Synology-Forum.nl
Packages => Officiële Packages => VPN Server => Topic gestart door: nico84 op 10 mei 2020, 20:10:04
-
Waar gaat jullie voorkeur naar uit?
VPN verbinding zal alleen gebruikt worden om de bestanden op mijn werk te kunnen benaderen.
VPN Server op mijn Draytek Vigor 2132, alleen dit is L2TP/IPSec.
VPN Server op mijn Synology, dan OpenVPN gebruiken.
openVPN is veiliger volgens alle berichten.
Als ik ik openVPN gebruik op mijn Synology, is het dan veiliger om 2 gebruikers aan te maken?
1 gebruiker om de VPN verbinding tot stand te brengen.
1 gebruiker om bij de bestanden te komen
Zo moet een eventuele hacker 2 x gebruikersnaam / wachtwoord combinatie correct hebben ipv 1x.
OF zie ik dit verkeerd?
Hoor graag jullie advies.
-
Waar gaat jullie voorkeur naar uit?
Lees dit Topic eens: VPN op NAS of Router (https://www.synology-forum.nl/vpn-server/vpn-op-nas-of-router/).
Als ik ik openVPN gebruik op mijn Synology, is het dan veiliger om 2 gebruikers aan te maken?
Prima, wel sterke wachtwoorden gebruiken.
-
Als de bestanden uitsluitend op de werk-NAS staan en er geen verdere toegang tot het werk-LAN nodig is, dan OpenVPN op de NAS.
Dat is dan pure end-to-end encryptie.
Zo moet een eventuele hacker 2 x gebruikersnaam / wachtwoord combinatie correct hebben ipv 1x.
OF zie ik dit verkeerd?
Goed gezien, mits er slechts 1 of 2 gebruikers toegang moeten hebben.
1. Eén OpenVPN gebruiker met uitsluitend toegang tot OpenVPN
2. Eén of twee gebruikers zonder toegang tot OpenVPN maar wel tot andere service(s)
-
Waar gaat jullie voorkeur naar uit?
VPN verbinding zal alleen gebruikt worden om de bestanden op mijn werk te kunnen benaderen.
Het is voor mij nu niet duidelijk hoe de connectie "richting" ligt en wat die werksituatie inhoudt?
Ben je je eigen werkgever en log je bij jezelf in "van buiten" naar je NAS-server thuis als je onderweg bent?
Of ben je in dienst van een bedrijf (en nu "thuiswerker") en wil je een VPN-verbinding naar de werkbestanden bij je werkgever?
Dat zijn twee totaal verschillende situaties.
-
De werksituatie houd in.
Ik ben werkgever en heb 2 bedrijfslocaties.
Locatie A: staat een Draytek Vigor 2132 met een Synology NAS (DS118)
Locatie B: staat een Draytek Vigor 2133 met een Synology NAS (DS118)
Nu komt het regelmatig voor dat ik de administratie voor locatie A en B van uit huis doet.
-
En er hoeven geen andere werknemers die bestanden te bewerken op afstand?
Dan wat @Pippin al aangeeft, in dit geval dan voor beide locaties:
Als de bestanden uitsluitend op de werk-NAS staan en er geen verdere toegang tot het werk-LAN nodig is, dan OpenVPN op de NAS.
Dat is dan pure end-to-end encryptie.
-
Bedankt voor de reacties alvast.
Tot nu toe ben ik de enige gebruiker die op afstand de bestanden wil bewerken/bekijken op nas.
Uit nieuwsgierigheid, wat maakt het uit voor de situatie als het meer dan 2 gebruikers worden?
Ga er morgen mee aan de slag. Als ik nog vragen heb meld ik me eigen :)
-
Wat het uitmaakt... (meer gebruikers) ?
Het maximaal aantal verbindingen onder VPN / aantal VPN Clients (gebruikers) wat zich überhaupt kan aanmelden.
Er kunnen mogelijk bijv. slechts 5 gebruikers tegelijkertijd als maximum zich laten aanmelden via VPN ?
Bij een bedrijf met meer dan 5 medewerkers met gebruikmaking van VPN, die bijv. thuiswerk doen,
heb je praktisch gezien dan een probleem !!
-
Uit nieuwsgierigheid, wat maakt het uit voor de situatie als het meer dan 2 gebruikers worden?
Omdat de credentials voor OpenVPN voor alle gebruikers hetzelfde is.
Als je dus om welke reden dan ook voor één gebruiker de toegang tot OpenVPN wil intrekken, kan dat niet want dan verliezen alle gebruikers dat recht.
-
Nee, dat hoeft helemaal niet met wat je hier benoemd.
Je kunt individuele / "verschillende" gebruikers een VPN toegang geven.
Waarvan je de rechten ook weer individueel kunt intrekken.
-
Lees het even door...
-
Dat zou je zelf eens kunnen doen. Vraag en antwoord lijken me duidelijk?
Alleen kennelijk bij jou de mogelijkheden niet van OpenVPN - gebruikers en rechten om een VPN verbinding op te zetten?
Voor welke opties men kiest is dan een afweging die men daarin dan zelf maakt.
-
@Pippin Citeren van wat ikzelf ook terug kan lezen heeft niet zoveel zin.
[EDIT:] (Diens reactie nu kennelijk helemaal weg gehaald).
Je hoeft niet dezelfde credentials te gebruiken voor alleen een VPN-verbinding,
als het de bedoeling is voor elke gebruiker 2 aparte gebruiksnamen in te zetten, één voor de VPN-connectie,
de ander tot toegang van bestanden. Ook voor alleen de eerste VPN kun je verschillende credentials gebruiken.
Geef je gebruikers twee accounts. Een alleen voor de VPN-connectie, de ander voor toegang tot bestanden.
Maak je het op die wijze alleen wel erg omslachtig. Lijkt me de keus voor een two factor authorisation meer efficiënt om ermee te werken.
-
Mijn antwoord is specifiek gericht op nico84's specifieke vraag zoals geciteerd (inmiddels verwijderd).
Het is ook niet omslachtig als het alleen om zijn account gaat.
Ander voordeel is:
Geen evt. extra apparaat nodig voor 2 factor
Indien VPN account gecompromitteerd raakt kan men niet veel want geen toegang tot Apps
@Mod
Dat is wel heel rigoureus...
I'm out :clap:
-
Het is ook niet omslachtig als het alleen om zijn account gaat.
Maar daar had hij nu juist wel een aanvullende vraag over indien wel meerdere gebruikers. (Meerdere accounts).
En daar had je dan ook een antwoord op gegeven (https://www.synology-forum.nl/vpn-server/vpn-server-router-of-nas/msg284105/#msg284105) (niet verwijderd) dat hij dan spaak zou lopen lopen met die credentials.
Dat hoeft dus niet het geval te zijn zoals uitgelegd. :geek: 8)
-
Onderstaande stappen heb ik gedaan/ingesteld.
Is dit voldoende of moeten er nog meer stappen genomen worden voor de veiligheid?
-In de router (Vigor) poort 7485 doorgestuurd naar IPadres van de Synology
-VPN server geïnstalleerd op de Synology en ingesteld (Zie bijlage)
Moet ik UDP of TCP kiezen?
Zijn de andere instellingen juist?
-Gebruiker (VPNPiet) aangemaakt voor alleen de VPN verbinding.
Machtigingen en toepassingen alles uitgevinkt bij de gebruiker.
-Bij de VPN Server alleen de gebruiker VPNPiet aangevinkt bij OpenVPN, de rest uitgevinkt.
-Configuratie bestand geporteerd en bij YOUR_SERVER_IP vervangen door mijn Wan IP adres.
-OpenVPN geïnstalleerd
-Bestanden ca.crt en openvpn.ovpn geplaatst in de submap config van de map OpenVPN
-Wordt netjes verbinding gemaakt en wordt IP 10.0.8.6 toegewezen
-Verkenner \\IPadressynology ingevoerd en kom keurig bij de gedeelde mappen
-
Bij OpenVPN kun je zowel kiezen voor TCP als UDP. Standaard is evenwel UDP, en is wat efficiënter.
Zul je mogelijk merken in de maximum snelheid bij een connectie (als dat van toepassing is bij zware bestanden).
Compressie kan handig zijn voor typische "Office" gerelateerde bestanden. Heb je een stuk minder data over te zenden.
Kost wel weer iets aan "decompressietijd", maar als geheel dan toch weer meer efficiënt.
Zou je "film-bestanden" e.d. willen overzetten via VPN (wat voor "werk" bestanden misschien niet relevant is ?),
is "ongecomprimeerd" beter om in te stellen, omdat filmbestanden doorgaans al optimaal zijn gecomprimeerd.
"Dubbele" compressie heeft dan geen zin. Kost alleen meer tijd.
Gecomprimeerd of ongecomprimeerd moet zowel bij de server als in het OpenVPN configuratiebestand zijn ingesteld.
In je eerdere berichten wilde je mogelijk twee gebruikers aanmaken voor de veiligheid.
Eentje voor alleen de VPN connectie, de ander voor toegang tot je daadwerkelijke bestanden.
Als voorbeeld een "test-account" voor alleen de VPN-connectie.
(Met in dit geval aangevinkt voor zowel OpenVPN als L2TP/IPSec):
[attach=1]
Waarbij je dat account geen rechten geeft tot toegang voor mappen op de NAS.
[attach=2]
Met een ander account kun je dan toegang krijgen tot de mappen zelf.
Voor diepergaande beveiliging van OpenVPN kun je allerlei trucs uithalen.
Daar heb je dan wel wat in door te nemen, zie de verwijzingen onder bij de profielbeschrijvingen van "Pippin".
Je zou zoals eerder aangehaald ook een twee factor autorisatie kunnen toepassen?
Verder een aantal aanwijzingen bij het volgende onderwerp (waarbij iemands NAS was gehackt) < HIER > (https://www.synology-forum.nl/ddns-extern-benaderen/dsm-gehacked-gt-firewall-en-poorten-aangepast-en-afgesloten-door-xs4all/msg171574/#msg171574)
-
Ik heb de stappen van onderstaand topic uitgevoerd en de VPN verbinding actief gekregen.
https://www.synology-forum.nl/vpn-server/beter-beveiligde-openvpn/
Alleen het probleem waar ik nu tegen aanloop is.
Als de VPN verbinding actief is kan ik netjes bij mijn bestanden op de NAS, maar kan ik niet internetten.
Verbreek ik de verbinding dan kan ik weer internetten.
Als wat gezocht op internet, maar geen werkzame oplossing kunnen vinden.
Heeft iemand tips/advies?