QVPN Probleme in Verbindung mit QuFirewall

Hallo zusammen,

wie bereits vor etwas längerer Zeit in einem anderen Zusammenhang ausgeführt, haben wir weiterhin immense Probleme auf all unseren QNAPS, wenn es um das Thema VPN geht.

Gab es anfänglich noch immer wieder das Problem, dass die User z.T. TLS-Handshake-Erros bekamen, konnten wir diese nun so umgehen, dass wir in der von OpenVPN im QVPN erzeugten Konfigurationsdatei die IP der Fritzboxen gegen die öffentliche IP der NAS-Laufwerke ersetzten und so das Thema eher "umgingen", als wirklich lösten.

Dennoch - wo ein Problem gelöst wird, taucht ein anderes auf.

Weiterhin gibt es das Problem, dass die VPN-Nutzer z.T (also kein kanonisches Problem) nicht auf die NAS-Inhalte zugreifen können, obgleich sie sich mittels OpenVPN erfolgreich mit der NAS verbunden haben (dies wird in Win10 angezeigt und in der Übersicht der QVPN-Services sehe ich auch die eingeloggten Nutzer).

Trotzdem kommt beim Zugriff von Windows auf die IP oder den Namen der Freigabe die Fehlermeldung, dass die Location des Servers nicht aufgerufen werden kann.

Ich hatte vermutet, dass es allenfalls an der QuFirewall liegen könnte - und das hat sich insofern bestätigt, als dass bei deren Deaktivierung die User allesamt Zugriff haben:

s1.png

s2.JPG

Wie zu sehen ist, haben wir die entsprechende VPN-Regel erstellt und priorisiert.

Wenn wir die letzte Regel in der Liste, also "Deny All from Any" deaktivieren, dann erhalten wir Zugriff. Da ich aber die Regel "Allow any from Germany" über die letzte Regel gesetzt habe, nahm ich an, dass die unterste Regel keinen Ausschluss liefert. Oder verstehe ich das richtig wie eine Windows-Freigabe: Wenn ich dort einen User explizit für einen Zugriff ausschließe, dann negiert dies ja automatisch seine Zugriffsrechte und wird strikter gewichtet als eine Erlaubnis. Dann wüsste ich nur zu gerne, warum.

Auf der anderen Seite sollte die letzte Deny-Regel der QuFirewall EIGENTLICH gar keine Relevanz haben - schließlich befindet sich der User xy ja mittels erfolgreichem VPN-Zugriff auf der NAS - oder ist die VPN-Instanz nur so ne Art "Warteraum" und die Firewall fängt dann auch die Anfragen von dort ab, weil es ein virtualisiertes Netzwerk "vor" der physischen NAS ist?

Also beim besten Willen - keine Ahnung mehr was wir machen sollen. Auf QuFirewall wollen wir nicht verzichten, da sie massiv an Anfragen abfängt - natürlich wäre eine externe bzw. separate Firewall besser und ja das planen wir in Zukunft auch. Dennoch muss es erstmal so funktionieren.

Danke im Voraus

Mfg

Hallo

Danke für deine Antwort.

Eine Art "first match", also eine Art Reihenfolge - soweit ich das korrekt verstehe - kann ich umsetzen, indem ich die Regel nach oben oder unten (in der Liste) schiebe. Das wurde auch gemacht - aber ..... naja...

Dachte noch, dass es ggf. an ipv6 liegen könnte, da jenes bei Fritzboxen oftmals Probleme machen. Habe aber keinen Unterschied gemerkt.

Was meinst du mit:

Mod: Zitat ohne Quellenangabe ... korrigiert! Forenregeln und Die Zitat Funktion des Forums richtig nutzen

Zitat von tiermutter

Die ist unrelevant, da die IP Range des VPN nicht "Germany" ist sondern "private".

Mir ist gerade in den Sinn gekommen bei verbundener VPN-Verbindung mal den Server zu pingen. Das läuft auf eine Zeitüberschreitung hinaus, während ich die Fritzbox im Netz aber pingen kann.

mmmh. ok...

ich habe eine QNAP, an der es funktioniert. Eine von 20... Auf der ist eine Eintragung in der Firewall anders - und ich glaube es könnte daran liegen.... @Vermutung:

s3.png

Das Problem: Ich kann in der QuFirewall genau diesen Eintrag NICHT erstellen. Ich habe jetzt die QuFirewall mal deinstalliert und erneut installiert - so dass er ggf. bestehende Verbindungen als valide erachtet und die Einträge des Virtual Interface u.U. vom System gesetzt werden. Funktioniert aber dennoch nicht.

Dein Ansatz hinsichtlich "allow source=[Adressbereich des VPN]" geht wohl in die gleiche Richtung

Also wenn ich auf den gleichen Adressbereich eine Regel erstelle - allerdings geht das nur mit "Any Interface" und nicht speziell Virtual Interface, dann klappt die Verbindung.

Es würde mich dennoch interessieren, WER diesen Eintrag setzt im System

Danke dir für den Hinweis mit dem VPN bzw. entsprechenden Range freigeben.

Ich denke, dass QNAP das VPN als VirtualInterface betrachtet - nur leider gibt es unter Virtuelle Schnittstellen oder sondtwo im System keine Verbindung, sodass man selbst in QuFirewall diesen Eintrag nicht setzen kann.

Wäre es aber doch möglich, dass sich jemand von Auswärts mit der 10.8.0.x auf die NAS verbinden kann?