Mit iPad auf NAS zugreifen von Unterwegs

[dooz]

Moin zusammen,

ich habe mir ein iPad Air gekauft und würde gerne von unterwegs auf meinen NAS zugreifen. Unterwegs beudetet aus dem WLAN meiner Arbeit, mobiler Hotspot, oder bei Freunde und Familie.

Ich denke ein VPN nach Hause wäre das sinnvollste. Nur wie bastel ich mir das?
Grundkenntnisse im VPN habe ich, aber keine Ahnung wie ich das auf meinen Geräte zum laufen bekomme und welche Technik ich nutzen sollte.

Als Router habe ich einen TP-Link Archer VR600v v2 und eben ein iPad Air. Internet ist VDSL.

Jetzt habe ich durch DSL natürlich auch keine statische WAN-IP. Müsste ich dann DDNS nutzen?
Ich habe damit kurz rumgespielt, doch sobald ich ein DDNS (no-ip.com) auf meinen Router richte, komme ich bei aufrufen der Adresse direkt auf das Interface von meinem NAS. Würde zwar mein Problem lösen, nur möchte ich ungern mein NAS im Internet stehen haben. Soweit ich das sehe hat das wohl irgendwas mit UPnP zutun (???).

Wäre super wenn jemand hier vielleicht einen Denkanstoß hat.
Würde das auch gerne auf mehreren Rechner einrichten, sodass ich über meinen NAS einen Datenaustausch zwischen den Geräte habe.

 

[chrigu]

Naja. Wenn man VPN und Tp-Link Archer vr600 in die suchmachine deines Vertrauens eingibt kommen als erste drei Treffer direkt Videos von Vodafone.
und bei ipvsec auf iPad.... gibt es ein paar einzelne Treffer..

wenn du danach keine Verbindung kriegst, können wir dir gerne weiterhelfen.

 

[snaxilian]

Wenn man nicht weiß und versteht was UPNP da anrichtet und die Auswirkungen davon dann sollte man dieses Feature gefälligst im Router deaktivieren. Ganz offensichtlich ist den NAS aufgrund dessen bereits öffentlich aus dem Internet erreichbar.

 

[flo222]

Grundsätzlich hast Du die Möglichkeit, auf deinem NAS einen VPN Server laufen zu lassen. Im Router die entsprechenden Ports freigeben, alle anderen bleiben geschlossen. Dann mit DynDNS auf deinen heimischen VPN Server zugreifen und damit solltest Du dann auch auf deinen NAS kommen. Alternativ das VPN über den Router einrichten, sofern der TP Link das kann. FritzBoxen können das, wenn auch nicht so richtig überzeugend.

UPnP aber auf jeden Fall ausschalten, die Ports von Hand freigeben, sonst fehlt jegliche Kontrolle darüber.

 

[dooz]

@snaxilian @flo222
ohhhhh..... ja, da habt ihr Recht. Ich hab UPnP mal ausgeschaltet.

@flo222
Aber macht es nicht mehr Sinn den VPN auf den Router laufen zu lassen, damit erst garkein offener Port ins LAN führt?
Außerdem hätte ich so zugriff auf das gesamte LAN und nicht nur den NAS. Ich weiß zwar noch nicht so genau warum ich das brauchen könnte, aber es fühlt sich nach der "korrekteren" Lösung an.

Oder spricht was dagegen den Tunnel auf den NAS terminieren zu lassen?


@chrigu
Per google habe ich es gestern Abend noch probiert.

Es gibt nur ein Protokoll was beide Geräte unterstützen - IPsec.

Bei IPsec habe ich am Router das Problem, dass ich eine feste TunnelDestination angeben muss.
Außerdem bin ich auf diesen Hinweis im TP-Link Tutorial gestoßen:

"2. Wenn eine Site für eine Weile offline war, z. B. wenn Site A getrennt wurde, müssen Sie auf Site B auf Disable klicken und dann nach Site A online auf Enable klicken, um das IPSec erneut einzurichten Tunnel. "
(statischer Site-To-Site Tunnel)

Solch ein Verhalten wäre für mich ja überaus blöd. Der Tunnel wird ja ständig down sein wenn das iPad nicht in Benutzung oder online ist.


Der Router unterstützt noch PPTP, was aber wohl unsicher sein soll und vom iPad auch nicht unterstützt wird.
Bei OpenVPN ist es genau anders herum. Router hat es, iPad nicht.

 

[chrigu]

PPTP ist anfällig, deshalb nicht benutzen.
ja wenn xy Minuten nicht mehr benutzt, muss man neu einloggen. Kann sein, dass dadurch deine Provider ip ungültig wird, deshalb ist ein ddns nötig (bei ipv4). Hast du eine Synology oder qnap Kiste benutz den eingebauten VPN und den eingebauten ddns Dienst. Später , falls du wirklich dein komplettes Netzwerk im Internet haben willst (potentielles Risiko wird erhöht) kannst du den Router benutzen.

 

[snaxilian]

@chrigu Wobei oft genug auch mit den VPN-Lösungen auf einem NAS nicht nur das NAS sondern das gesamte interne LAN erreichbar gemacht wird.

@dooz Ein offener Port ist per se erst einmal weder gut noch schlecht, relevant ist immer die Anwendung dahinter. Ist diese falsch konfiguriert oder hat eine Sicherheitslücke, die nicht durch ein Update oder Patch geschlossen wird ergibt sich daraus ein Risiko. Dies kann ein VPN-Serverdienst auf einem NAS sein aber auch auf dem Router. Pauschal kann man das nicht beantworten was besser oder sicherer ist sondern es kommt auf die Konfiguration an und ob die restlichen Systeme auf andere Art und Weise noch geschützt sind etc.

 

[dooz]

ja wenn xy Minuten nicht mehr benutzt, muss man neu einloggen. Kann sein, dass dadurch deine Provider ip ungültig wird, deshalb ist ein ddns nötig (bei ipv4).

Das wäre ja noch ok, aber soweit ich das verstanden habe, müsste ich auf beiden Seiten den Tunnel wieder starten. Das ist von unterwegs ja eher nicht so einfach ohne Tunnel nach Hause.


Ich habe eine Qnap TS-231.
Ok, dann werde ich es heute Abend mal versuchen den Tunnel direkt zum NAS zu bauen. DDNS ist ja kein Problem, das macht der Router anstandslos.

Kurz noch zum Verständnis:

Ich mache einen DDNS-Eintrag zu meinem Router. Auf meinem Router mache ich ein Portforwarding (z.B. OpenVPN UDP 1194) zu meinem NAS.
Auf dem NAS konfiguriere ich einen VPN mit dem sich dann mein Gerät aus dem Internet per DDNS verbinden kann.
Soweit korrekt?

 

[snaxilian]

soweit ich das verstanden habe, müsste ich auf beiden Seiten den Tunnel wieder starten.

Das bezieht sich auf site-to-site VPNs, du willst aber ein client-to-site VPN realisieren. Den Unterschied findest du gut erklärt im Elektronik Kompendium.

 

[dooz]

Ich habe es gestern Abend nochmal probiert, bekomme es aber nicht zum laufen.
Ich versuche es aktuell mit L2TP.

Der DDNS zeigt auf meinen Router. Im Router ist eine Portweiterleitung für 1701/UDP auf den NAS eingerichtet. Hab dann testweise noch Port 500 und 4500 UDP freigegeben, brachte aber auch nichts.

Auf dem NAS habe ich anschließend noch einen extra VPN-User angelegt, dem L2TP erlaubt ist. Im Router habe ich auch noch ein "L2TP-Passthrough" gefunden und aktiviert.
Allerdings bekomme ich keine Verbindung zustande.


Ich habe es jetzt mit meinem Handy aus dem Vodafone-Netz probiert und aus einem öffentlichen WLAN. Ich möchte nicht ausschließen, dass es aus den Netzen ggf. nicht funktioniert oder blockiert wird, aber ich denke eher das ich einen Fehler gemacht habe