NAS IP vs tunneladres

[apache2021]

Dat begrijp ik 
Ik dacht dat er misschien met de firewall / statische routing in de NAS iets te bereiken viel.

[Birdy]

Volgens mij, moet je hier wezen en/of hier, maar ik ga me er niet in verdiepen.
Wel snel gelezen, het moet kunnen wat je wilt.
Maar @Pippin is DE specialist op het gebied van OpenVPN.

[Babylonia]

De reden dat ik voor VPN heb gekozen is de snelheid en het gemak tov Quickconnect, Webdav een ddns.

Om de snelheid hoef je het niet te doen.
VPN heeft altijd een meer remmende werking door de mate van versleuteling en ontsleuteling.
De ene VPN methode, en de andere , daar kan ook nog verschil in zitten.  Idem de mate van encryptie die is ingesteld.
Zie ook:  https://nordvpn.com/nl/blog/vpn-protocollen/
WebDAV is een sneller connectie protocol dan OpenVPN, en biedt je een hogere mate van efficiency, als het om de snelheid gaat.

Je vergelijkt het overigens ook met verkeerde instrumenten. "QuickConnect is niet bedoeld als alternatief voor VPN of webDAV,
maar enkel een instrument om zonder port forwarding te hoeven instellen ALTIJD connectie met de NAS contact te kunnen leggen.
Dat loopt dan via een omweg met Synology servers.

DDNS, alleen het eerste moment als contact om je WAN IP-adres met de domeinnaam te koppelen, gaat via de Synology server.
Omdat je bij gebruik van DDNS wel port forwarding hebt moeten instellen. Loopt al het verkeer erna buiten die omweg om.
Probeer het eens uit door in de plaats van een DDNS-naam, je WAN IP-adres zelf in de configuratie te gebruiken.

Is er geen mogelijkheid om een gebruiker via de VPN alleen de NAS te laten zien?

Door in het menu van de VPN server bij de OpenVPN géén vinkje te plaatsen bij de optie:
"Clients toegang geven tot de LAN-server"     Zie ook info van Synology < HIER >

Verder zou zoiets nog aangevuld kunnen worden met firewall regels in een router.
Maar dat is afhankelijk van de mogelijkheden van het merk/type router wat je daarin kunt instellen.
Weet niet of de firewall in de NAS zelf daarin nog voldoende mogelijkheden biedt? Heb ikzelf niet geprobeerd.
(Ik gebruik een VPN-server in de router, niet die van de NAS).

[Birdy]

Door in het menu van de VPN server bij de OpenVPN géén vinkje te plaatsen bij de optie:
"Clients toegang geven tot de LAN-server"

In het Engels vind ik het wat duidelijker:

Tick Allow clients to access server's LAN to permit clients to access the server's LAN.

Dus, dat zou betekenen dat je de NAS wel kunt benaderen en de rest niet?
Zo ja, dan geldt dat ook voor @apache2021 mocht hij/zij ook OpenVPN willen gebruiken.
Wil je dat niet, dan is Configuring client-specific rules and access policies een betere oplossing, in mijn ogen.
Je kunt dan onderscheid maken, wie wat mag op het netwerk.
 

[apache2021]

Bedankt beiden voor de uitgebreide uitleg 
Ik ga het eens even laten bezinken. Ik zag op een gegeven moment door de poorten de router niet meer.

Het vinkje 'clients toegang geven tot LAN' gebruiken om de rest van het netwerk te blokkeren werkt alleen als 'redirect-gateway def1'in de ovpn config file uit is(# ervoor)
Er wordt dan contact gemaakt op het tunneladres. Niet op het lokale adres van de NAS / standaard gateway.

Een driveletter in de verkenner maak je dan door : \\tunneladres\share

Zodra het hekje wordt weggehaald (save, importeren in OVPN etc) dan kan de nas via vpn op zijn lokale IP worden gevonden maar werkt het vinkje niet meer.

[Babylonia]

Je haalt twee dingen door elkaar.

- Instellingen enerzijds in het configuratiebestand van OpenVPN zelf waar @Birdy naar verwijst.
- En een simpel vinkje in het menu van de VPN server app  in de NAS.
  Dat vinkje kun je toch gewoon in- of uitschakelen, zonder dat je ook maar iets extra verandert in het configuratiebestand van OpenVPN?

Dan weet je toch of het werkt ja- of nee?

Door elkaar die instellingen gebruiken lijkt me niet de juiste insteek.

Overigens heeft dat  'redirect-gateway def1'  een heel andere functie.
Het bepaalt of je als "VPN Client" alleen toegang hebt tot de VPN-server (vaak gebruikt voor alleen bestand verkenner/niveau).
Of dat je ALLE internetverkeer waar je als "Client" connectie maakt met de VPN-server dat ook via VPN laat lopen.

#redirect-gateway def1      =  connectie tot de VPN-server (vaak gebruikt voor alleen bestand verkenner/niveau).
     De rest van het internetverkeer (met webbrowser) gaat via het sub-net en WAN IP-adres van de locatie waar je je zelf bevindt,
     en als je dan van het WiFi-netwerk / internetverbinding van die specifieke locatie gebruik maakt.
     Of bijv. het WAN IP-adres van een mobiele verbinding, mocht je van de WiFi hotspot van een smartphone gebruik maken.

     https://www.watismijnip.nl/          Geeft dan het WAN IP-adres van de internetconnectie van die locatie of je WiFi hotspot.

redirect-gateway def1        = ALLE internetverkeer van de VPN Client gaat via het WAN IP-adres van de internetconnectie bij je thuis.

     https://www.watismijnip.nl/          Geeft dan het WAN IP-adres van je internet thuis-adres.

Maar die functie zegt niets over de bereikbaarheid van andere apparaten in je thuisnetwerk.
Met beide instellingen  -met of zonder hekje-  voor die  redirect-gateway def1  zijn die bereikbaar.
Als het vinkje in het menu van de VPN-server app is aangevinkt om het hele thuisnetwerk te kunnen bereiken.

[apache2021]

nu ik mezelf even terug lees klopt er inderdaad niet veel van. Ik heb het niet goed weergegeven :

Als 'redirect-gateway def1' 'uit' staat en ik probeer in de verkenner een netwerkverbinding aan te maken op het lokale IP adres van NAS dan krijg ik de melding dat deze niet gevonden kan worden.
Gebruik ik het tunneladres om deze aan te maken dan werkt het. De rest van het netwerk is, onafhankelijk van het vinkje 'Clients toegang geven tot de LAN-server', onzichtbaar.

Als 'redirect-gateway def1' 'aan' staat dan kan ik in de verkenner een netwerkschijf maken op het lokale adres van de NAS. Helemaal goed maar onafhankelijk van het vinkje 'Clients toegang geven tot de LAN-server' blijft de rest van het netwerk zichtbaar.
Ik kan met vinkje aan of uit pingen naar verschillende apparaten of via een browser naar bijvoorbeeld de config pagina van mijn printer.
Ook als ik de VPN server even stop en weer herstart.

Ik weet dat er nog meer mogelijkheden zijn die zeker niet uit beeld zijn maar toch nieuwsgierig wat er dan niet goed gaat.

[Babylonia]

Gebruik ik het tunneladres om deze aan te maken dan werkt het.

Daar zit nu net de kern waar het om gaat.  Ergens heb je verkeerde instellingen gebruikt,
want je zou helemaal dat tunneladres niet hoeven te gebruiken, maar gewoon de lokale LAN IP-adressen.

In jou geval doet het zijdelings ook iets met die  'redirect-gateway def1'  functie, maar staat er eigenlijk los van.
Het is een functie zoals uitgelegd waar die voor dient.

Eerst zul je de basis goed moeten instellen, dat je geen tunneladres hoeft te gebruiken.

[apache2021]

Ik ga het nog een keer van niks opbouwen.
Is er ergens een tutorial te vinden die al met succes is gebruikt?

[Babylonia]

Kom je er helemaal niet uit, zouden we misschien een "teamviewer" sessie kunnen doen?
Zou je een persoonlijk bericht kunnen sturen met aanvullende contactgegevens (telefoonnummer).

[apache2021]

Bedankt voor je aanbod. Echter super dat er op dat er zelfs persoonlijk hulp wordt geboden. Dat ga ik zeker even onthouden.

Een update : gisteren alles opnieuw opgebouwd met de nieuwste versie van openvnc.
Het bleek namelijk dat ik een oudere (niet-opensource) variant gebruikte.
Alles geinstalleerd maar het vinkje 'client toegang geven tot LAN' werkt nog steeds niet....

Ik zag op verschillende fora dat ook vaak de VPN in de router wordt gebruikt. Ik heb een Netgear R7000 die VPN ondersteund.
Dus dat ga ik nu proberen.
Het opzetten van de VPN zal geen probleem zijn maar wat ik moet ik daarna doen om het VPN verkeer van de router alleen bij mijn nas uit te laten komen?

[Babylonia]

Switchen van een VPN-server in de NAS naar een server in de router, het kan natuurlijk, maar je blijft met dezelfde problematiek zitten.

Lijkt me eigenlijk niet de juiste insteek om naar een oplossing van het probleem toe te werken?
Is eerder "hopen" in dat geval op een dan toevallig wel goede werking, dan begrip in de materie?

Maar goed, je bent het aan het testen, dus horen we wel waar je op uitkomt.
Bij een VPN-server in de Netgear, en je komt er niet uit, zou een ander zich moeten verdiepen in de werking van een Netgear router.
Want dat staat dan helemaal los met het benaderen van een NAS (is geen functie van de NAS meer), maar willekeurig elk ander apparaat in je netwerk waar je een exclusieve benadering voor wilt hebben. (Zou dan meer een onderwerp zijn voor "Netwerk in zijn algemeen",
maar vraag me af of het dan überhaupt dan nog wel een onderwerp is voor op een Synology forum?)

[apache2021]

Bedankt voor je reactie. Ik ga het testen en laat van me horen

[Briolet]

Het opzetten van de VPN zal geen probleem zijn maar wat ik moet ik daarna doen om het VPN verkeer van de router alleen bij mijn nas uit te laten komen?

Een VPN is een Virtueel Privé Netwerk. Dit zorgt ervoor dat het lijkt alsof je op die locatie zit. Als je wilt dat die persoon slechts een apparaat kan gebruiken, moet je dezelfde maatregelen nemen als voor iemand die fysiek op jouw netwerk zit.:

Goede wachtwoorden op de apparaten op je lan of thuis met vlan's gaan werken.

[Pippin]

Het opzetten van de VPN zal geen probleem zijn maar wat ik moet ik daarna doen om het VPN verkeer van de router alleen bij mijn nas uit te laten komen?

Geen idee wat die router kan, maar
1. als je vaste tunnel adressen aan VPN clients kunt toewijzen
EN
2. firewall regels op de VPN (tun) interface kunt maken
kun je middels die regels bepalen welke VPN client toegang heeft tot hosts/poorten op het LAN.

Als 1 niet kan maar 2 wel dan gelden de regels voor alle VPN clients (i.p.v. per client).