Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss

Verständnis-Frage zu Wireguard-VPN

50 views
Skip to first unread message

Christian Treffler

unread,
Nov 2, 2021, 9:32:55 AM11/2/21
to
Hallo,

ich möchte einem User außerhalb meines Heimnetzes Zugriff auf das NAS im
Heimnetz geben. Konkret: Backup vom Laptop im Studenten-Wohnheim auf
einen Ordner im NAS zu Hause.

Eine VPN-Verbindung über Wireguard wäre leicht einzurichten, allerdings
bin ich mir nicht sicher, ob mein Ziel so erreicht werden kann: Zugriff
auf einen Netzwerk-Ordner in meinem Heimnetz, ansonsten sollen alle
anderen Internet-Verbindungen des Laptops *nicht* über das VPN laufen.

Geht das überhaupt mit VPN oder ist VPN ein "ganz oder gar nicht", d.h.
sämtliche Internet-Aktivitäten des Laptops würden über mein NAS
geroutet?
Letzteres wäre alles andere als sinnvoll.

Welche Alternativen gäbe es? FTP?

CU,
Christian

Wendelin Uez

unread,
Nov 2, 2021, 1:45:16 PM11/2/21
to
> Eine VPN-Verbindung über Wireguard wäre leicht einzurichten, allerdings
> bin ich mir nicht sicher, ob mein Ziel so erreicht werden kann: Zugriff
> auf einen Netzwerk-Ordner in meinem Heimnetz, ansonsten sollen alle
> anderen Internet-Verbindungen des Laptops *nicht* über das VPN laufen.

Ich wüsste jetzt nicht, daß ein VPN 24/7 laufen müsste, was hindert einen
daran, es nur temporär zum Backup o.ä. aufzubauen?

Christian Treffler

unread,
Nov 2, 2021, 2:09:35 PM11/2/21
to
Wendelin Uez schrieb:
Backup läuft nach Zeitplan und im Hintergund. Wäre für den User eher
lästig, wenn einfach zwischendurch sein schnelles Glasfaser-Netz über
meinen limitierten DSL-Anschluss liefe.

Ein Zoom-Meeting könnte da schnell beendet sein.

Ich möchte einen sicheren Zugang zu einem Netzwerk-Ordner auf meinem
NAS, ohne das derweil andere Netzwerk-Funktionen des Clients
eingeschränkt werden.

CU,
Christian

Marco Moock

unread,
Nov 2, 2021, 2:21:56 PM11/2/21
to
Am Tue, 2 Nov 2021 19:09:32 +0100
schrieb Christian Treffler <CTreffle...@gmx.net>:

> Wäre für den User eher
> lästig, wenn einfach zwischendurch sein schnelles Glasfaser-Netz über
> meinen limitierten DSL-Anschluss liefe.
Man könnte da Split-Tunneling machen, da wird dann nicht eine Route
nach ::/0 und 0.0.0.0/0 zu deinem VPN-Server eingetragen sondern nur zu
dem entsprechenden Netz.
Das kann man auch auf einen Host reduzieren.
2001:db8::1234/128
123.56.7.8/32

Sebastian Suchanek

unread,
Nov 2, 2021, 4:06:39 PM11/2/21
to
Am 02.11.2021 um 14:32 schrieb Christian Treffler:

> ich möchte einem User außerhalb meines Heimnetzes Zugriff auf das NAS im
> Heimnetz geben. Konkret: Backup vom Laptop im Studenten-Wohnheim auf
> einen Ordner im NAS zu Hause.
>
> Eine VPN-Verbindung über Wireguard wäre leicht einzurichten, allerdings
> bin ich mir nicht sicher, ob mein Ziel so erreicht werden kann: Zugriff
> auf einen Netzwerk-Ordner in meinem Heimnetz, ansonsten sollen alle
> anderen Internet-Verbindungen des Laptops *nicht* über das VPN laufen.
> [...]

Wireguard kenne ich nicht näher, aber zumindest mit OpenVPN geht das
Gewünschte problemlos. *Nicht* den kompletten Traffic durchs VPN laufen
zu lassen, ist bei OpenVPN IIRC sogar der Default.
Aber letztendlich ist das ohnehin nur eine Frage der Routing-Tabelle auf
dem Remote-Rechner.

> Welche Alternativen gäbe es? FTP?

FTP ganz sicher nicht, das ist nicht verschlüsselt. Wenn, dann SFTP oder
FTPS. Ansonsten könnte auch rsync eine Option sein, das gibt's auch in
SSH-getunnelt.


HTH,

Sebastian

Marco Moock

unread,
Nov 2, 2021, 4:13:18 PM11/2/21
to
Am Tue, 2 Nov 2021 21:05:50 +0100
schrieb Sebastian Suchanek <sebastian...@gmx.de>:

> Wireguard kenne ich nicht näher, aber zumindest mit OpenVPN geht das
> Gewünschte problemlos. *Nicht* den kompletten Traffic durchs VPN
> laufen zu lassen, ist bei OpenVPN IIRC sogar der Default.
> Aber letztendlich ist das ohnehin nur eine Frage der Routing-Tabelle
> auf dem Remote-Rechner.
Richtig. Man kann die Routen am VPN-Server definieren, der VPN-Client
trägt diese dann im Remote-System ein. Der Benutzer könnte das ggf.
auch selbst machen und so anpassen.

> > Welche Alternativen gäbe es? FTP?
>
> FTP ganz sicher nicht, das ist nicht verschlüsselt. Wenn, dann SFTP
> oder FTPS. Ansonsten könnte auch rsync eine Option sein, das gibt's
> auch in SSH-getunnelt.

Kommt drauf an. Wenn es eh öffentlich ist, wäre FTP ok. Sonst eher
blöd, denn da werden sowohl die Nutzdaten als auch die Zugangsdaten im
Klartext übertragen.
SFTP und FTPS sind aber völlig unterschiedliche Dinge, sftp geht über
ssh, FTPS ist einfach nur FTP über einen TLS-Tunnel.

Helmar

unread,
Nov 3, 2021, 3:04:01 AM11/3/21
to
Christian Treffler schrieb am 02.11.2021 um 14:32:

> ich möchte einem User außerhalb meines Heimnetzes Zugriff auf das NAS im
> Heimnetz geben. Konkret: Backup vom Laptop im Studenten-Wohnheim auf
> einen Ordner im NAS zu Hause.

Ganz abgesehen von der VPN-Thematik:
Wenn du einen Ordner freigeben willst vermute ich du möchtest ein CIFS/SMB
Protokoll für den Transfer benutzen. Das SMB hat einen relativ hohen
Protokolloverhead und ist für die Fernübertragung ineffizient. Wenn du das
für Backupzwecke nutzen möchtest, je nach Transfermenge, Sync und Qualität
der Anbindung wird das arg langsam.

Für kleine Lösungen, ohne das selbst getestet zu haben, die besseren NAS
Geräte bringen dafür notwendige Addons bereits mit.

--
Steve Miller <mister...@hotmail.com> in
news:eI2boH5...@TK2MSFTNGP10.phx.gbl
"Außerdem bin ich nicht lernrestent. Ich weiß einfach schon alles."

Christian Treffler

unread,
Nov 3, 2021, 7:28:44 AM11/3/21
to
Sebastian Suchanek schrieb:

> Aber letztendlich ist das ohnehin nur eine Frage der Routing-Tabelle auf
> dem Remote-Rechner.

Da werde ich mich mal mit Routing-Tabellen beschäftigen.

> FTP ganz sicher nicht, das ist nicht verschlüsselt.

Ja, soweit war ich auch schon.

> Wenn, dann SFTP oder FTPS.

Nicht ganz so einfach. Mein NAS kann zwar SFTP, aber nicht auf einem
anderne Port als SSH. Ein Port Forwarding durch meinen DSL-Router auf
SFTP würde auch die SSH-Schnittstelle nach außen entblößen. Da habe ich
keine Lust drauf.

FTPS wäre ein Möglichkeit, braucht aber mehr als einen Port.

CU,
Christian

Christian Treffler

unread,
Nov 3, 2021, 7:32:25 AM11/3/21
to
Helmar schrieb:

> Wenn du einen Ordner freigeben willst vermute ich du möchtest ein CIFS/SMB
> Protokoll für den Transfer benutzen. Das SMB hat einen relativ hohen
> Protokolloverhead und ist für die Fernübertragung ineffizient. Wenn du das
> für Backupzwecke nutzen möchtest, je nach Transfermenge, Sync und Qualität
> der Anbindung wird das arg langsam.

Damit werde ich leben müssen. Wir haben als Backup-Programm SyncBackSE
im Einsatz. Das ermöglicht einem ziemlich komplexe Backup-Szenarien.
Kommunikation ist halt über Laufwerks-Freigaben oder FTP.

CU,
Christian

Christian Treffler

unread,
Nov 3, 2021, 11:35:08 AM11/3/21
to
Christian Treffler schrieb:

> Geht das überhaupt mit VPN oder ist VPN ein "ganz oder gar nicht", d.h.
> sämtliche Internet-Aktivitäten des Laptops würden über mein NAS
> geroutet?

Erst mal Danke an alle für Ihre Kommentare.

Habe heute mal testweise eine WireGuard-Verbindung eingerichtet und
damit hat sich meine Frage selbst beantwortet.
Bei WireGuard gibt es die Client-Konfigurations-Einstellung
"AllowedIPs". Setzt man diese auf die IP der Gegenstelle, dann werden
nur Verbindungen zu dieser IP über WireGuard geroutet.
Setzt man sie auf 0.0.0.0/0, dann geht alles über WireGuard.

CU,
Christian

Sebastian Suchanek

unread,
Nov 3, 2021, 11:46:40 AM11/3/21
to
Am 03.11.2021 um 12:28 schrieb Christian Treffler:
> Sebastian Suchanek schrieb:
>
>> Aber letztendlich ist das ohnehin nur eine Frage der Routing-Tabelle auf
>> dem Remote-Rechner.
>
> Da werde ich mich mal mit Routing-Tabellen beschäftigen.
> [...]

Schau erst 'mal ob der Wireguard-Client sich nicht so konfigurieren
lässt, dass er das automagisch zurecht biegt. Ich wäre überrascht, wenn
er das nicht könnte.


Tschüs,

Sebastian

Christian Treffler

unread,
Nov 3, 2021, 12:21:34 PM11/3/21
to
Sebastian Suchanek schrieb:

> Schau erst 'mal ob der Wireguard-Client sich nicht so konfigurieren
> lässt, dass er das automagisch zurecht biegt. Ich wäre überrascht, wenn
> er das nicht könnte.

Du hast Recht :-)

CU,
Christian

Michael Logies

unread,
Nov 3, 2021, 2:45:15 PM11/3/21
to
On Tue, 2 Nov 2021 14:32:52 +0100, Christian Treffler
<CTreffle...@gmx.net> wrote:

>Welche Alternativen gäbe es?

Hamachi, s. https://www.vpn.net/

Grüße

M.

Michael Logies

unread,
Nov 3, 2021, 2:48:10 PM11/3/21
to
On Wed, 3 Nov 2021 12:32:22 +0100, Christian Treffler
<CTreffle...@gmx.net> wrote:

>Damit werde ich leben müssen. Wir haben als Backup-Programm SyncBackSE

Bei mir läuft SyncBackPro seit diversen Jahren über Hamachi
problemlos. Berichte mal, wie es mit Wireguard ausgeht.

Grüße

M.

Marco Moock

unread,
Nov 3, 2021, 2:49:27 PM11/3/21
to
Am Wed, 3 Nov 2021 12:28:40 +0100
schrieb Christian Treffler <CTreffle...@gmx.net>:

> Nicht ganz so einfach. Mein NAS kann zwar SFTP, aber nicht auf einem
> anderne Port als SSH. Ein Port Forwarding durch meinen DSL-Router auf
> SFTP würde auch die SSH-Schnittstelle nach außen entblößen. Da habe
> ich keine Lust drauf.
Kannst du am NAS nicht eine ACL anlegen, sodass der Shell-Login nur für
bestimmte User aus bestimmten IP-Bereichen erlaubt ist?
In OpenSSH soll das gehen.

Christian Treffler

unread,
Nov 3, 2021, 4:02:35 PM11/3/21
to
Marco Moock schrieb:

> Kannst du am NAS nicht eine ACL anlegen, sodass der Shell-Login nur für
> bestimmte User aus bestimmten IP-Bereichen erlaubt ist?

Möglicherweise. Nicht über die normale GUI, aber übers Linux-System.
Ich habe auch schon in einem NAS-Forum andere Tipps mit dem Einsatz von
Zertifikaten gesehen.
Aber ehrlich: Zu viel Aufwand und ich wäre nie sicher, ob ich alles
richtig und sicher konfiguriert habe.

CU,
Christian

Christian Treffler

unread,
Dec 29, 2021, 3:11:23 PM12/29/21
to
Michael Logies schrieb:

> Bei mir läuft SyncBackPro seit diversen Jahren über Hamachi
> problemlos. Berichte mal, wie es mit Wireguard ausgeht.

Also denn, ich habe mir ziemlich viel Zeit gelassen, dass zu
implementieren.

WireGuard lässt sich leicht installieren und konfigurieren. Ich wollte
aber nicht permanent einen Tunnel vom Client-Rechner zu meinem NAS offen
haben, sondern nur während ein Backup läuft.

Also habe ich ein paar PowerShell-Skripte geschrieben, die den Tunnel
nach Bedarf öffnen und schließen. Für den Fall, dass mehrere
SyncBackSE-Profile parallel laufen können, ist das eine Herausforderung.
Wenn der Tunnel schon offen ist, sollte man nicht nochmal das Kommando
zum Öffnen schicken, weil dann eine Fehlermeldung aufpoppt. Das will man
bei Backup-Aufgaben, die im Hintergrund laufen, nicht haben.
Wenn ein Profil fertig ist, darf der Tunnel nicht geschlossen werden,
solange noch ein anderes Profil läuft.

Die Skripte werden vom SyncBackSE-Profil gestartet. Man kann Sie unter
'Programme - Profilstart' und 'Profilende' eintragen, und die Ausführung
des Profils auch von Fehlercodes vom Skript abhängig machen.
Böse Falle, aus der ich erst mit Hilfe des Supports von SyncBackSE raus
fand: Wenn unter 'Kopier-/Löschoptionen' => 'Netzwerk' die Option
'Schweigend abbrechen, wenn Ziel nicht im Netzwerk erreichbar ist...'
ausgewählt ist, funktioniert das Ganze nicht. SyncBackSE versucht in
diesem Fall nämlich zuerst, das Ziel zu erreichen. Wenn es das nicht
findet, weil der Tunnel noch nicht offen ist, dann wird auch das Skript
zum Tunnel-Öffnen nicht gestartet.

Sinn macht das alles nur, wenn die Backup-Aufgaben unter einem
Administrator-Konto laufen. WireGuard Tunnel lassen sich nämlich nur mit
Admin-Rechten öffnen oder schließen. Wenn die Profile die
PowerShell-Skripte unter einem eingeschränkten Konto starten, bekommt
der User ein UAC-Prompt vorgesetzt. Das will man für automatische
Backups nicht haben.

Mal sehen, wie sich das bewährt. Langzeit-Erfahrungen stehen noch aus.

CU,
Christian

Michael Logies

unread,
Dec 31, 2021, 7:27:47 PM12/31/21
to
On Wed, 29 Dec 2021 21:11:21 +0100, Christian Treffler
<CTreffle...@gmx.net> wrote:

>Mal sehen, wie sich das bewährt. Langzeit-Erfahrungen stehen noch aus.

Danke für die Rückmeldung!

M.
0 new messages