Entscheidungshilfe zur Vorgehensweise: Zugriff auf persönliche Dateien aus dem Internet

[RedMoon]

Hallo zusammen,

Ich benötige eine Entscheidungshilfe bzw. eine best-practise Empfehlung für mein Vorhaben.

Ich habe zuhause eine Synology NAS auf der alle meine persönlichen Daten liegen. Da ist von "Kleinkram" über "Gesundheitsunterlagen" bis "Grundbüchern" alles wichtige und unwichtige drin.
Die Synology bzw. die Ordnerfreigabe hängt bisher aus Sicherheitsgründen nicht im Internet, nur im LAN. Jetzt kommt es aber immer wieder vor, dass ich auf der Arbeit, im Urlaub oder sonstwo draußen unbedingt Zugriff auf meine Daten haben muss. Wenn ich das vorher absehen konnte, habe ich einen USB Stick mitgenommen, aber das ist nicht immer praktikabel. Also muss ich es irgendwie bewerkstelligen, dass meine Daten auch aus dem Internet erreichbar sind. Ich habe mir folgende Szenarien überlegt, bitte könntet ihr diese mitbewerten? Danke!

Szenario 1:
NAS synchronisiert/spiegelt mit der Synology Cloud App alle Dateien nach OneDrive. Auf OneDrive habe ich von überall aus Zugriff.

Vorteile:

• keine zusätzlichen Kosten
• Spiegelung möglich
• einfache Usability
• Infrastruktur Apps usw. ist alles schon da
• umsetzbar in 2 Minuten
• Integration in Office365
• bestmögliche Mobilität

Nachteile:

• Microsoft könnte alle meine Dateien sehen wenn sie wollten
• keine sinnvolle Verschlüsselung möglich
• bei Dateiänderungen wird immer sofort der gesamte Datenbestand komplett synchronisiert (keine Inkremente möglich)

------------

Szenario 2:
NAS synchronisiert/spiegelt mit der Synology Cloud App alle Dateien nach Strato HiDrive

Vorteile:

• Deutscher Anbieter mit Deutschem DSGVO
• Spiegelung möglich
• umsetzbar in kürzester Zeit

Nachteile:

• Kostet mich ca. 80€/Jahr
• keine sinnvolle Verschlüsselung möglich
• Arbeiten mit Dateien nicht so einfach wie mit OneDrive, aber machbar
• bei Dateiänderungen wird immer sofort der gesamte Datenbestand komplett synchronisiert (keine Inkremente möglich)

------------

Szenario 3:
Alle Daten bleiben auf der NAS und ich stelle eine externe Verbindung zur NAS her. Dabei nutze ich entweder DynDNS oder Quickconnect um eine "statische IP" haben zu können

Vorteile:

• Die Dateien bleiben lokal auf dem NAS und liegen nicht in einer fremden Cloud
• keine bis geringe Kosten

Nachteile:

• Die Umsetzung erscheint mir etwas komplizierter
• die Handhabung erscheint mir etwas unkomfortabler
• das NAS wird ins Internet "geöffnet"
• habe bisher keine Erfahrung mit DynDNS und Quickconnect

------------

Szenario 4:
Alle Daten bleiben auf der NAS und ich stelle mit meiner FritzBox eine VPN Verbindung von außen her.

Vorteile:

• Die Dateien bleiben lokal auf dem NAS und in keiner fremden Cloud
• keine zusätzlichen Kosten

Nachteile:

• Die Umsetzung erscheint mir etwas komplizierter
• die Handhabung ist unkomfortabel
• über die VPN-Anmeldung lande ich auf der Fritzbox und nicht auf der NAS, ob Weiterleitung zum NAS möglich weiß ich nicht
• "Anmelde-Hick-Hack" mit AVM-Konto, FritzBox-Benutzer, FritzBox-Konto usw. ist nicht ganz intuitiv und erscheint mir nicht durchdacht

 

[tolga9009]

Über welche Clients brauchst du Zugriff? Falls nur Android + Laptop, dann würde ich ganz klar zu OpenVPN greifen. Ja, etwas kompliziert in der Einrichtung, aber gleichzeitig auch mit die sicherste Lösung. Ist auf jeden Fall die Kopfschmerzen wert.

Vorteil: du brauchst nach außen nur den VPN-Port öffnen. Du kannst anschließend auf alle Dienste im LAN zugreifen (nicht nur Synology), als wärst du Zuhause. Außerdem erfolgt alles verschlüsselt, auch wenn du auf unverschlüsselte Dienste in deinen 4 Wänden zugreifst.

Nettes extra: wenn du dich unterwegs über dein VPN verbindest, hast du auch über unsichere WLANs eine verschlüsselte Verbindung. Und wenn du bspw. ein PiHole daheim hast, klappt das auch unterwegs.

Erwähnenswert ist auch Wireguard, wobei ich mir grad nicht sicher bin, ob das überhaupt mit dynamischen IPs geht.

 

[Ceiber3]

Du kannst doch auf dem Nas den VPN Server nutzen und nicht auf der Fritzbox. Dann sieht das VPN auch nur deine Synology und ist immer über die xxx.xxx.xxx.xx1 zu erreichen.
Der DSM VPN Server ist auch viel viel schneller als der von der Fritzbox. 👍

Du kannst anschließend auf alle Dienste im LAN zugreifen (nicht nur Synology), als wärst du Zuhause.

Genau deswegen würde ich es nicht mit der Fritzbox machen, er mag ja nur auf sein NAS Zugriff.

 

[nFac]

Da du dir ja bereits Gedanken über die lokal vorhandenen Daten machst, wären Variante 1 und 2 unter diesem Gesichtspunkt kontraproduktiv, da du deine Daten aus der Hand gibst, völlig egal ob zu MS, Strato oder wem auch immer.

Der richtige und auch bereits beschriebene Weg wäre auf jeden Fall ein VPN, ob jetzt mit der Fritzbox oder der NAS als Endpunkt ist dabei eher nebensächlich.
Die Fritzbox als Endpunkt hätte halt den Vorteil, dass alle anderen eventuell vorhandenen Geräte ebenfalls über das VPN erreicht werden könnten, rein aus Performance- und Administrationssicht wäre die DSM-Variante einfacher und performanter zu betreiben.

Wie tolga9009 bereits gesagt hat liefert ein VPN auch den Schutz über unsichere Zugänge, selbst in einem öffentlichen Hotspot könnte ohne Probleme auf die Daten zugegriffen werden (sofern dort keine Portblocks aktiv sind natürlich).

Der Anfangsaufwand ist zwar etwas höher als bei Clouddiensten und deren dedizierten Apps, allerdings ist der Sicherheitsfaktor hier definitiv am Höchsten.

 

[RedMoon]

OK, ich fasse mal zusammen:

Über welche Clients brauchst du Zugriff? IOS und Windows 10
Du kannst doch auf dem Nas den VPN Server nutzen und nicht auf der Fritzbox. ich wusste garnicht dass die Syno VPN kann, tatsächlich, es gibt eine App dafür ;-)
Da du dir ja bereits Gedanken über die lokal vorhandenen Daten machst, wären Variante 1 und 2 unter diesem Gesichtspunkt kontraproduktiv stimmt, fallen also weg

--> so wie es aussieht geht es also Richtung VPN. OpenVPN werde ich mir mal anschauen. Könnte ich dann auf meinem Microserver mit ESX laufen lassen, oder taugt das Synology VPN etwas?

 

[robse]

OK, ich fasse mal zusammen:

Über welche Clients brauchst du Zugriff? IOS und Windows 10
Du kannst doch auf dem Nas den VPN Server nutzen und nicht auf der Fritzbox. ich wusste garnicht dass die Syno VPN kann, tatsächlich, es gibt eine App dafür ;-)
Da du dir ja bereits Gedanken über die lokal vorhandenen Daten machst, wären Variante 1 und 2 unter diesem Gesichtspunkt kontraproduktiv stimmt, fallen also weg

--> so wie es aussieht geht es also Richtung VPN. OpenVPN werde ich mir mal anschauen. Könnte ich dann auf meinem Microserver mit ESX laufen lassen, oder taugt das Synology VPN etwas?

Der OpenVPN Server auf der Synology taugt schon was, je nachdem welchen Modell du hast und welche Verschlüsselung du wählst. Du musst nur noch die jeweilige Portfreischaltung zum NAS in der Fritzbox einrichten. DynDNS nutzt du ja wahrscheinlich auch über die myfritz, oder?
Ich finde die FritzBox-VPN Variante auch nicht schlecht. Du brauchst halt auf dem PC 2 Programme, eins zum VPN Zugang erstellen und eins zum verbinden.
Alles hier beschrieben:

IPSec-VPN zur FRITZ!Box unter Windows einrichten | FRITZ!Box 7590

VPN: Mit dem Windows-PC auf die FRITZ!Box zugreifen | Frag FRITZ! 21 Mit IPSec und dem Programm FRITZ!Fernzugang können Sie an Ihrem Windows-Computer VPN-Verbindungen zur FRITZ!Box herstellen. So können Sie mit Ihrem Computer auch von unterwegs über eine sicher verschlüsselte Verbindung auf Ihre...

avm.de

Fürs iPhone geht es so:

VPN-Verbindung zur FRITZ!Box unter Apple iOS (z.B. iPhone) einrichten | AVM Deutschland

avm.de

wenn du noch nen Microserver hast, wäre vielleicht auch WireGuard was für dich.

 

[Ceiber3]

Der Syno VPN Server ist meiner Meinung sehr schnell. Kumpel von mir hat 1 Gbit Down und 100k Upload.
Wenn ich was von ihn lade, habe ich volle 12 MB's pro Sekunde über OpenVPN.

 

[robse]

Der Syno VPN Server ist meiner Meinung sehr schnell. Kumpel von mir hat 1 Gbit Down und 100k Upload.
Wenn ich was von ihn lade, habe ich volle 12 MB's pro Sekunde über OpenVPN.

Kommt wahrscheinlich auf die Synology und die verbaute CPU an. Bei einer aus der „j“ Reihe wird das wahrscheinlich nicht so performant sein

 

[tolga9009]

Wenn iOS zum Einsatz kommt, dann rate ich von OpenVPN ab. Technisch ist es möglich. Aber da iOS OpenVPN Support nicht Out-of-the-Box dabei hat, bist du auf 3rd Party Apps angewiesen (bei Android genauso). Der Unterschied zwischen iOS und Android bzgl. OpenVPN ist aber, dass es unter Android exzellente, kostenlose Apps gibt für OpenVPN, unter iOS sieht das eher mau aus bei den kostenlosen Apps. Unterstützung für L2TP/IPSec hingegen ist ohne 3rd Party Apps vorhanden und wäre meiner Meinung nach bei iOS zu bevorzugen.

Habe leider keine Fritzbox, schaut aber laut Online Recherche so aus, als würde IPSec zum Einsatz kommen. Das passt natürlich sehr gut.

@Ceiber3 je nach Internetgeschwindigkeit spielt Performance eine mehr oder weniger wichtige Rolle. Bei unserem Durchschnittsinternet mit VDSL 50 / 100 Down mit 10 / 40 Up sollte jedoch auch so eine olle Fritzbox eine ausreichende Geschwindigkeit hergeben.

Ich denke, der Fokus sollte erst einmal so ausgelegt sein, dass die Lösung komfortabel eingerichtet ist. Wenn die Synology VPN Lösung auch mittels L2TP/IPSec läuft, sodass du das ganz easy unter den iOS Einstellungen (und Windows 10) dich damit verbinden kannst, würde ich den Synology VPN bevorzugen. Der sollte dann auch die IP Vergabe so hinbekommen, dass du - hoffentlich ohne umfangreiche Konfiguration - Zugriff auf dein NAS bekommst.

@robse entscheidend ist AES-NI Support. Am besten über Intel Ark nachgucken.

 

[fdiskc2000]

Wer sagt denn, dass es kein OpenVPN für iOS gibt? Funktioniert bei mir eigentlich recht gut.

 

[Gen8 Runner]

Ganz klar VPN. Die Einrichtung ist zwar je nach Gerät und Wissensstand nervig, aber wenn's erstmal läuft, dann läuft's. Und sicher ist das ganze auch noch.

 

[konfetti]

+1 für die VPN-Lösung.
Die Einrichtung an der Fritzbox ist doch garnicht sooo dramatisch.

Aber, was ich oben nicht verstehe, wie kommst Du darauf, das die Daten vom NAS nach OneDrive immer komplett und nicht imkrementell gesynct werden?
natürlich wird nicht nur die Änderung in der Datei, sondern diese 1 Datei gesynct, aber nicht der ganze Datenbestand, wenn sich da nix ändert... - würde dem Sinn ja auch voll wiedersprechen.

 

[crazyk]

+1 (Open) VPN.
nutze ich auch auf ios Geräten — alles kein Problem

 

[RedMoon]

Aber, was ich oben nicht verstehe, wie kommst Du darauf, das die Daten vom NAS nach OneDrive immer komplett und nicht imkrementell gesynct werden?
natürlich wird nicht nur die Änderung in der Datei, sondern diese 1 Datei gesynct, aber nicht der ganze Datenbestand, wenn sich da nix ändert... - würde dem Sinn ja auch voll wiedersprechen.

Steht ganz unten in der Beschreibung von Cloud Sync: https://www.synology.com/de-de/dsm/software_spec/cloud_sync#cloud_sync_feature


Einschränkungen

• Die Synchronisierung eingebundener und externer freigegebener Ordner auf dem Synology NAS wird nicht unterstützt (EDS14 ausgenommen)
• Geschwindigkeitseinschränkungen werden durch Anbieter der Cloud-Dienste festgelegt
• Beschränkungen der Dateigröße bei Uploads und Downloads werden durch Anbieter der Cloud-Dienste festgelegt
• Dateien mit von Cloud-Anbietern nicht unterstützten Dateinamen können nicht synchronisiert werden (Für weitere Informationen siehe diesen Link)
• Keine inkrementellen Updates. Dateien müssen bei jeder Änderung erneut heruntergeladen und synchronisiert werden, auch wenn nur ein Teil geändert wurde

Beitrag automatisch zusammengeführt: 15.07.2020

Ich denke ich werde das VPN auf der Synology nutzen, das gefällt mir ganz gut

Jetzt brauche ich nur noch DynDNS

 

[robse]

Jetzt brauche ich nur noch DynDNS

Das kann deine Fritzbox, wenn du die bei Myfritz anmeldest

 

[fdiskc2000]

Das kann deine Fritzbox, wenn du die bei Myfritz anmeldest

Oder den Dienst direkt von Synology nutzen.

 

[Digi-Quick]

Ich finde die FritzBox-VPN Variante auch nicht schlecht. Du brauchst halt auf dem PC 2 Programme, eins zum VPN Zugang erstellen und eins zum verbinden.

Das Einrichten geht auch in der Fritzbox selber, muß halt dann auch den VPN-Client (z.B. Shrewsoft) selber konfigurieren...

Man sollte nur tunlichst vermeiden beide Varianten einzusetzen, entweder "komfortabler" via Fritz-Fernzugang oder manuell über Fritzbox. Die FBs verschlucken sich sonst gerne mal an unterschiedlich erstellten VPN-Konfigurationen

 

[Shutterfly]

Ich werfe mal eine Alternative in den Raum, welche aufwändiger ist, man jedoch nicht auf Dienste wie AVM etc. angewiesen ist und denen keine Daten zur Verfügung stellt:

- Eigene Domain für weniger als 10 Euro im Jahr bei Anbieter mit API holen, z.B. inwx (in eigener Nutzung)
- Per lokaler VM/Container die IP-Adresse über die API in einer Subdomain seiner eigenen Domain verwenden, z.B. https://github.com/chrisb86/nsupdate

Alternativ bietet inwx auch einen einfachen DynDNS-Zugang an, jedoch für max. eine Subdomain. Mit der obigen Lösung kann man beliebige Anpassungen im DNS per API machen: https://www.inwx.de/de/offer/dyndns

Möchte man dennoch die Fritzbox arbeit machen lassen, jedoch seine eigene Domain nutzen und nicht AVM die Daten zukommen lassen, soll es wohl auch so gehen (jedoch ohne Gewähr): https://sla.cc/kostenloses-dyndns-mit-inwx/

Hat man dies erst einmal gemacht, hat man auch viel mehr Möglichkeiten lokal bei sich Dinge anzubieten (eigener reverse proxy usw.), sofern man die Ahnung hat. Thema Sicherheit ist hier natürlich nicht zu vernachlässigen.

 

[Ceiber3]

Synology selber kann Dyndns, wozu so umständlich ?

 

[hominidae]

...wie wäre es mit eienm SDN, wie zerotier oder tailscale?
Da braucht es nur einen Client, kein DynDNS oder so.... und zerotier ist meines Wissens auch für die Synology verfügbar, aber ein Pi tut es auch.
Nutze es unterwegs auf meinem Win10 Laptop und Android Phone....zuhause läuft zerotier in einem Docker auf dem NAS (UnRaid) und ich kann auf alle meine Netze, inkl. VLANs zugreifen (OK, das geht mit ner Fritte allein nicht, aber ist hier ja nicht gefordert)

 

[Shutterfly]

Synology selber kann Dyndns, wozu so umständlich ?

Gegenfrage: Woher soll ich das wissen?

Und zum Thema "umständlich": Wie gesagt, die oben genannte API-Lösung kann noch einiges mehr als nur eine Subdomain mit einer IP versorgen. Und das noch mit der eigenen Domain, was auch diverse Vorteile hat (z.B. Unabhängigkeit und Flexiblität beim "DDNS-Anbieter", sauberes internes DNS-Überschreiben mit der eigenen Domain damit man mit gleicher Domain nicht extern routet, usw.).

Es ist halt umständlicher aber ungleich mächtiger. Und sollte jemandem, der sich gerade in der Orientierungsphase befindet, auch genannt werden.

PS: So viel umständlicher ist es übrigens auch nicht