Mobile-Menu

Mit OpenVPN-Client VPN-Server mit dem Synology-NAS aufbauen

Von Thomas Joos 5 min Lesedauer

Anbieter zum Thema

Synology GmbH

Synology bietet für seine NAS-Systeme einen eigenen VPN-Server, über den Anwender von unterwegs eine Einwahl in das lokale Netzwerk vornehmen können. Dazu kann zum Beispiel OpenVPN zum Einsatz kommen. Wir zeigen die Einrichtung und Möglichkeiten des Synology VPN Server.

Ist auf einem Synology-NAS-System das Paket „VPN Server“ installiert, können sich Anwender remote und vor allem sicher auf das NAS verbinden – sogar mit Smartphone und Tablet.(Bild: © WrightStudio - stock.adobe.com)
Ist auf einem Synology-NAS-System das Paket „VPN Server“ installiert, können sich Anwender remote und vor allem sicher auf das NAS verbinden – sogar mit Smartphone und Tablet.
(Bild: © WrightStudio - stock.adobe.com)

Synology liefert mit seinen NAS-Systemen einen VPN-Server mit, der sich über das Paket „VPN Server“ im Paketzentrum installiert wird. Damit wird es möglich, dass sich Anwender remote auf das NAS-System sicher einwählen können, auch über Smartphone und Tablett. Nach der Installation des Paketes „VPN Server“ aus dem Paketzentrum steht die Oberfläche bereits zur Verfügung. Standardmäßig lassen sich PPTP, OpenVPN und L2TP/IPsec als VPN nutzen. Leider hat Synology noch keine Integration von WireGuard in den VPN-Server vorgenommen. Dafür ist aber OpenVPN mit dabei. Eine sichere und einfache Alternative zum VPN-Server ist der Synology-Dienst QuickConnect.

Bildergalerie

OpenVPN auf Synology-NAS einrichten

Die Einrichtung von OpenVPN ist ein guter Weg, um ein sicheres und stabiles VPN mit einem Synology-NAS aufzubauen. Dazu erfolgt auf der Firewall oder dem Router eine Port-Weiterleitung zum Synology-NAS, das den VPN-Zugriff der Benutzer authentifiziert. Das ist auch für KMU ein durchaus interessanter Weg, um mobilen Mitarbeitern Zugang zum lokalen Netzwerk und zu den Daten auf dem NAS zu gewähren.

So richten Sie OpenVPN über Synology ein:

  • 1. Um OpenVPN zu nutzen, erfolgt ein Klick auf „OpenVPN“ links im Menü der App „VPN Server“.
  • 2. Mit „OpenVPN-Server aktivieren“, schaltet die App die Einstellungen für den OpenVPN-Server frei.
  • 3. Die „Dynamische IP-Adresse“ legt fest, welche IP-Adresse die Clients erhalten und bei „Max. Anzahl von Verbindungen“ wird gesteuert, wie viele Verbindungen maximal möglich sind, um das NAS nicht zu überlasten. Wichtig sind auch die maximalen Verbindungen eines Benutzers und der Port, der für die OpenVPN-Verbindungen zum Einsatz kommen soll.
  • 4. Diesen Port und das verwendete Protokoll muss in der Firewall des Netzwerks als Portfreigabe zum Synology-NAS weitergeleitet werden. Dazu erfolgt einfach eine Weiterleitung des entsprechenden Ports von der externen IP-Adresse der Firewall, auf die Clients zugreifen, auf die interne IP-Adresse des Synology-NAS.

Port für VPN-Zugriff festlegen

Für mehr Sicherheit kann es sinnvoll sein den OpenVPN-Standport 1194 auf einen selbst definierten Port zu legen. Das vermeidet zumindest Standard-Angriffe auf das VPN. Die Änderung des Standardports verbessert in erster Linie die Unauffälligkeit und reduziert die Angriffsfläche des Synology-Systems. Viele Scanner und automatisierte Angriffs-Tools überprüfen gezielt gut bekannte Ports um verwundbare Dienste zu identifizieren oder Brute-Force-Angriffe durchzuführen.

Ein OpenVPN-Server, der auf dem Standardport lauscht, lässt sich in der Regel sehr schnell erkennen, etwa durch einfache UDP-Portscans oder durch spezifische Fingerprinting-Techniken. Die Umstellung auf einen nicht standardisierten Port erschwert diese Erkennung. Zwar stellt diese Maßnahme keine echte Sicherheit im Sinne kryptografischer Absicherung dar, aber sie reduziert die Wahrscheinlichkeit, ins Visier automatisierter Angriffe zu geraten.

Ein weiterer Vorteil ergibt sich in Netzwerken, in denen bestimmte Protokolle oder Ports durch Firewalls oder Deep Packet Inspection blockiert werden. Durch die Verwendung von alternativen Ports kann der OpenVPN-Traffic durch Firewalls geschleust werden, die nur HTTPS-Traffic zulassen. In Kombination mit TLS-Authentifizierung und Verschleierungs­techniken lässt sich OpenVPN dann schwer. Sollen die VPN-Clients nicht nur auf die Daten des NAS zugreifen können, sondern auch auf andere Geräte im Netzwerk, muss die Option „Clients den Server-LAN-Zugriff erlauben“ aktiviert sein.

Bildergalerie

Mehr Sicherheit durch TLS-Schlüsselüberprüfung

Die Einstellung „TLS auth Schlüssel überprüfen“ im Kontext der OpenVPN-Konfiguration auf einem Synology-NAS bezieht sich auf eine zusätzliche Sicherheitsschicht, die durch den Einsatz eines HMAC-Schlüssels (Hash-based Message Authentication Code) bereitgestellt wird. Dieser Mechanismus ist unabhängig von der TLS-Zertifikatsprüfung und dient dazu, nicht-autorisierte Verbindungsversuche bereits auf Netzwerkebene abzuwehren.

Sobald die Option aktiviert ist, überprüft der OpenVPN-Server auf dem Synology-NAS bei jedem eingehenden Verbindungsversuch, ob der Client einen gültigen statischen TLS-Authentifizierungsschlüssel verwendet. Dieser Schlüssel ist getrennt vom TLS-Zertifikat und muss sowohl auf dem Server als auch auf dem Client hinterlegt sein. Nur wenn der HMAC korrekt ist, akzeptiert der Server überhaupt eine TLS-Verbindung vom Client. Andernfalls verwirft er den Verbindungsversuch sofort, ohne weitere TLS-Verhandlungen zu führen. Diese Maßnahme schützt gegen Angriffsversuche auf den TLS-Handshake, wie etwa DoS-Angriffe oder TLS-Scanning durch automatisierte Tools.

Technisch wird die Funktion durch die Konfigurationszeile „tls-auth ta.key 0“ in der OpenVPN-Serverkonfiguration umgesetzt. Der Schlüssel „ta.key“ ist ein separater symmetrischer Schlüssel, der in einem sicheren Verfahren generiert und auf beiden Seiten identisch konfiguriert wird. Synology stellt den Schlüssel in der Regel bei der Serverkonfiguration automatisch bereit und bindet ihn in die exportierte Client-Konfiguration ein, wenn die TLS-Authentifizierung aktiviert ist.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Die Einstellung „TLS auth Schlüssel überprüfen“ sollte in produktiven Umgebungen möglichst aktiviert sein, da sie keine spürbare zusätzliche Latenz verursacht, aber die Sicherheit der OpenVPN-Verbindung signifikant erhöht. Ohne diese Prüfung kann ein Angreifer zwar nicht ohne gültiges Zertifikat authentifizieren, aber er kann dennoch Verbindungen initiieren, die vom Server verarbeitet werden müssen. Mit aktivierter TLS-Authentifizierung blockiert der Server solche Anfragen direkt auf der Paketebene.

Tipp: Es gibt noch weitere Funktionen, mit denen Sie Ihr Synology-NAS absichern und somit auch den Fernzugriff schützen können. Hierzu empfehlen wir Ihnen unsere Security-Checkliste für Synology NAS-Systeme.

Benutzerberechtigungen steuern

Damit Benutzer sich per VPN einwählen dürfen, muss in der Anpassung des VPN-Servers bei „Berechtigung“ ein Haken bei „OpenVPN“ gesetzt sein. Authentifiziert sich ein Benutzer am VPN, verwendet er den Anmeldenamen am NAS mit seinem Kennwort. Wenn der Haken bei einem Benutzer nicht gesetzt ist, darf er sich nicht am VPN-Server anmelden.

Firewall auf dem NAS aktivieren

Standardmäßig ist die Firewall direkt auf einem Synology-NAS nicht aktiv. Kommt das NAS als VPN-Server zum Einsatz ist es aber sinnvoll das zu ändern. Die Aktivierung erfolgt über „Sicherheit ➔ Firewall“ in der Systemsteuerung des NAS. Danach erfolgt eine Bearbeitung der Einstellungen über die Schaltfläche „Regeln bearbeiten“. Hier sollten zwei Regeln erstellt werden. Einmal eine Regel für den VPN-Server selbst erstellt werden, der dem Server überhaupt erst gestattet Anmeldungen entgegenzunehmen. Als zweite Regel sollte von dem IP-Bereich der VPN-Clients, standardmäßig 10.8.0.0/255.255.255.0 ein Zugriff auf alle Protokolle und alle Ports gestattet werden. Wer es besonders sicher haben möchte, kann an diesen Regeln natürlich etwas feilen und diese noch sicherer gestalten. Die Verwendung der Firewall bleibt aber optional.

Bildergalerie

OpenVPN-Client einrichten

Die Einrichtung des Servers ist bereits abgeschlossen. Für die Verbindung von Clients, erfolgt die Installation des OpenVPN-Clients, zum Beispiel in Windows. Der Client steht aber auch für macOS, Linux, ChromeOS und auch für iOS und Android zur Verfügung. Für die Einrichtung des Clients ist es einfacher die Konfigurationsdatei für OpenVPN in der Verwaltung des VPN-Servers herunterzuladen. Das erfolgt mit der Schaltfläche „Konfigurationsdateien exportieren“. Der Download erfolgt als ZIP-Datei. Auf dem Client kann diese Verbindung wiederum in den Client von OpenVPN importiert werden. Bei jeder Änderung des Servers, muss auch die Konfigurationsdatei neu heruntergeladen werden, wenn ein Client eingerichtet werden soll.

Der Download umfasst eine Konfigurationsdatei mit der Endung „*.ovpn“. In dieser muss bei „remote“ am Anfang des Dokuments die externe IP-Adresse und der Port für den Zugriff eingetragen werden. Beim Start des Clients sollten Ports und IP-Adresse auftauchen. Die weitere Konfiguration der „*.ovpn“-Datei entspricht der Anpassung mit anderen OpenVPN-Servern. Beim Einsatz von dynamischen IP-Adressen, kann es sinnvoll sein noch DDNS einzurichten.

(ID:50434448)

Weiterführende Inhalte