Zugriff auf fremde NAS zur Administration

Hinweis: Die Registrierung ist nicht mehr möglich, wenden Sie sich an den QNAP Support

    Guten Abend,

    ich habe den Rat von Zacharias befolgt und hier nun einen eigenen Thread eröffent.

    Habe die letzten Stunden ein paar andere Threads hier gelesen und ein paar Videos angesehen.

    Irgendwie scheint das alles auf VPN herauszulaufen.

    Und dann ...?


    Kurzum.

    Ich möchte eine "fremde" QNAP NAS von mir zu Hause aus administrieren.

    Welche Möglichkeiten gibt das grundsätzlich von mir zu Hause (Windows) auf die Oberfläche der "fremden" NAS zuzugreifen?

    Welche sind davon am sichersten?

    VPN (WireGuard) wird sicherlich eine Möglichkeit sein.

    Habe ich jedoch noch nie eingerichtet bzw. benutzt!


    Dann habe ich gelesen,

    den VPN Zugang besser über den Router und nicht über die NAS herzustellen.

    Im dortigen Haushalt exisitert eine FritzBox.

    Habe mittels myFritz bereits den Zugriff auf diese.

    Was müsste ich bei meinen Überlegungen eventuell noch beachten?

    Wie kann ich auf die NAS zugreifen, wenn die VPN Verbindung, wie auch immer, hergestellt wurde?

    Da bin ich im Moment echt überfragt.
    Vielleicht könnt ihr mir noch ein paar wichtige Hinweise geben!?

    :qclub:

  • simp4

    Hat den Titel des Themas von „Zugriff auf fremde NAS zu Administration“ zu „Zugriff auf fremde NAS zur Administration“ geändert.

    Die Verbindung über myFritz ist kein VPN, das ist lediglich eine Portweiterleitung und potentiell unsicher.

    Theoretisch kann man auf der FB eine zusätzliche Portweiterleitung einrichten, die auf das NAS zeigt.

    Das ist aber brandgefährlich weil sehr unsicher.

    Wenn man stattdessen ein VPN einrichtet, dann wird bei Aktivierung der zugreifende Computer ein Teil des entfernten Netztwerkes, d.h. Du kannst damit so handeln, als ob Du direkt vor Ort in dem anderen Netztwerk bist.

    Damit ist der Zugriff auf alle Geräte in diesem Netzwerk (inkl. des NAS) möglich. Soll nur auf das NAS zugegriffen werden, dann muss auch anderer Ebene der Zugriff für das über VPN verbundene Gerät ausgeschlossen werden.

    Einen ganz groben Überblick findest Du hier: VPN Überblick


    Gruss

    Guten Morgen,


    und vielen Dank für das erste Feedback!


    Habe ich, den Ausführungen und dem VPN-Überblick folgend, richtig verstanden, dass ich auf den entfernten Router (Fritz.Box) ein VPN und einen entsprechenden Nutzer einrichte? Dann benötige ich eine Client-Software (mit Konfigurationsdatei) auf meinem PC, um auf den VPN-Server zuzugreifen? Wäre das dann ein Site-to-Site-VPN? Muss ich dann auf der entfernten Fritz.Box die IP-Bereiche anpassen?

    Wenn ich mich dort dann über VPN mit dem Netzwerk verbunden habe, wie genau greife ich dann auf die Oberfläche des NAS zu? Über Heimnetz/Netzwerk/Netzwerkverbindungen und dann dort die NAS auswählen?

    Welche Client-Software ist zu empfehlen? WireGuard, FritzBox?

    Ich administriere diverse Fritz.Boxen über myFritz. Sollte ich tatsächlich nicht mehr über myFritz auf die externen Router zugreifen. Sondern auf jeder Fritz.Box einen VPN-Server zum administrieren dieser einrichten?

    Einen Benutzer braucht man für VPN nicht.

    Und nein, von Site-2-SIte VPN spricht man, wenn zwei Netzwerke dauerhaft miteinander verbunden sind (z.B, über die jeweiligen Router).

    Bei mehreren FB hast Du sehr wahrscheinlich das Thema, das alle oder mehrere die Default Netzwerk Adresse benutzen (192.168.178.x), bei einer VPN Kopplung (egal ob Site-2-Site) oder per Client müssen die IP Bereiche unterschiedlich sein, sonst funktioniert es nicht.

    Ich richte daher standardmäßig immer einen individuellen IP Bereich innerhalb des 192.168.x.y Bereiches ein, so kann ich alle von mir betreuten Netze immer per VPN erreichen oder sogar untereinander verbinden (falls benötigt).

    Für Windows und Linux gibt es einen Wireguard Client, allerdings habe ich in meinem Heimnetz keine FB als Router, daher kann ich nicht sagen, wie eine FB mit Wireguard eingerichtet wird. Auf Fritzboxen habe ich bisher lediglich mit IPsec als VPN Verbindung gearbeitet.

    Wenn Du eine Verbindung in das entfernte Netz hast (per VPN), dann greifst Du so auf das NAS zu wie gewohnt: einfach die IP Adresse eingeben, fertig.


    Gruß

    Also erst einmal vielen Dank für die Hinweise!

    Zitat von FSC830

    das alle oder mehrere die Default Netzwerk Adresse benutzen (192.168.178.x)

    Ja so ist das.

    Zitat von FSC830

    ch richte daher standardmäßig immer einen individuellen IP Bereich innerhalb des 192.168.x.y Bereiches ein, so kann ich alle von mir betreuten Netze immer per VPN erreichen oder sogar untereinander verbinden (falls benötigt).

    Hmm. :/
    Das verstehe ich nicht ganz. Wie funktioniert das genau? Richtest du das bei dir zu Hause oder auf den andern Routern ein?
    Kann ich da etwas so falsch einstellen, dass die Router dann keinen Zugang mehr zur Internet haben?

    Zitat von FSC830

    Wenn Du eine Verbindung in das entfernte Netz hast (per VPN), dann greifst Du so auf das NAS zu wie gewohnt: einfach die IP Adresse eingeben, fertig.

    Das hört sich ja sehr gut an.

    Zitat von simp4

    Wie funktioniert das genau?

    Du kannst in den Fritzboxen den IP-Bereich auf z.B. 192.168.200.x ändern, dann bekommmt jeder Rechner, der von der Fritte seine IP bezieht, eine IP aus diesem Bereich. Suche mal in Google dazu, da wirst du fündig.

    Edit: Und wenn du zu Fritzbox und wireguard suchst, erhältst du auch dazu eine Anleitung.

    Zitat von simp4

    Wie funktioniert das genau?

    Wenn ich eine Fritzbox in Betrieb nehme, dann ändere ich die Netzwerkeinstellungen. Statt 192.168.178.x z.B. 192.168.1.x, das nächste Netzwerk erhält dann 192.168.2.x usw. usw.

    Ich glaube nicht, das man als Privatperson 254 Fritzboxen administriert ;) .

    So hat dann jedes Netzwerk einen eigenen IP Bereich.

    Das kann man auch nachträglich ändern, aber nur, wenn alle Geräte eine IP Adresse über den DHCP Server der Fritzbox beziehen.

    Sobald fest vergebene IP Adressen oder ein anderer DHCP Server genutzt werden, dann muß man händisch eingreifen und einiges erledigen.

    Und ja, theoretisch kann man den Netzwerkzugang verlieren. Aber das ist meist nur kurzzeitig. einmal das Endgerät rebooten, dann sollte es eine neue Adresse erhalten.


    Gruss


    UdoA war schneller... ^^

    Einmal editiert, zuletzt von FSC830 ()

    Und weil die Mehrzahl aller privaten Netze entweder im IP-Bereich 192.168.1.# oder 192.168.178.# läuft, tut es mein Heimnetz nicht, ;)

    Damit kann ich dann 95% aller Bittsteller unterstützen ohne Adressen anpassen zu müssen.

    Zitat von FSC830

    dann ändere ich die Netzwerkeinstellungen. Statt 192.168.178.x z.B. 192.168.1.x, das nächste Netzwerk erhält dann 192.168.2.x usw.

    Müsste ich das dann hier unter IPc4-Einstellungen/Heimnetz ändern?

    Siehe Anhang.

    IPv4.png

    Zitat von FSC830

    Das kann man auch nachträglich ändern, aber nur, wenn alle Geräte eine IP Adresse über den DHCP Server der Fritzbox beziehen.

    Das müsste doch dann der Fall sein, wenn kein fester Adressbereich festgelegt wurde, oder? Also der Bereich für die Vergabe von IPv4-Adressen über den DHCP-Server. Wenn bei mir bspw. der Bereich von 192.168.0.020 bis 200 für DHCP festgelegt wurde, dann wäre der Bereich von 1-19 für feste IP-Adressen vorgesehen. Das müsste ich aufheben, und vorher prüfen, welche Geräte eine feste IP-Adresse haben und diese dort dann auf DHCP umstellen.

    Und das kann ich einfach so ändern? Die Adresse 192.168.0.1 ist doch gleichzeitig mein Gateway.

    Du solltest Dich erst einmal mit den Grundlagen eines Netzwerkes vertraut machen.

    Bei einem "einfachen" Heimnetzwerk ist i.d.R. immer der Router das Gateway.

    Die Fritzbox hat normalerweise als IP die 192.168.178.1, deswegen ist das auch die Gateway Adresse.

    Wenn die IP der Fritzbox geändert wird, dann ändert sich ensprechend für die anderen Geräte auch die Gateway Adresse.


    Gruss

    Zitat von FSC830

    Wenn die IP der Fritzbox geändert wird, dann ändert sich ensprechend für die anderen Geräte auch die Gateway Adresse.

    Kann ich denn auch nur den Adressbereich ändern, ohne das Gateway, oder ist das nicht möglich? Muss das Gateway dann auch geändert werden, deinem Beispiel folgend in 192.168.2.1 oder nicht?

    Und dann ....

    habe ich nun gerade auf meiner FritzBox bei mir zu Hause mal VPN (WireGuard) eingerichtet. Der Anleitung von AVM gefolgt. WireGuard-App installiert. Ich konnte mich auf dem Tablet mit meinem Heimnetz verbinden.

    Sehr gut! Hat alles geklappt.

    Zum Testen habe ich das WLAN deaktiviert Nur LTE benutzt. Im Display war oben das VPN-Symbol für den aktiven Tunnel aktiv. Bei den Adressaufrufen meiner Netzwerkgeräte über die Browser kam Jedoch immer ein Sicherheitshinweis, dass die Verbindung nicht sicher sei usw. !

    Code
    "Da dieses Formular über eine unesicherte Verbindung übertragen wird, sind ihre Daten für andere sichtbar."

    Ist das an dieser Stelle in Ordnung? Oder habe ich da noch etwas nicht beachtet?

    Zitat von FSC830

    Die Verbindung über myFritz ist kein VPN, das ist lediglich eine Portweiterleitung und potentiell unsicher.

    Bedeutet das, dass ich mich über die Internetseite https://sso.myfritz.net/ am besten nicht mehr mit den Fritz.Boxen zum administrieren verbinden sollte, sondern über VPN, wie hierzuvor beschrieben?
    Würde der Zugriff über die App myFritz auf meinem Mobiltelefon von unterwegs ebensfalls potentiell unsicher sein?

    4 Mal editiert, zuletzt von simp4 () aus folgendem Grund: Ein Beitrag von simp4 mit diesem Beitrag zusammengefügt.

    Zitat von simp4

    Kann ich denn auch nur den Adressbereich ändern, ohne das Gateway, oder ist das nicht möglich? Muss das Gateway dann auch geändert werden, deinem Beispiel folgend in 192.168.2.1 oder nicht?

    Nein, das ist nicht möglich. Wenn der Router den Adressbereich ändert, dann ändert sich immer auch die Gateway Adresse, denn der Router ist ja das Gateway.

    Gateway heißt, das alles, was nicht im eigenen Netztwerk zu finden ist, versucht wird über das Gateway zu erreichen -> Internet.


    Router und Gateway Adresse sind identisch, jedenfalls in einem üblichen Heimnetzwerk.

    Zitat von simp4

    Bei den Adressaufrufen meiner Netzwerkgeräte über die Browser kam Jedoch immer ein Sicherheitshinweis, dass die Verbindung nicht sicher sei usw. !

    Wenn Du im Browser https://... eingibst, dann sollte nicht der Fall sein, es sei denn, Du erhältst zu Hause auch diese Meldung. Kann man aber i.d.R. ignorierien.

    Wenn der VPN Tunnel steht (kann man auch in der Fritzbox kontrollieren), dann ist die Verbindung sicher.


    Zum Administrieren der Fritzboxen müsstest Du dann jede per VPN erreichbar machen. Kann man machen, ist aber nicht immer überall machbar. Ich benutze die Verbindung über myFritz auch gelegentlich. Aber ja, sie ist potentiell unsicher.


    Gruß

    Ich würde nie den IP-Bereich eines fremden Netzes ändern, es sei denn, dieses wäre vom Besitzer des Netzes explizit so gewünscht. Da es in den Netzen offensichtlich ein NAS gibt, ist anzunehmen, dass auch mit festen IPs gearbeitet wird, und wenn du dann deren IP-Bereich änderst, kommen die an ihr eigenes NAS nicht mehr ran. Das gibt nur Ärger.


    Es reicht aber, den IP-Bereich des eigenen Netzes zu ändern. Wenn alle anderen LANs jeweils denselben IP-Bereich (nicht deinen IP-Bereich, sondern die Vorgabe des Routers) haben, gibt es trotzdem keine Probleme, solange du dich nicht mit mehreren VPNs gleichzeitig verbindest.


    Zitat von FSC830

    Ich glaube nicht, das man als Privatperson 254 Fritzboxen administriert

    Und wenn doch, kann man immer noch auch den 172er-Bereich (172.16.0.0 bis 172.31.255.255) ausweichen und hat 4096 weitere Subnetze à 256 Adressen.


    Alternativ kannst du die NAS auch über einen ssh-Tunnel erreichen. Dies hat Vorteile, wenn du mit ssh vertrauter bist oder wenn aus irgendeinem Grunde VPN nicht genutzt werden kann (ich habe den Fall, da wird im anderen Netz ein Speedport benutzt, und der kann Wireguard, aber für nur genau einen Benutzer, und der Besitzer des LANs braucht diesen Zugang). Beim ssh-Tunnel ist übrigens uninteressant, ob sich die IP-Bereiche überlappen oder nicht.

    Zitat von Anthracite

    Es reicht aber, den IP-Bereich des eigenen Netzes zu ändern.

    Das ist ja auch eine gute Idee. Ändere ich jedoch den IP-Bereich meines eigenen Netzes, habe ich ja dieselben Herausforderungen mit den fest hier fest vergebenen IP-Adressen.

    Zitat von Anthracite

    Ich würde nie den IP-Bereich eines fremden Netzes ändern, es sei denn, dieses wäre vom Besitzer des Netzes explizit so gewünscht.

    Das Argument kann ich nachvollziehen. Das "fremde" Netzwerk kenne ich. Habe ich ja jetzt schon unter Kontrolle. Feste IP-Adressen sind dort nicht vorhanden und auch nicht vorgesehen. Dort existiert noch keine NAS. Das werde ich erst noch aufbauen. Daher im Vorfeld meine ganzen Fragen. Sollte ich der geplanten NAS eine feste IP-Adresse zuweisen? Das wäre für den Fernzugriff mittels VPN dann doch sicherlich von Vorteil, die IP-Adresse zu kennen, oder?

    Eine feste IP für NAS halte ich immer für sinnvoll.

    Die Namensauflösung klappt nicht immer, gerade mit mDNS vom Windows. Da ist es sehr vorteilhaft eine feste IP zu haben über die man sich verbinden kann.

    Die sollte man natürlich kennen.

    Und natürlich muß man bei bestehenden Netzen immer aufpassen, wenn man dort IP Adressänderungen vornimmt.


    P.S. Wenn die 4096 Subnetze nicht reichen bleibt noch der 10.0.0.0 Bereich :P


    Gruss

    So, dann wäre ich doch schon fast durch mit meinen ganzen Fragen.


    Zitat von FSC830

    Wenn Du im Browser https://... eingibst, dann sollte nicht der Fall sein, es sei denn, Du erhältst zu Hause auch diese Meldung. Kann man aber i.d.R. ignorieren.

    Ich erhalte diese Information auf meinem Mobiltelefon. Da habe ich im Browser ebenfalls https://xxx.xxx.xxx.xxx eingegeben. Dann kommt der folgende Hinweis zur unsicheren Verbindung.

    Die Verbindung ist nicht privat! Dieser Server konnte nicht nachweisen, dass es sich um xxx.xxx.xxx.xxx handelt. Das Sicherheitszertifikat wird von Microsoft Edge nicht als vertrauenswürdig eingestuft. Dies kann auf eine Fehlkonfiguration zurückzuführen sein oder auf einen Angreifer, der Ihre Verbindung abfängt.
    Diese Informationen erhalte ich ja auch bei der Anfrage über myFritz. Nun bin ich mir aufgrund der Hinweise wieder unsicher, wie sicher Zugang ist.

    Zitat von simp4

    Ändere ich jedoch den IP-Bereich meines eigenen Netzes, habe ich ja dieselben Herausforderungen mit den fest hier fest vergebenen IP-Adressen.

    Das schon, aber du weißt, was du gemacht hast. Wenn dein Netzlaufwerk plötzlich nicht eingebunden wird, weil es nicht //nasname/freigabe sondern mit //192.168.178.10/freigabe eingebunden wurde, dann findest du den Fehler und weißt, wie er zu beheben ist. Ein Nutzer im anderen Netzwerk, der nichts von der IP-Änderung weiß oder nichts verstanden hat, wird vergleichsweise hilflos sein und nicht wissen, wie der Fehler zu beheben ist.

    Zitat von simp4

    Sollte ich der geplanten NAS eine feste IP-Adresse zuweisen?

    Ja, in jedem Falle. Die ferne Fritzbox ist der DHCP-Server, und dort wird der DNS-Name vergeben oder eingetragen. Wenn jene Fritzbox nicht dein DNS-Server ist, und das ist sie bei einem VPN nicht, dann kann dein Rechner den Namen nicht auflösen.


    Aber denk dran, dass du keine IP aus dem DHCP-Bereich der Fritzbox nimmst. Die IPs mit der letzten Zahl von 2 bis 19 sind bei einer FB üblicherweise gut, solange nicht jemand ausgerechnet mit der Einstellung zum DHCP-Bereich herumgespielt hat,

    Zitat von simp4

    Die Verbindung ist nicht privat! Dieser Server konnte nicht nachweisen, dass es sich um xxx.xxx.xxx.xxx handelt.

    Das Zertifikat des Gerätes ist für den Namen ausgestellt, nicht für die IP-Adresse. Die Meldung kannst du ignorieren. Im eigenen LAN und auch im mit VPN verbundenen LAN wirst du selbst wissen, dass du auf dem richtigen Gerät bist.

    Einmal editiert, zuletzt von Anthracite () aus folgendem Grund: Ein Beitrag von Anthracite mit diesem Beitrag zusammengefügt.