VPN über Diskstation oder Fritzbox

[PillenJoe]

Guten Abend!
Ich möchte mein Synology DS 923+ über VPN von Aussen erreichbar machen. Mache ich das besser über die Diskstation oder über die FritzBox (5530 Fibre) ?

Bin dankbar für jeden Aspekt, der da zu bedenken ist!

 

[Christian1297]

Ich würde es über die FRITZ!Box machen. Die ist als Router sowieso schon aus dem gefährlichen Internet heraus erreichbar. Mit der Aktivierung des VPN Server, am besten die Wireguard Variante, öffnet sich nur ein weiterer Port der auf die FRITZ!Box zeigt und dein NAS bleibt vollständig unsichtbar hinter dem Schutz der Firewall.

Ein eventuell wichtiger Punkt ist natürlich auch das die FRITZ!Box quasi sowieso immer online ist. Das NAS kann man bei längerer Nichtnutzung schließlich auch mal abschalten oder sowieso nur zeitgesteuert einschalten.

 

[till69]

Mit der Aktivierung des VPN Server, am besten die Wireguard Variante, öffnet sich nur ein weiterer Port der auf die FRITZ!Box zeigt und dein NAS bleibt vollständig unsichtbar hinter dem Schutz der Firewall.

Ob der Wireguard UDP Port an der FB offen ist, oder zur NAS geleitet wird, ist eigentlich egal.

Würde aber auch FB sagen.

 

[chrigu]

Schau doch selber welche der zwei VPN die bessere datenrate hat. Ich könnte mir vorstellen, das die fritzbox wireguard schneller deine Daten überträgt als die deiner Nas

 

[Olunixus]

Ich habe beides - insbesondere im Ausland hatte ich öfter den Fall, das der eine Dienst Mal nicht funktioniert.
OpenVPN auf TCP 443 kann ich ebenfalls empfehlen. Performance ist eher mittelmäßig, aber man kommt auch in Hotspots mit der "nur Surfen und mailen erlauben"-Option ganz gut zurecht.

 

[PillenJoe]

Welche Bandbreite erlaubt denn der Prozessor der neueren Fritzboxen (wie der "5530 Fibre") bei einer VPN - Verbindung. Ist ja doch eine ganz schöne Rechnerei beim Ver- und Enschlüsseln!

 

[Christian1297]

So zwischen 100 und 200 Mbit/s sollten wohl drin seien. Aber teste es doch einfach selbst, so eine Verbindung ist ja in Sekunden erstellt.

 

[Raijin]

Die Hauptaufgabe eines Routers ist die Trennung und Sicherung des privaten Netzwerks vom Internet.

Die Hauptaufgabe eines NAS ist die Speicherung von Daten und deren Bereitstellung.



Natürlich wird nichts so heiß gegessen wie es gekocht wird. Ein VPN-Server auf einem NAS nebst passender Portweiterleitung im Router ist kein Weltuntergang und kann von der Performance her durchaus von Vorteil sein, weil NAS in der Regel stärkere CPUs haben als Router. Man muss sich aber darüber im Klaren sein, dass das dann nur das NAS zwischen dem VPN-Client und dem Heimnetzwerk steht, sofern VPN explizit keinen Zugriff auf das Heimnetzwerk haben soll - beispielsweise wenn man einem Kumpel VPN-Zugang zum NAS gibt. Die Firewall spielt bei einem NAS eine eher untergeordnete Rolle, weil es sich eben primär um einen Netzwerkspeicher handelt, nicht mehr und nicht weniger.

 

[PillenJoe]

Von der Performance spricht alles für das NAS, aber wie kann man rauskriegen wie sicher die Fiewall des NAS ist?

 

[Raijin]

Wenn eine Sicherheitslücke bekannt wird. Klingt blöd, ist aber so. Ich wollte damit auch nicht sagen, dass NAS-Firewalls per se unsicher sind, sondern nur, dass der Schutz des Netzwerks mittels Firewall auf der Prioritätenliste tendenziell irgendwo zwischen FTP und Kalender-Synchfunktion rangiert. Ein NAS ist eben kein Router

Das ist aber zugegebenermaßen meckern auf hohem Niveau. Mir ist aus dem Stegreif nichts dergleichen bekannt und bei Synology habe ich auch weit weniger Bauchschmerzen als bei NAS von Festplattenherstellern.... Synology hat ja eigene Router im Portfolio und sollte daher auch entsprechende Kompetenz im Haus haben.

 

[PillenJoe]

Ich habe beides - insbesondere im Ausland hatte ich öfter den Fall, das der eine Dienst Mal nicht funktioniert.
OpenVPN auf TCP 443 kann ich ebenfalls empfehlen. Performance ist eher mittelmäßig, aber man kommt auch in Hotspots mit der "nur Surfen und mailen erlauben"-Option ganz gut zurecht.

Jedes offene Türchen ist halt auch eine Sicherheitslücke.

 

[till69]

OpenVPN auf TCP 443 kann ich ebenfalls empfehlen

Ich lasse Wireguard auf UDP 443 laufen. Oftmals ist 443 nämlich komplett offen.
OpenVPN habe ich seitdem stillgelegt.

in Hotspots mit der "nur Surfen und mailen erlauben"-Option ganz gut zurecht

Fritzboxen sind im Ausland eher selten anzutreffen

 

[PillenJoe]

Fritzboxen sind im Ausland eher selten anzutreffen

FRITZ ist für das Ausland ja auch nicht der schlaueste Name - marketingmäßig.