniert!! Ich habe zwar keinen blassen Schimmer warum, aber es geht. Und ich kann auch nur auf die DS zugreifen (Netzlaufwerk oder Weboberfläche). Kein Internet (das läuft über KD) und auch keinen Zugriff auf die Fritz Box!

Allerdings würde ich gerne verstehen was genau nun passiert und was falsch war...

Jedenfalls kann es ja nun offensichtlich nicht an der IPv6 Geschichte liegen...

 

[Raijin]

Ich vermute dein ddns hat zwischenzeitlich nicht mehr korrekt funktioniert. Kann Zufall gewesen sein. Deshalb habe ich auf meinem server 4 ddns parallel, als fallback, wenn einer mal aussteigt.

 

[tujay]

Das werde ich dann auch mal in Angriff nehmen

Kommt die DS denn damit klar?

 

[Raijin]

Da bin ich ein bischen überfragt. Ich habe bei mir einen Linux-Sever laufen und habe mir für diesen Zweck eigene Scripte geschrieben - auch wenn's nicht zwingend nötig gewesen wäre

Hier im Forum kam allerdings mal ein sehr cooler Tip:

https://www.dnsomatic.com/

Das ist auch ein DDNS-Dienst, der aber weitere DDNS mit einem Abwasch gleich miterledigt. Heißt: Man gibt dort zB einen no-ip Account mit an und dann werden gleich beide aktualisiert. Klar, wenn dnsomatic mal ausfällt, sind die Dienste auch alle weg..
Prinzipiell sind ddns aber relativ zuverlässig. Ich nutze sowas seit ca 8-10 Jahren und hatte bisher erst 3-4 Ausfälle, die ich bemerkt habe. Dennoch ist es doof, wenn es gerade dann passiert, wenn es am wenigsten passt

Allerdings bin ich mir nicht sicher ob die DS von Haus aus benutzerdefinierte DDNS-Provider zulässt. Falls nicht, gibt es aber 100% Scripte in der Community, die das erledigen. Zur Not etwas in den Wikis und Foren der DS suchen.

 

[tujay]

Ok, werde mich damit mal beschäftigen.

Nun habe ich aber festgestellt, dass ich wenn ich mit dem VPN verbunden bin zwar weiter übers Heimnetz surfe aber im Büro-Lan doch auf jede IP zugreifen kann (FritzBox, Drucker etc). Kann man das noch konfigurieren?

 

[Raijin]

Schau mal in der DS nach. Da müsste es eine Option geben, die "Clients den Server-LAN-Zugriff erlauben" oder so ähnlich lautet.

 

[tujay]

Das habe ich schon getestet... wenn ich den Haken wegnehme, dann verbindet OpenVPN zwar aber ich kann nicht mehr auf die DS zugreifen

 

[Raijin]

Die Frage ist wie du auf die DS zugreifen willst. Klar, wenn du die lokale IP verwendest (zB 192.168.123.254), dann kann es sein, dass die DS das blockt, weil diese IP ja im lokalen LAN ist, das geblockt werden soll - auch wenn das die DS selbst ist. Wenn du aber die VPN-IP verwendest (zB 10.8.0.1), dann müsstest du draufkommen.
Schau mal in den VPN-Einstellungen nach welches VPN-Subnetz verwendet wird. 10.8.0.0 ist OpenVPN-Standard, kann aber beliebig geändert werden. Die DS als VPN-Server hat dabei stets die *.1

Statt im Browser dann "192.168.123.254" einzugeben, gibst du eben die "10.8.0.1" ein.