FritzBox und SynologyNAS VPN

Vielen Dank! Das hat mein versteinertes Hirn wieder ins Rollen gebracht :D

Ich weiss nicht wie man es genau nennt. Hab irgendwo schon mal Begriffe wie "graue IP" gesehen usw. Praktisch bedeutet es, dass die oeffentliche IP (die Internet-IP sozusagen) fuer mehrere Nutzer die gleiche ist. Wahrscheinlich ist es dann NAT. Es ist also technisch unmoeglich Ports auf dem Router zu oeffnen.

Aha!! Das werd ich auf jeden Fall ausprobieren. Man koennte doch sowas manuel in den Boot-vorgang strapsen, oder?

Ja, das koennen sie. Ich wollte es aber aus 2 Gruenden erst mal lassen:
1. ich bin mit der FritzBox nicht zufrieden und wollte in naher Zukunft auf etwas "staerkeres" upgraden. Sie uebrhitzt zu oft, WiFi Signal selbst mit nem Repeater fuer eine 3-Zi Wohnung ist imho unterirdisch. Ja wir haben "Bunker-Waende", aber es ist wirklich zu schwach
2. Um VPN in der Box anzumachen muss ich vor Ort sein und Tasten-Kombis clicken. Ich bin aber grade seeeehr weit entfernt. Muesste also jemanden zu mir nach hause bestellen, damit er diese Affengriffe macht.
Aber danke fuer den Tipp, ich werd's auf jeden Fall probieren und berichten!

Hmm "/proc/sys/net/ipv4/ip_forward" hat bereits den Wert "1".
Was sollte denn eigentlich das Ergbniss so einer ipv4-Route sein? Ich dachte, die Pi bekommt dann auch ne IP im 192.168.178.x Subnet. Oder wie kann ich sonst in der Fritzbox die Ports dafür Freigeben. Wenn ich versuche ne Port Regel für ne 192.168.180.1 IP zu machen (die IP meiner Pi, laut "ip addr"), dann meckert die FB, dass das so nicht geht. Was hab ich mir da falsch überlegt? :D

Guten Abend
Ich verbeuge mich vor Ihrer Weisheit und der selbstlosen Zuwendung mich der deutschen Sprache zu belehren. Genau deswegen habe ich mein Problem hier geschildert. Das ist wahrhaftig der beste Kommentar den ich jemals erwarten konnte. Vielen Dank noch mal, für die Zeit, die Ihnen nicht zu schade war für mich zu verschwenden. Ich habe Ihren Erguss genaustens notiert und werde das Wort "haken" nie wieder falsch benutzen, ihre Majestät!

Wirklich? Wow! Es gibt wirklich sowas wie DynDNS? EEEEECHT? Vielleicht auch solche wie No-IP oder vielleicht DuckDNS, oder auch einfach mal der kostenlose DNS-Dienst für Synology-Kunden. Das ist mir wohl komplett entgangen. Mein Gott wieso stelle ich denn noch so dumme Fragen? Ich VollIDIOT. Solche wie mich sollten die billigen Provider sofort aus dem Netz verbannen!

Vielen Dank auch für die Kosteneinschätzung meines Providers. Das hätte ich ohne Ihre Hochheit nicht gewusst. Aber dazu erfahren sie etwas später in den weiteren Antowrten von mir. An dieser Stelle bitte ich noch mals um Verzeihung Ihre kostbare Zeit verschwedet zu haben. Wobei ich mich nicht dran errinern kann um so eine Einschätzung jemals gebeten zu haben.

Vielen Dank, für alle, die mir helfen wollen und nicht sich belustigen wollen. Ich weiss es sehr zu schätzen. Vorallem im Kontrast zu den Beiträgen von Herrn "aqui".

Damit die "Schwarmintelligenz" mehr Hintergrundwissen bekommt, wieso ich so einen bescheurten Setup versuche aufzubauen, gebe ich mir Mühe alles so gut es geht zu schildern.

Erstens. Mein Setup, welches an sich bereits seit Jahren läuft und bis jetzt keinerlei Probleme gemacht hat.
Synology-NAS im Heimnetzwerk. Viele Dienste der NAS sind durch meine FritzBox nach aussen geschliffen, wie ssh, gitlab, hypervault, mehrere webserver, chat und sogar der Minecraft-Server für meinem Sohn. Es sind ca 15 Ports freigegeben. Der wichtigste Webserver, wo daten wirklich ausgetauscht werden, hat HTTPS mit nem Let'sEncrypt Zertifikat. DynDNS benutze ich nicht, da ich als Synology Kunde eine konstelose Lösung dafür bekommen habe. Alle Usernamen und Passwörter sind komplex genug, dass selbst wenn Bruteforce nicht nach 5 Versuchen gebannt wäre, es immer noch bei nem GPU-Cluster Jahrzähnte dauern sollte auch nur etwas davon zu knacken. Alle Ports bis auf den 433er (wegen Let'sEncrypt) sind "random" generiert und kommen nicht in die "100" meist benutzen Ports, die nmap beim simpelsten Check durchforstet. Außerdem sind im Netzwerk (selbstverständlich alles auf 10Gbit am extra Switch verdrahtet) mehrere Workstations zum arbeiten und 3D-Rendern mit CPU und GPU vernetzt. Die Nas agiert dabei als Storage, Sync Service und Gitlab instanz.

Ich habe eine 500/50 Leitung bei der Vodafone. Leider gibt es in meinem Haus nichts besseres. Wohne in Hamburg und muss mit dem Mist leben. Was besseres bekomme ich für mein Geld nicht.

Nun kommen wir zu der armen RaspberryPi, die gerne auch ihren WebServer dem weitem WWW zur Verfügung stellen wollte. Und dem billigst Provider usw. Ich befinde mich grade im Urlaub bei meinem Vater. In einem ANDEREM Land. Nicht nur das. Ich sitze grade einer Art FerienHaus. Wo es KEIN Kabel-Internet gibt. Er ist froh, dass er hier überhaupt mal LTE-Empfang hat und auf seine popligen 30Mbps download kommt. Vom upload rede ich gar nicht. Der Provider mag "billigst" erscheinen, aber was besseres bekommt er hier ums verrecken nicht. Punkt-aus-ende. Selbstverständlich war DAS das erste, was ich vorgeschlagen habe zu ändern. Jedoch musste ich auch einsehen, dass ich genau DAMIT leben muss und all mein, und Teil von "eurem" Wissen dazu einsetzen muss, um das bisschen umzusetzten, was mein Vater sich gewünscht hat.

Die RaspberryPi soll nur ein digitaler Thermometer sein. Es soll von einem Sensor die Temperatur auslesen und wenn die Temperatur zu niedrig ist, nen Relay auslösen um die Heizung anzumachen (das kann sie wunderbar ohne eine Netzwerkverbindung selbständig bewerkstelligen). Und nun kommts. Der Vater möchte die Temperatur irgendwie auf seinem Handy auch beobachten. Zuerst wollte ich ihm vollwertiges Hass.io auf der Pi ausrollen, aber mittlerweile denke ich, dass ne kleine Flask bzw Django App es genau so gut tun kann. Nichts desto trotz ist es am Ende ein WebServer, der ins WWW möchte. Da ich keinen Port an seinem LTE-Modem freigeben kann, dachte ich mir "ach verbindeste das Teil mit deinem Heimnetz und gibst irgend nen port wie 56473 dafür frei". Dann könnte der Daddy sowas wie "meine-tolle-nicht-dynDNS-adresse.synology.me:56473" in seinem eiFon eintippen und die Temperatur bewundern. Das war's. Keine sensible Daten. Keine Login. Nix, was irgendwie, irgend jemanden interessieren sollte. Klar kann man's DDOSen and what-not. Mit sicherheit. Wozu auch immer. Na ja. Und da mein Vater nicht mehr der jungste ist, dachte ich mir, dass ich ihm lieber nicht beibringe, wie man an seinem NoteBook, iPad und iPhone ne VPN-Verbindung in mein Heimnetz aufbaut. Das muss ich ihm dann ja ein mal die Woche dann am Telefon erklären ;)
Macht das ganze jetzt ein bisschen mehr Sinn?

Durch die sinnbefreiten Beleidigungen von aqui tendiere ich aber tatsächlich eher dazu dem alten man VPN beizubringen, als hier den Kampf aufzunehmen, jemanden zu beweisen, dass ich durchauch weiss, was ein dynDNS bedeutet.
Ach tut mir leid für den Ausraster. Ich bedanke mich noch mal herzichst bei allen, bis auf "aqui". Gute Nacht

ach und wegen dem Ersatz für die Fritzbox. So schnell, also in den kommenden 1-2 Monaten, werde ich die Kiste nicht ersetzen. Den Pi-Thermomether wollte ich aber dennoch in der kommenden Woche umsetzen

Der Text hat etwas Zeit in Anspruch genommen ;)

Ach und noch wat zur FritzVPN. mein FrittenBox kann nur IPSec. Sowat hab ich noch nie auf der Pi gemacht, die Docs der FB sind dabei auch eher sperrlich. Dagegen war bis jetzt alles was an meiner NAS einzurichten war, super simpel. Deswegen habe ich auch zuerst danach gegriffen.

Moin moin. Vielen Dank für die Hilfe. Allerdings bin ich immer noch nicht weiter gekommen.
Ich habe das IPSec VPN der Fritzbox eingerichtet bekommen.
Die Verbindung zwischen meiner Rasp und der FB klappt. Die VPN-Verbindung bekommt ne eigene IP im richtigem Subnet. In meinem Fall ist es die 192.168.178.201
Allerdings wenn ich versuche einen Port dafür freizugeben, meldet sich die FB mit dem Fehler:

Es gibt und gab noch nie ein Gerät in dem Netz mit der IP .201
Was mach ich wieder falsch? :D

P.S. VPN-on-demand ist für mich vorerst keine Lösung

Damit ich meinem Vater nen Link geben kann, der so in etwa aussieht

mein-dyndns-servername.myds.me:54890

nene, die Nas ist weg vom fenster. Synology-VPN ist bereits aus. Die Rasp kommt durch den IPSec-VPN von Fritzbox rein.

Und so wie ich die Fritz verstehe, kann/will sie keine ProtFreigaben für VPN clients machen.

und angenommen, ich würde auf portfreigaben verzichten und 2 VPN-Accounts anlegen. Wie kann ich garantieren, dass die Rasp in meinem Netz ne feste ip bekommt. Kann ruhig die 201 bleiben. Händisch kann ich nichts ändern. In den Fritz-Einstelungen ist alles ausgegraut bzw im read-only "Modus". Den hostname meiner RPi gibt es im Fritz-Lan auch nicht :/