Sicher ins Heimnetz mit Open VPN
Viele Vpn-dienste setzen auf die Open-source-software Open VPN. So setzen Sie die freie Software optimal ein
Die Fritzbox ist der beliebteste Router hierzulande – vor allem, weil sie alle wichtigen Techniken unterstützt, die Sie für Heimnetz und Internet benötigen. Nur beim Thema VPN (virtuelles privates Netzwerk) beschreitet die Fritzbox einen Sonderweg. Denn für die sichere verschlüsselte Verbindung setzt der Avm-router auf das Protokoll IPSEC. Viele andere Router, die meisten Nas-hersteller und fast alle Vpn-tools nutzen dagegen die freie Software Open VPN.
Bei den – meist kostenpflichtigen – Diensten eines Vpn-anbieters sorgt sie dafür, dass der Kunde von seinem PC oder Smartphone eine sichere Vpn-verbindung zu einem der zahlreichen Vpn-server des Anbieters in einem beliebigen Land erhält. Auf diese Weise kann ein Client sicher von unsicheren lokalen Netzwerken wie einem Wlan-hotspot aus kommunizieren oder selbst beim Surfen von zu Hause aus nicht vom eigenen Internetprovider bespitzelt werden. Ein weiterer Vorteil: Verbindet sich der Vpn-nutzer mit einem Gateway in einem anderen Land, so erhält er am Ausgang des Vpn-tunnels eine länderspezifische Ip-adresse und umgeht damit das sogenannte Geoblocking.
Aber auch für den Remote-zugang ins Heimnetz lässt sich Open VPN verwenden. So können Sie die Netzwerkgeräte zu Hause mit einem einzelnen Client, beispielsweise einem PC oder Smartphone, von unterwegs erreichen. Oder Sie verbinden gleich ein ganzes entferntes Netzwerk mit einem anderen – zum Beispiel das Home-office mit dem Büro.
So kommen Sie mit Open VPN ins Heimnetz
Damit Sie sich per Open VPN in ein Netzwerk verbinden können, benötigen Sie dort einen Vpn-server. Das lässt sich auf mehrere Arten bewerkstelligen: Zum Beispiel können Sie einen PC im Heimnetz als Openvpn-server einrichten. Das ist zwar sehr einfach, weil Sie dafür keine zusätzlichen Geräte benötigen. Aber der PC muss dann rund um die Uhr laufen, damit Sie immer ins Heimnetz kommen. Sinnvoller wäre es also, wenn der Open-vpn-server auf einem Gerät installiert ist, das sowieso rund um die Uhr eingeschaltet ist, wie beispielsweise ein Router oder ein NAS.
Es gibt einige Router, die sich ab Werk als Open-vpn-gegenstelle einsetzen lassen – zum Beispiel von Asus oder Netgear. Am sinnvollsten ist es aber, dafür ein vorhandenes Nas-system zu nutzen. Denn die Geräte der wichtigen Hersteller wie Qnap, Synology oder Asustor lassen sich alle kostenlos mit einem Vpn-server nachrüsten, der auch Open VPN unterstützt. In diesem Artikel zeigen wir deshalb am Beispiel einer Synology-nas, wie das funktioniert.
Dazu sind mehrere Schritte erforderlich. Zunächst installieren Sie den Vpn-server auf dem NAS und exportieren die zugehörige Open-vpn-datei samt Ssl-zertifikat. Mit einer Portweiterleitung veranlassen Sie Ihren Router, eine Open-vpn-anfrage von außerhalb an die NAS weiterzuleiten. Außerdem richten Sie einen Dyndns-dienst im Router ein, damit Ihr Heimnetz von außen immer unter derselben Webadresse erreichbar ist. Zu guter Letzt installieren Sie sich den Open-vpn-client auf Ihrem PC oder Smartphone, importieren die Openvpn-dateien des NAS und stellen im fünften und letzten Schritt schließlich die verschlüsselte Verbindung zum NAS respektive Ihrem Heimnetz her.
1 Vpn-server auf dem NAS im Heimnetz installieren
Zunächst installieren Sie in der Benutzeroberfläche Ihres NAS den Vpn-server, so
„Ein Nas-system lässt sich optimal als Vpn-server im Heimnetz nutzen, weil es immer eingeschaltet ist.“
fern dieser nicht schon installiert ist. Bei Synology nennt sich der Bereich zur Installation zusätzlicher Anwendungen „Paketzentrum“. Dort benötigen Sie das Paket „Vpn-server“.
Mit einem Klick auf „Installieren“laden Sie die Anwendung herunter und installieren sie. Anschließend richten Sie sie mit „Öffnen“ein. Im Konfigurationsfenster des Vpn-servers markieren Sie in der linken Spalte unter „Vpn-server einrichten“die Option „OPENVPN“und setzen anschließend oben rechts einen Haken vor „Openvpn-server aktivieren“. Belassen Sie alle bestehenden Einstellungen und setzen Sie nur einen Haken vor „Clients den Serverlan-zugriff erlauben“. Mit dieser Einstellung erhalten Sie später mit Ihrem entfernten Vpn-client auch Zugriff auf das Heimnetz, in das das NAS eingebunden ist. Nach einem Klick auf „Übernehmen“erscheint der Hinweis, dass in der Firewall des Routers noch eine Portweiterleitung auf das NAS einzurichten ist – und zwar auf den UDP-PORT 1194. Dies erledigen Sie gleich im nächsten Schritt 2.
Aber zuvor laden Sie sich die Konfigurationsdaten des Open-vpn-servers herunter: Die benötigen Sie später für Schritt 4, wenn Sie den Open-vpn-client an dem PC oder Notebook einrichten, von dem Sie später auf das NAS zugreifen möchten. Dazu klicken Sie auf die Schaltfläche „Konfigurationsdaten exportieren“und öffnen das „openvpn.zip“per Klick auf „OK“direkt im Explorer. Von den drei Dateien verschieben Sie die Datei „ca. crt“und „Vpnconfig.ovpn“auf einen Usbstick, den Sie dann in Schritt 4 benötigen.
2 Portweiterleitung für Open VPN im Router einrichten
Damit Ihre Verbindungsanfrage zum Openvpn-server der NAS korrekt ankommt, richten Sie eine entsprechende Portweiterleitung im Router ein. Bei der Fritzbox funktioniert das über das Menü „Internet –› Freigaben –› Portfreigaben“. Hier gehen Sie zunächst auf „Gerät für Freigaben hinzufügen“, wählen im Anschluss das entsprechende Gerät – nämlich Ihr NAS – aus und fügen mit einem Klick auf „Neue Freigabe“eine „Andere Anwendung“mit dem Protokoll „UDP“und dem Port „1194“in allen drei Porteingabefeldern hinzu.
Vergessen Sie nicht, nach dem Anlegen der Portfreigabe mit „OK“anschließend noch einmal mit „OK“zu bestätigen, um die Frei
gabe zu aktivieren. Achtung: Diese Beschreibung bezieht sich ausschließlich auf Internetzugänge mit öffentlicher Ipv4adresse (Dual Stack).
3 Dyndns-dienst für eine garantierte Verbindung einrichten
Fast alle Internetprovider vergeben wechselnde öffentliche Ip-adressen an ihre Kunden. Damit Sie Ihr Heimnetz immer unter der gleichen feststehenden Webadresse erreichen, sollten Sie einen Dyndns-dienst nutzen. Diese Dyndns-domain-adresse benötigen Sie, um sie in Schritt 4 in die Konfigurationsdatei des Open-vpn-clients eintragen zu können.
Wenn Sie eine Fritzbox als Internetrouter haben, wählen Sie den kostenlosen Dyndns-dienstes Myfritz von AVM. Router anderer Hersteller haben meist eine Dyndns-funktion, die sich in den Einstellungen aktivieren lässt. Als passenden Gratis-dyndns-dienst nutzen Sie zum Beispiel No-ip.com (https://www.noip.com) und tragen die entsprechenden Anmeldedaten im Routermenü ein.
Sobald der Myfritz- beziehungsweise Dyndns-dienst erfolgreich eingerichtet ist, verweist die individuell zugewiesene Myfritzoder Dyndns-domain automatisch auf die aktuelle öffentliche Ipv4-adresse Ihres Heimnetzrouters, und das Heimnetz ist für Sie ständig von außen erreichbar.
4 Open VPN auf PC oder Notebook einrichten
Im nächsten Schritt richten Sie das Notebook ein, mit dem Sie von außerhalb über Open VPN auf Ihr NAS und Ihr Heimnetz zugreifen möchten. Dazu installieren Sie sich zunächst den offiziellen Open-vpnclient „OPENVPN GUI“von der HEFT-DVD. Folgen Sie dem Setup-assistenten, und ändern Sie keine der vorgegebenen Einstellungen.
Nach Abschluss der Installation öffnet sich eine Textdatei, die Sie in Englisch auf zwei fehlende Konfigurationsdateien hinweist, die Sie in ein bestimmtes Verzeichnis der Open-vpn-installation einfügen sollen. Es handelt sich um die beiden Dateien „ca.crt“und „Vpnconfig.ovpn“aus Schritt 1, die Sie auf einen Usb-stick kopiert haben.
Vorher nehmen Sie noch eine Anpassung an einer der beiden Dateien vor. Öffnen Sie dazu die Datei „Vpnconfig.ovpn“per Doppelklick, und wählen Sie als App zum Öff
nen dieser Datei die Windows-anwendung „Editor“, der die Datei als mehrzeiliges Skript öffnet.
Ersetzen Sie dort den Eintrag „YOUR_SERVER_IP“in der vierten Zeile des Skripts durch Ihre individuelle Dyndns-adresse aus Schritt 3. In unserem Beispiel lautet die Myfritz-domain beispielsweise mmmseemann.myfritz.net. Dementsprechend wird in „Vpnconfig.ovpn“die ursprüngliche Skript-zeile remote YOUR_SERVER_IP 1194 durch den neuen Eintrag remote mmmseemann.myfritz.net 1194 ersetzt.
Entfernen Sie außerdem etwas weiter unten im Skript bei dem Eintrag #redirect-gateway def1 ganz vorne das #-Zeichen, so dass der geänderte Eintrag nun wie folgt aussieht: redirect-gateway def1
Nun speichern Sie Ihre Änderungen mit der Tastenkombination Strg-s und schließen das Editorfenster. Öffnen Sie mit der Tastenkombination Windows-e ein Windows-explorer-fenster und wechseln Sie in das Verzeichnis „Dieser PC –› Lokaler Datenträger (C:) –› Benutzer –› Ihrwindowsbenutzername –› OPENVPN –› config“. Kopieren Sie in dieses Verzeichnis die soeben geänderte Datei „Vpnconfig.ovpn“und ebenso die Datei „ca.crt“. Da dieses Verzeichnis von Windows besonders geschützt wird, müssen Sie jeden Kopiervorgang jeweils mit einem Klick auf „Fortsetzen“bestätigen. Damit ist die Konfiguration bereits abgeschlossen.
5 Open-vpn-verbindung ins Heimnetz herstellen
Starten Sie nun die Anwendung „OPENVPN GUI“über das Desktop-icon. Rechts unten in der Taskleiste von Windows erscheint nun ein neues Symbol in Form eines Monitors mit Vorhängeschloss. Gehen Sie mit Rechtsklick darauf, und wählen Sie im Kontextmenü
die Option „Verbinden“. Das Fenster „OPENVPN Verbindung“öffnet sich, und Sie werden nach „Benutzer“und „Passwort“gefragt. Geben Sie hier die Zugangsdaten Ihres Nas-benutzerkontos ein, mit denen Sie sich normalerweise im Webmenü Ihres Nas-systems anmelden.
Falls Sie alles richtig gemacht haben, baut Open VPN nun eine geschützte Verbindung zu Ihrem NAS und Ihrem Heimnetz auf. Es erscheint für wenige Sekunden die Erfolgsmeldung „Vpnconfig ist nun verbunden“. Außerdem ist der Monitor des Open-vpnsymbols in der Taskleiste nun grün gefärbt. Um die Open-vpn-verbindung wieder zu trennen, können Sie einfach per Doppelklick auf das Verbindungssymbol in der Taskleiste gehen und im Verbindungsfenster die Schaltfläche „Trennen“betätigen. Die beiden rot markierten Warnungen im Logfile der Verbindung bezüglich „certificate“und „cache passwords“können Sie getrost ignorieren.