Zugriff über Internet und Sicherheit

PS: ich hab nicht die Beta-Version von OpenVPN Connect installiert, sondern das letzte "offizielle" Release
evtl. liegt es daran?

mike1304 schrieb:

Die IPV6 Adressen Online Monitor, Ping und Log der FB stimmen nicht überein:

Dann nimm mal die Adresse. welche im Log steht.

mike1304 schrieb:

In den Options dann noch VPN Protokoll auf UDP umgestellt, leider kommt die gleiche Meldung.
Was ist ein external PKI alias und wo muss ich was machen?

Dazu müsste mal jemand anderes etwas sagen.

@mike1304
Wie @RickX bereits geschrieben hat, wird eine VPN Verbindung über IPV6 schwierig.
Es kann immer nur eine VPN Verbindung zwischen IPV4 zu IPV4 oder IPV6 zu IPV6 hergestellt werden.

Ich kenne keinen Screenshot deiner Weiterleitungsregel der Fritzbox, gehe aber davon aus, dass nur IPV6 udp Pakete zur Syno weitergeleitet werden.

Ich denke, du kommst hier nur weiter, wenn du bei allen VPN-Komponenten IPV6 einrichtest.
Hast du den IPV6 DHCP Server der Fritzbox an?
Hat deine Syno eine IPV6 Adresse? (siehe Systemsteuerung >> Netzwerk >> Schnittstelle >> LAN)
Unter VPN Server der Syno IPV6 aktiviert?
Die Openvpn.conf Datei erweitern um IPV6 Funktionalität.

hajeku123 schrieb:

Dann nimm mal die Adresse. welche im Log steht.

Ich nehme ja nur die ...myfritz.net Adresse, die IPV6 wird ja automatisch draus gemacht.

bergenfreund schrieb:

evtl. hilft´s:

Missing External PKI alias

Ich versteh da nur Bahnhof!
Was soll man da machen um das Problem zu umgehen?

=> Hast du den IPV6 DHCP Server der Fritzbox an?
Wo schalte ich den an?

=> Hat deine Syno eine IPV6 Adresse? (siehe Systemsteuerung >> Netzwerk >> Schnittstelle >> LAN)
JA

=> Unter VPN Server der Syno IPV6 aktiviert?
NEIN, da brauch ich einen Präfix: Was ist das?
2019-11-28 23_37_31-Microsoft Excel nichtkommerzielle Verwendung - Sichern.xlsx.png

da ich keinen DSLite Internet Zugang habe, musst du schon ein wenig Eigeninitiative mitbringen.

Zum Prefix gib bei Google mal ein synology vpn server ipv6 prefix
Der erste Link bringt dich zu.alexander-fuchs.net/de/synology-diskstation-vpn-dualstack-ipv6

Dass sich dein xxx.fritz.net Name in eine IPV6 Adresse auflöst versteht sich von selbst. Du hast aber geschrieben, dass diese Adresse nicht mit der Adresse vom Log übereinstimmt. Daher habe ich dir geraten, mal diese IPV6 Adresse aus dem Log zu versuchen.

Der DHCP IPV6 Server an der Fritzbox ist standardmäßig eingeschaltet. Kannst du sehen unter
Heimnetz >> Netzwerk >> Netzwerkeinstellungen >> IPV6 Adressen

Im Standard ist IPV6 an der Syno aus. Musst du auf automatisch stellen unter
Systemsteuerung >> Netzwerk >> Schnittstelle >> LAN >> bearbeiten >> IPV6

Du musst dann noch einmal eine neue Konfigurationsdatei für den Openvpn Cleient exportieren und evtl. IPV6 per Texteditor aktivieren. Google hierfür nach Openvpn IPv6

hajeku123 schrieb:

Der DHCP IPV6 Server an der Fritzbox ist standardmäßig eingeschaltet. Kannst du sehen unter
Heimnetz >> Netzwerk >> Netzwerkeinstellungen >> IPV6 Adressen

Bei mir in er FB steht unter Heimnetz >> Netzwerk >> Netzwerkeinstellungen:
- Betriebsart im Heimnetz (Interner´t Router oder IP-Client)
- Gastzugang
- LAN-Einstellungen

evtl. wurde die Oberfläche von meinem Provider (mnet) verändert?

Was kommt denn unter "LAN-Einstellungen"?

Nur ob die 4 LAN-Anschlüsse 100Mbit oder 1 Giga sein sollen

@hajeku123
Ich hab lt "alexander-fuchs" den Präfix erzeugt, aber die Auswahl Präfix im LAN-Server bleibt leer.

Ich habs über Deine Beschreibung (Netzwerk>>Interface>>IPV6 automatisch + Standard-Gateway versucht,
aber auch wie von fuchs beschrieben (Netzwerk>>IPV6>> DHCPv6-PD + Standard-Gateway)
Bei letzterem bleibt der Haken bei Standard-Gateway nicht gesetzt.

Im VPN-Server>>OpenVPN ist der Präfix dann Pflichtfeld, aber lässt sich nicht selektieren/eingeben.
Zusatzfrage: fuchs nimmt hier TCP und in Deiner Anleitung steht UPD => was soll ich nehmen?

Ich verstehe von dem ganzen Zeug echt nichts, deshalb muss ich so dumm fragen, sorry wenn das nervt.

Korrektur: Ich hab wohl doch keinen Präfix erzeugt, sondern nur einen DDNS-Hostname.

Der Präfix müsste über Netzwerk>>Interface>>IPV6 mit DHCPv6-PD erzeugt werden.
Ich vermute bei Auswahl DHCPv6 sollte ein Präfix erscheinen (tut er nicht).
Der Haken bei Standard Gateway bleibt aber mittlerweile gesetzt!

Die Warnung "Bitte deaktivieren sie IPV6 auf anderen Schnittstellen" hab ich mit OK weggedrückt
ohne zu verstehen welche anderen Schnittstellen das sein könnten.

Zitat aus Google:
Einstellung DHCPv6-PD. Damit holt sich die Diskstation Subnetze von der Fritzbox,

Kann es sein dass das nur "zu Hause" klappt aber nicht wenn ich über QuickConnect aus USA auf der Syno bin?

mike1304 schrieb:

evtl. wurde die Oberfläche von meinem Provider (mnet) verändert?

Kann ich mir nicht vorstellen.
Unten links steht Ansicht:Standard in Grau geschrieben. Sieht aus, als wäre das nur Text.
Da kannst du drauf drücken und die Ansicht auf Erweitert umstellen.

mike1304 schrieb:

Zitat aus Google:
Einstellun DHCPv6-PD. Damit holt sich die Diskstation Subnetze von der Fritzbox,

Kann es sein dass das nur "zu Hause" klappt aber nicht wenn ich über QuickConnect aus USA auf der Syno bin?

k.a. kann ich mir auch hier nicht vorstellen, Quickconnect gibt die die Oberfläche ja nur 1:1 weiter.
Das da etwas ausgeblendet wird, glaube ich nicht.

IPV4 geht über UDP, kann sein, dass IPV6 über TCP läuft,
Wie ich bereits geschrieben habe, kann ich das nicht verifizieren. Wenn „alexander-fuchs" das so schreibt, scheint es so zu sein. In diesem Fall musst du dann aber auch zusätzlich den TCP-Port in der Fritzbox zur Syno weiterleiten.

Sorry, aber mehr kann ich dir dazu nicht mehr sagen.

Nachtrag.
Google nach ipv6 openvpn synology
—>> https://www.thomas--schaefer.de/openvpn%20synology%20nas%20myfritz.html

Bilder sagen mehr als Worte

Damit die Infos hier im Forum bleiben, habe ich die Seite von thomas--schaefer hier mal als PDF-Datei angehängt.

Der Tip die FB von Standard auf erweitert zu setzen war sehr gut, jetzt sehe ich auch die IPV6-Einstellungen.
Leider kann ich das Setzen des Präfixes hier nicht ohne Telefon oder FB-Taste machen.
Ich pausiere also bis ich wieder zu Hause bin (Weihnachten).

Ich bin wieder zu Hause und hab nach der Anleitung von Thomas Schäfer auf FB und Synology alles eingerichtet.
Auch der IPV6-Präfix wurde jetzt von der Fritzbox in der Synology-Oberfläche angeboten.

Beim OpenVPN hab ich dann nach längerem Probieren als Server-Name statt dem FB.myfritz.net den Synology.FB.myfritz.net genommen (der auf der FB unter Freigaben für die Synology angelegt wurde) und lande dann auf dem Anmelde-Screen der Synology.

Soweit sogut!

Davor bekomme ich Zertifikats-Fehler, die sich aber ignorieren lassen.
Es ist nicht der PKI-Fehler der sich mit "client-cert-not-required" zwischen "auth-user-pass" und "<ca>" in VPNConfig.ovpn beheben lassen soll.
(oder auch mit der weiter oben empfohlenen key/cert Lösung).

Hab dann nach einem Log gesucht und capi.log in OpenVPNClien/etc gefunden:


zu "sanitize" und "untrusted profile" hab ich mit google nichts passendes gefunden.

Ich vermute jetzt, dass die von Thomas Schäfer ganz am Ende empfohlene Änderung "proto udp6" nicht wirksam ist und auch mein Versuch den PKI-Fehler loszuwerden weder mit client-cert-not-required noch cert/key geklappt hat, sondern sich nur anders äußert, wenn man den Synology.FB.myfritz.net verwendet.

Fazit:
Eigentlich sollte es jetzt klappen (muss ich auf der nächsten Reise testen, jetzt mach ich es ja von zu Hause)
Der Zertifikatsfehler ist unschön, aber wenn er sich übergehen lässt auch ok.

Jetzt hab ich vor lauter Freude, dass ich über VPN auf mein NAS komme, doch glatt mein eigentliches Ziel aus dem Auge verloren:

Ich will mit OpenWebIF über EPG zusätzliche Timer erstellen, wenn ich länger in Urlaub fahre, als das EPG vorausschaut.

Ich komme jetzt über VPN auf das NAS und kann Aufnahmen sehen und löschen.
Aber auf das OpenWebIF komm ich immer noch nicht.

Was soll ich jetzt tun um OpenWebIF aufzurufen?

hajeku123 schrieb:

Wenn der VPN Tunnel aufgebaut werden kann, ist das Web-Interface vom VU über http://192.168.178.100 mit deinem Browser unter Windows 10 aufrufbar (IP Adresse natürlich mit deiner vom VU zu Hause austauschen)

Nachtrag:
Da du mit IPV6 unterwegs bist, wird dann sicherlich auch die IPV6 Adresse deiner VU sein.

Wenn du am VU kein IPV6 aktiviert hast, kannst auch versuchen an der Syno eine Weiterleitung zur VU einzurichten.
Ob das dann so funktioniert kann ich nicht sagen, musst du ausprobieren.
Dazu Systemsteuerung > Anwendungsportal > Reverse Proxy einrichten
Dann solltest über http://IPV6–Syno:Port das Webif der VU sehen.
Die IPV6 Adresse ist die Adresse über den VPN Tunnel, der Port entspricht dem Port vom Reverse Proxy

Nein, wenn das VPN aktiv ist, kannst du dich im Heimnetz auch ganz normal mit den IPv4-Adressen bewegen.

Mache es bei mir auch so und habe auch einen IPv6-Anschluss.

"Wenn VPN aktiv ist.."

Ich frage mich, ob VPN wirklich aktiv ist:
Ich rufe über synology.xxxxxx.myfritz.net (ohne OpenVPN Client) das NAS und lande im Anmelde-Screen des NAS.
Auch über OpenVPN-Client lande ich im Anmelde-Screen.
Wenn ich mich anmelde, bin ich ganz normal im NAS.

Ist das VPN???
Müßte ich nicht im VPN-Server des NAS rauskommen?

Du siehst doch, ob die VPN Verbindung aktiv ist, wenn in deinem Mobilgerät VPN angezeigt wird.

Einfach Handy/Tablet vom WLAN trennen und über Mobilfunk testen.

Du musst die OpenVPN Verbindung natürlich über die App herstellen. Wenn du einfach nur die Seite aufrufst, ist VPN nicht aktiv.

Und, wo du im Endeffekt bei einer VPN Verbindung landest, bestimmst du selber. Der Sinn eines VPN Tunnels ist ja, dass du dich frei in deinem Heimnetz bewegen kannst, als wärst du lokal in deinem Netz unterwegs.

wenn ich über OpenVPN Connect die Verbindung zum NAS aufrufe, bekomme ich den Anmelde-Screen vom NAS.
Nichts deutet auf VPN hin.

Brauche ich OpenVPN Gui statt OpenVPN Connect ?

Bei mir heißt die App auf dem Smartphone einfach OpenVPN. Ich weiß ja nicht, auf welchem Gerät du die Verbindung herstellen willst.