VPN "Site to Site" zwischen 2 Standorten

Hi,

Die Synologies können doch auch VPN. Da gibt es bestimmt Anleitungen on Mass.

Da geht es aber schon wieder los, dass die Fritte garantiert sein Gateway ist...da muss er NAT auf die Synology machen und auch dorthin als Next Hop routen, wenn er das andere Netz erreichen will.

Das ist doch nichts halbes und nichts ganzes.

NAT kann ja auf der Fritzbox bleiben. Entweder dann das Gateway auf die NASse umlenken oder eine zusätzliche Route einrichten.

So ist es. Der schwachbrüstige SoC der FB ist dafür nicht leistungsstark genug. Dazu muss man aber fairerweise auch klar sagen das die FB eine einfache Consumer Massenbox ist, die dafür auch nicht gemacht ist weil es keine Grundfunktion ist. Das VPN ist ein Goodie damit Oma Grete mal kurz die Enkelbilder ansehen kann aber nicht mehr.
Wenn du ensprechend hohen VPN Durchsatz haben willst benötigst du eine andere, leistungsstärkere Hardware die Crypto Funktionen in Silizium macht und nicht in Software auf schwachen Prozessoren !
Das stimmt dafür muss man aber die bittere (Security) Pille schlucken das man ungeschützten Internet Traffic per Port Forwarding ins lokale Netz lassen muss. Wer das akzeptiert kann das machen, denn die VPN Funktion dort auf meist x86 Hardware kann mehr.
Es gibt so oder so nur 2 Optionen:

• Leistungsstärkere Router Hardware oder einen kaskadierten VPN Router oder Firewall die das VPN macht ala IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten
• Das VPN aufs NAS auslagern mit den entspr. Security Nachteilen.

Da kann sich der TO dann das Schönste für ihn aussuchen...

Moinsen,
im Synology Forum weise ich auch immer wieder darauf hin, dass die NAS zwar diverse VPN Protokolle KÖNNEN und als VPN-Server eingesetzt werden KÖNNEN, dass das aber aus Gründen der Sicherheit nicht gemacht werden SOLLTE. Gefühlt behandelt dort jeder 2. Beitrag das Thema NAS als VPN-Server (jeder dritte macht den Router per dutzend PWL auf für alles und jeden)...
;)

Tip wäre in der Sparvariante Raspberries als VPN Server einzusetzen, sonst eben nen teuren Router mit Zusatzfunktion VPN und Hardware-Encryption oder aber (von mir persönlich präferiert) die Lösung aus Antwort nr1: open oder pf Sense einsetzen. Ich habe das hinter einer fritz als Router so implementiert und hier läuft das seit Einrichtung stabil, doppeltes NAT hin oder her (aqui weist im Tutorial ja auch explizit auf Lösungsansätze hin...).

Für das private Heimnetzwerk mehr als ausreichend. Aber das wäre ein Raspi vermutlich in 75 Prozent der dort gestellten Fragen auch...

Alle drei Wege wären besser und sicherer als den VPN Server auf dem File (und backup) Server laufen zu lassen...

Grüßle
th30other

Raspberry hat nur eine Netzwerk Schnittstelle, dann müsste man virtuell per vlan trennen (vorausgesetzt er hat einen Switch mit VLAN Funktion).

Wenn dann höchstens einen Banana-Pi.

2x Mikrotik RBs für keine 50€ einkaufen, statische Routen auf den Fritten einrichten, und gut ist.

Gruß
Alex

Unter einem hEXR3 https://www.varia-store.com/de/produkt/36790-mikrotik-routerboard-hex-mi ... solltest du es wegen des Krypto Durchsatzes nicht machen. Besser 3011er oder 4011er.
Konfig Beispiele je nach VPN Protokoll hier:
OpenVPN:
Clientverbindung OpenVPN Mikrotik
IPsec:
Cisco, Mikrotik, pfSense VPN Standort Vernetzung mit dynamischem Routing
IPsec VPN Praxis mit Standort Vernetzung Cisco, Mikrotik, pfSense, FritzBox u.a

Kann mich da der Empfehlung von aqui anschließen. Würde OpenVPN als Protokoll empfehlen.

Du redest leider etwas wirr...sorry. Das treibt einem etwas die Sorgenfalten ind Gesicht ob du wirklich weisst was du da tust. Aber mal der Reihe nach:
Da du dir selber ! die Aufgabe eines sehr hohen VPN Durchsatzes gestellt hast was dann eine entsprechende CPU und Crypto Performance der Hardware erfordert ist das die Empfehlung. Klar kannst du das auch mit einem 20 Euro hAP lite machen aber dann eben nur mit 2Mbit VPN Durchsatz.
Du brauchst also entsprechend potente Hardware durch deine eigene Erwartungshaltung.
Jein. Router OS ist das grundlegende Betriebssystem wie IOS bei Cisco oder Unix bei Linux oder FreeBSD bei pfSense/OPNsense und Apple Mac oder Linux bei Android oder....
Die Firewall ist ein Feature auf dem Router wie die lokale Windows Firewall ein Feature auf einem Winblows Rechner ist.
Du merkst selber die Sinnfreiheit dieser Frage. Das ist identisch so als wenn du jemanden fragst: "Soll ich den Brief mit Windows schreiben oder mit Word ?"
OpenVPN ist eines der VPN Features auf dem darunter liegenden Betriebssystem RouterOS. Für dein VPN Vorhaben ist es aber egal ob die IPsec, L2TP oder OpenVPN als VPN Protokoll benutzt. OpenVPN ist am universellsten was die Clients anbetrifft und relativ einfach zu konfigurieren. Die Lernkurve bei IPsec ist etwas steiler.
Das kannst du dir aussuchen. Das ist so als ob du dir überlegst mit einem grünen, einem roten oder doch mit einem blauen Auto in die Stadt zu fahren.
Dafür braucht es keinerlei Erfahrung. Der Router hat ein WebGUI zum Konfigurieren und obendrein noch ein grafisches Konfig Tool WinBox wie du es z.B. HIER sehen kannst.
Was du siehst zur Konfiguration ist also ein simples Klicki Bunti Interface wie du es auch von FritzBox, Winblows und Co. kennst. Nacktes Router OS siehst du wie auch bei FritzBox und Co. als Anwender auch gar nicht.
Da du pfSense Profi bist: Hast du jemals auf der FreeBSD Shell der pfSense gearbeitet ? Sicher wohl eher weniger..?!
Ein winziges Bisschen grundlegendes Netzwerk Know How sollte natürlich vorhanden sein.
Das ist ziemlich "Latte", denn alles ist ja nur simples Klicki Bunti im Web Browser. Im Grunde gibts da Null Unterschied.
Wenn dir die pfSense näher liegt dann nimm diese. Die kann auch OpenVPN und wenn du dort einen entsprechend potenten Unterbau nimmst mit einem aktuellen APU4 Board https://pcengines.ch/apu4c2.htm dann bist du ebenfalls sehr gut bedient. Denn das hat AES-NI Support in Silizium an Bord.
Dann bleib bei der pfSense !

Wenn von Windows die Rede ist bedeutet das doch auch immer das die Windows Firewall dann immer inkludiert ist ?! Bei Linux ist immer die iptables Firewall dabei.
Da versteht man leider deine Logik irgendwie nicht so richtig. Das eine ist ein grundlegendes Betriebssystem und das andere ist ein Feature bzw. eine App darauf. Das ist doch bei MT absolut identisch.
Da du ja pfSense Profi bist:
Das Betriebssystem von pfSense ist FreeBSD Unix. Überträgt man deine Mikrotik Logik darauf sagst du dann:
"Ich habe gedacht, wenn über FreeBSD Unix die Rede ist, das bedeutet dann Betriebssystem inkl. der Firewall von pfSense."
Du verstehst vermutlich das das eine mit dem anderen nur bedingt was zu tun hat.
Wenn du von FreeBSD Unix keine Ahnung hast bedeutet das ja noch lange nicht das du dann auch die pfSense nicht bedienen bzw. konfigurieren kannst ! Oder was sagt dir deine pfSense Erfahrung dazu ? Muss man Ahnung von FreeBSD Unix dafür haben ??
Das ist doch auch völllig "Latte". Du konfigurierst die ja nur und da "siehst" du ja über das GUI nicht ob sie virtuell ist eine bare metal Firewall.
Wenn du mit dem Auto von A nach B willst ist es doch völlig Wumpe ob du in einem VW, BMW oder Dacia Logan sitzt sofern es nur 4 Räder hat, einen Motor und rollt..... Simpleste Logik !
Ja !
Nein, pfSense Firmware geht nicht aber du kannst OpenWRT installieren was aber Blödsinn wäre.
Du solltest dich schon besser entscheiden.
Wenn du pfSense Erfahrung hast dann nimm ein APU4 Board und mache das damit. Das gibts sehr bequem als einfachen Bausatz:
https://www.varia-store.com/de/produkt/33968-pc-engines-apu4c2-bundle-bo ...
Für den max. 15 minütigen Zusammenbau reicht ein simpler Kreuzschlitz Schraubendreher.