Zugriff auf SMB Freigabe durch VPN

[shoa66]

Hallo zusammen,

habe bei mir im Netz (192.168.16.0/24) eine Synology NAS (192.168.16.5) stehen.
Mein Büro hat das 192.168.17.0/24 Netz.

Beide Netze sind via Fritzbox VPN miteinander verbunden.
Ich kann jeweils vom .16 Netz auf Geräte oder Dienste im anderen Netz zugreifen. Ebenso anders herum.

Was allerdings nicht funktioniert ist wenn ein PC aus dem .17 Netz via SMB auf meine Freigabe (\\192.168.16.5\media)zugreifen will.

Via Webinterface komme ich ganz normal auf die NAS.

Ich vermute, dass ich iwo in der NAS den Zugriff von anderen Netz freischalten muss. Weiß aber nicht wo. Jemand einen Tipp?

 

[chrigu]

Hat das synology Ding die neuste Firmware? Spontan würde ich mal smb1 in den Raum stellen, was seit geraumer Zeit von Windows wegen groben sicherheitslücken deaktiviert wurde.

 

[shoa66]

Die Synology hat per default nur smb 2 und 3 zugelassen. Habe nichts verstellt.
Firmware ist aktuell.

Also die Route funktioniert wunderbar.
PC (192.168.17.119)
Über Gateway 192.168.17.1
VPN zu 192.168.16.1
weiter zu NAS 192.168.16.5

 

[Bob.Dig]

Die Windowsfirewall mal deaktivieren und berichten.

 

[shoa66]

Guter Ansatz, hat aber leider nichts geholfen

Ergänzung (13. September 2020)

Habe noch ein weiteres Netz: 192.168.15.0/24 das mit 192.168.16.0/24 via Ubiquiti Edgerouter verbunden ist.
Hier ist also keine VPN dazwischen sondern nur der Ubiquiti Router --> hier kann per SMB zugreifen.

Dafür spricht eigentlich, dass es nicht an der Synology liegen kann. aber ich habe keie Idee mehr was es sein könnte.

 

[Bob.Dig]

Wie ist denn die Firewall für VPN auf dem NAS konfiguriert? Alles erlauben?

 

[Raijin]

Da SMB prinzipiell für eine rein lokale Nutzung entwickelt wurde und nicht zB direkt ins Internet gehört, sind die dafür nötigen Ports am SMB-Server in aller Regel auf das lokale Netzwerk beschränkt. Das sieht man zB in der Windows Firewall, wenn man bei den eingehenden Regeln nach SMB sucht und dort in der Regel steht "Local subnet only".


Beispiel (gekürzte IPs):

Beim Zugriff auf den Webserver des NAS kommt beim NAS (.16.5) eine Anfrage von einem PC aus dem Büronetz (.17.89). Das NAS prüft die eigene Firewall und da steht drin "Webserver darf von überall genutzt werden". Das heißt konkret, dass die IP-Adresse des Absenders "beliebig" sein kann, also eben auch aus einem anderen Subnetz.
Beim Zugriff auf die SMB-Freigabe steht diesmal aber in der Firewall "SMB darf nur aus dem lokalen Subnetz aufgerufen werden". Ergo: Nur Absender-IPs mit .16.x dürfen SMB nutzen, die Anfrage vom Büro-PC kommt aber von einer .17.x und die NAS-Firewall macht "zu".

Prüfe daher in den Einstellungen des NAS ob es unter der Rubrik Firewall, Sicherheit, o.ä. die Möglichkeit gibt, die SMB-Freigaben auch für vermeintlich fremde Absender zuzulassen. Das kann zB ein banaler Haken sein "Auch Zugriff von extern erlauben" oder ggfs durch die Eingabe von vertrauenswürdigen Subnetzen.


Mit ein bischen Glück meldet sich hier auch noch ein Synology-Experte, der genau weiß wo der Haken sitzt. Deswegen gehört im übrigen die Angabe um welches NAS es sich handelt auch in den allerersten Beitrag, ganz oben, ggfs sogar in das Topic und nicht erst irgendwo mitten im Thread.

 

[shoa66]

Wie ist denn die Firewall für VPN auf dem NAS konfiguriert? Alles erlauben?

Bei AVM kann man da relativ wenig einstellen. Also mir ist da nichts bekannt das ich da iwas einstellen könnte.

@Raijin
Das ist auch meine erste Vermutung gewesen aber das würde dem Zugriff aus dem .15 Netz widersprechen.
Zudem habe ich auch in der Synology nichts vergleichen gefunden :/

Wenn hier ein Synology Experte wäre.... Wäre ein Träumchen.

Speziell mit der neuen FritzOS >7.20 ist der VPN-Durchsatz so gut geworden und man muss kein Ultra Experte sein.

 

[shoa66]

Update:
Via Software VPN von AVM geht der Zugriff
Bei der VPN zwischen den beiden 7590 ist kein Zugriff möglich.

Via Software VPN bekomme ich auch eine Adresse aus meinem Netz.

Noch jemand eine Idee?

 

[shoa66]

Habe mich mal an den Hersteller gewandt und werde mich melden wenn es etwas neues gibt.

 

[shoa66]

die VPN war schuld. Haken gesetzt und ging.