VPN zum Miniserver mit Openvpn auf iphone/ipad und Synology NAS

Transkript

1 VPN zum Miniserver mit Openvpn auf iphone/ipad und Synology NAS Um den Zugriff auf den Miniserver aus dem Internet sicherer zu gestalten bietet sich eine VPN Verbindung an. Der Zugriff per https und Browser ist derzeit direkt auf den Miniserver nicht möglich, da keine Zertifikatsverschlüsselung vom Gerät angeboten wird. Ein Zusatzproxy zwischen Router und Miniserver wäre möglich, dieser muss allerdings Websockets unterstützen. Der Zugriff über die Loxone App ist dann ebenfalls nicht möglich. VPN ist die elegantere Art hier zuzugreifen. Das hier beschriebene Tutorial ziehlt auf OpenVPN ab, da diese Technologie mit zu den sichersten VPN Netzwerken gehört, die derzeit möglich sind. Bis heute sind in OpenVPN keinerlei Sicherheitslücken bekannt. Zudem ist die Geschwindigkeit sehr gut und die Authentifizierung mit user/passwort und Zertifikat eine der sichersten. Ich habe mich für OpenVPN entschieden, da dies für alle möglichen Clients (PC, Mobil) die gleiche Art und Weise des Zugriffs darstellt. Die mobilen Geräte unterstützen OpenVPN allerdings nicht alle von Haus aus. Das Iphone benötigt einen Jailbreak und bei Android Geräten ist es je nach Version notwendig einen root Zugriff auf das Gerät zu bekommen um OpenVPN installieren und starten zu können. Mit Android 4 gibt es bereits die Möglichkeit über eine spezielle OpenVPN App (OpenVPN for Android) ohne root Rechte auf den OpenVPN Server zuzugreifen. Diese App ist im Playstore erhältlich. Die Einrichtung des Servers in dieser App gestaltet sich allerdings etwas anders als unten beschrieben und ist nicht Teil dieses Tutorials. Es gibt noch viele weitere Möglichkeiten eine VPN Verbindung in sein Heimnetzwerk anzulegen. Insbesondere moderne Router wie Fritzbox, bieten hier die Möglichkeit inkl. einer App für mobile Geräte. Andere Hersteller setzen auf verbreitere Protokolle wie IPSec oder PPTP, etc. Dies wird hier allerdings nicht weiter behandelt. Als Server nutze ich die Synology Diskstation, da hier bereits alles vorkonfiguriert ist und dieses System eine einfache Möglichkeit bietet,einen OpenVPN Server zu starten. Man kann natürlich auch auf andere Arten und Weisen einen OpenVPN Server im lokalen Netzwerk aufbauen. Die Topologie ist ähnlich dem unten beschriebenen Verfahren aufgebaut. Grundvoraussetzungen OpenVPN Server z.b. Synology Diskstation Iphone mit Jailbreak oder Android mit openvpn App Router mit der Möglichkeit Ports freizuschalten und statische Routen zu setzen. Nun zur Beschreibung: Dyndns im Router einrichten Um auf das NAS aus dem Internet zugreifen zu können ist der Router als Dyndns Client zu konfigurieren. Dienste wie no-ip oder dyndns bieten diese Dienstleistungen an. Um in den Genuss einer öffentlichen Adresse mit DNS Namen zu kommen, meldet man sich bei einem Dyndns Dienst an. Die Zugangsdaten werden dann im Router verwendet. An dieser Stelle kann nicht jede Routerkonfiguration einzeln erläutert werden, da die einzelnen Router unterschiedlich aufgebaut sind.

2 Exemplarisch erkläre ich dies hier anhand einer no-ip.com Konfiguration und einem Fritzbox Router. Unten im Anhang ist noch eine weitere Variante mit der Synology und einem Custom Provider erklärt. Hier ersetzt die Synology Box den Router im Bereich Dyndns. Das Menü ist unter Internet->Freigaben->Dynamic DNS zu finden. Man kann hier auch einen Benutzerdefinierten Provider eintragen falls die vorbelegten Anbieter nicht in Frage kommen. Wie man sieht werden hier die vom Dyndns Anbieter zur Verfügung gestellten Angaben eingetragen. Nach dem Speichern sollte der Router bereits eine Verbindung aufbauen. Testen der Verbindung Um die Dyndns Verbindung zu testen gibt man in seinem Rechner in einer Telnet oder cmd Konsole einfach den Befehl nslookup DynDNS-Domainname ein. Also z.b. nslookup test.servehttp.com Die Antwort sieht dann in etwa so aus: Server: Address: #53 Non-authoritative answer: Name: test.servehttp.com Address: Hier sollte dann die IP Adresse erscheinen, die eurem Router vom Provider zugewiesen wurde. Wie man das nachsieht entnehmt ihr bitte der Routerdoku. UDP Port in Firewall öffnen Um OpenVPN aus dem Internet nutzen zu können muss die Firewall den UDP Port 1194 auf die Synology IP durchlassen. Bei einigen Routern nennt sich dies auch NAT Configuration und Open Ports Setup. In der Konfiguration wird die Ziel IP (Synology bzw. openvpn Server) der Port 1194 und UDP eingestellt. Die Bezeichnung ist frei wählbar, Protokoll ist UDP, Port 1194, an Computer ist z.b. die Synology

3 oder alternativ die IP des OpenVPN Servers. Am Beispiel einer Fritzbox kann man dies unter Internet->Freigaben->Portfreigaben eintragen Lokale Route eintragen Damit man über die VPN Verbindung nicht nur auf die Synology sondern auch auf Loxone bzw. all e anderen Systeme im Heimnetzwerk kommt, muss ggf. eine statische Route im Router eingetragen werden. Dies ist bei einigen Routern notwendig. Dazu wird das openvpn Subnetz (in der Regel ) in die statische Route mit der entsprechenden Subnetzmaske eingetragen, als Gateway die IP der Synology Diskstation. Am Beispiel einer Fritzbox kann man dies unter Heimnetz ->Netzerk->Netzwerkeinstellungen->IP- Routen anlegen. IP-Adresse Subnetzmaske Gateway VPN Server in Synology installieren Dazu wird in der Systemsteuerung der Paketmanager aufgerufen udn das Paket OPENVPN Server ausgewählt. OpenVPN Server aktivieren Nach der Installation wird der Server aktiviert. Standardmässig ist eine beestimmte ip range vorgegeben, die auch in der ggf. anzulegenden statischen Route erforderlich ist. Mehr ist nicht zu tun.

4 Testen ob Portfreigabe funktioniert Bei dem Dienst Seomastering kann man den Port 1194 und den o.a. DynDNS Namen eintragen um zu prüfen, ob die Dyndns Konfiguration, die Portfreischaltung im Router funktionieren und der OpenVPN Server erreichbar sind. User konfigurieren Damit der Zugriff von aussen nur für bestimmte user möglich ist, kann man unter Privileg die bereits bestehenden Synology Nutzer auf OpenVPN Berechtigen. Zum Test berechtigen wir einfach den Standarduser, den ihr auch für die anderen Zugriffe auf die Diskstation nutzt. Konfigurationsdatei exportieren Über den Button Konfigruationsdatei im Synology openvpn Server kann man das benötigte Zertifikat und configfile als zip für das Iphone erstellen. Dieses wird lokal auf eurem Rechner entpackt und in dem.ovpn File der o.a. Dyndns Name eingetragen. Danach wird dieses Verzeichnis wieder gezippt.

5 Nun zum Iphone: GuizmOpenVPN App installieren Über den Cydia Store wird die Anwendung GuizmOpenVPN (als Vollversion konstenpflichtig, zum Test kostenlos) installiert. Zertifikat installieren Die GuizmOpenVPN app kann einen Webserver starten, der es erlaubt das eben generierte Zipfile des OpenVPN Servers zu importieren. Den Webserver unter Einstellungen in der GuizmOpenVPN App starten (wlan muss aktiv sein) und die dort angezeigte http Adresse mit einem Browser aufrufen, der Zugriff auf das o.a. zipfile hat. Über die Browseroberfläche kann man das eben vom Synology Server gespeicherte zip Paket importieren. Wlan abschalten Um das Ganze zu testen sollte man sich mit dem Mobiltelefon im Internet (3G, UMTS, GPRS, etc.) und nicht im eigenen Wlan befinden. Connect Auf der Hauptseite der GuizmOpenVPN App kann man den Connect Button betätigen, anschliessend erscheint eine user/passwort Abfrage. Hier wird der Synology user verwendet, der die Berechtigung auf OpenVPN hat (siehe oben). Im Reiter Log sieht man, was die Anwendung macht.

6 Oben in der Statuszeile sollte bei einem erfolgreichen Connect das openvpn Logo dauerhaft zu sehen sein (ohne blinken). Sobald dies erreicht ist, kann man die Loxone App aufrufen und prüfen ob die Verbindung funktioniert. In der Loxone App muss an den Einstellungen keine Änderung erfolgen. Sonstiges Befindet man sich in einem fremden Wlan kann es sein, dass die Verbindung nicht aufgebaut werden kann, weil ggf. der Port UDP 1194 ausgehend geblockt wird. Wie oben bereits erwähnt ist es natürlich auch möglich per VPN auf andere Systeme wie Drucker o.ä. mobil zuzugreifen. Dyndns (ddns) Konfiguration mit der Synology Diskstation Anstatt dem Router kann auch die Diskstation als ddns Client fungieren. Hier sind ggf. mehr Anbieter auswählbar als im Router. Desweiteren ist es möglich einen Custom Provider einzutragen, um z.b. mit der eigenen Domain per VPN zugreifen zu können. Viele Hosting Anbieter bieten solch einen Service an. 1. Schritt Die Datei ddns_provider.conf erweitern Man verbindet sich als root user per SSH bzw. telnet mit der Diskstation mit einem Editor (vi, pico, etc.) wird die Datei ddns_provider.conf erweitert: vi /etc.defaults/ddns_provider.conf Am Ende der Datei fügt man einen weiteren Block an. Die Angaben, die hier zu verwenden sind (Update url), kann der Hosting Anbieter zur Verfügung stellen. Als Variable für den Hostnamen und die IP dienen die Strings: HOSTNAME und MYIP Hier ein Beispiel für den Provider w3w. [test] modulepath=dyndns queryurl=dyndns01.prohost.de/nic/update?hostname= HOSTNAME &myip= MYIP

7 2. Schritt: ezcloud aktivieren und Daten eintragen In den Systemeinstellungen des Diskstation Managers wählt man den Menüpunkt EZCloud. Hier kann man den ddns Service aktivieren. Um das Update von der Box durchführen zu lassen muss der eben eingetragene Serviceanbieter ausgewählt und der vom Provider zur Verfügung gestellte DNS Name (z.b. home.domain.de), username und das Passwort zur Anmeldung beim Provider eingetragen werden. Nach dem Betätigen des Übernehmen Buttons meldet sich die Box beim Provider an und übermittelt die aktuelle öffentliche IP des Routers. Im unteren Bereich wird diese Adresse dann angezeigt. Zum Test kann man nun in einer Telnet oder cmd Konsole mit dem Befehl nslookup prüfen, ob der eigene DNS Name mit der aktuellen IP Adresse im DNS eingetragen ist (Dies kann je nach Verwendung eines DNS Servers ein paar Minuten ggf. auch Stunden dauern). In der Regel sollte das aber innerhalb einiger Sekunden in den grossen DNS Systemn (Telekom, Google, etc.) aktualisiert sein. Die eigene Domain kann nun wie oben beschrieben in das openvpn.ovpn file eingetragen werden.