Mobiler Zugriff verlangt keinen offenen Eingang ins Heimnetz.
Im Hotel-WLAN schnell noch eine Datei vom NAS abrufen: Ohne VPN führt der scheinbar einfache Weg oft über freigegebene Weboberflächen und Portweiterleitungen. Damit wird das NAS jedoch direkt aus dem Internet auffindbar – einschließlich seiner Anmeldeseite, möglicher Softwarefehler und automatisierter Angriffversuche.
Ein VPN dreht dieses Modell um. Nach erfolgreicher, verschlüsselter Anmeldung verhält sich das Endgerät, als wäre es im lokalen Netzwerk; erst dann wird die NAS-Adresse erreichbar. Nach außen muss nicht das NAS, sondern nur der sorgfältig abgesicherte VPN-Dienst erreichbar sein. Das reduziert die Angriffsfläche erheblich und erlaubt Zugriffe auf Freigaben, Verwaltungsoberfläche oder Backups ohne separate Internetfreigaben. Wie sinnvoll dieser Aufwand ist, hängt auch davon ab, wann ein NAS im eigenen Zuhause sinnvoll ist: Bei vertraulichen Daten und regelmäßigem Fernzugriff ist er meist gut begründet.
- Für den VPN-Zugang sind starke, einzigartige Kennwörter und Mehrfaktor-Authentifizierung vorzusehen.
Die Ausgangslage richtig prüfen
Vor der Einrichtung wird festgehalten, welches Gerät den VPN-Endpunkt bereitstellen soll: Router, NAS oder ein separates Gateway. Router sind meist die robustere Wahl, weil der Tunnel vor dem Heimnetz endet; ein NAS-VPN ist sinnvoll, wenn der Router keine geeignete Funktion bietet.
Bestehende Angriffsfläche erfassen
Im Router müssen alle Portfreigaben geprüft werden. Besonders kritisch sind Weiterleitungen auf NAS-Weboberflächen, SMB (445), FTP, SSH, WebDAV oder Verwaltungsports. Nicht mehr benötigte Regeln werden entfernt; NAS-Dienste sollten nicht parallel direkt aus dem Internet erreichbar bleiben. Auch Hersteller-Relaydienste und dynamische DNS-Namen gehören in die Bestandsaufnahme.
Anschlussart feststellen
Entscheidend ist die öffentliche Adressierung am Router:
- Öffentliche IPv4 oder Dual Stack: Eingehende VPN-Verbindungen sind per IPv4, DynDNS und gezielter Portfreigabe möglich.
- DS-Lite: Es gibt keine eigene öffentliche IPv4; klassische IPv4-Portfreigaben funktionieren nicht. Erforderlich sind IPv6, ein VPN mit ausgehendem Tunnel oder ein Tarif mit öffentlicher IPv4.
- Reines IPv6: Der VPN-Dienst benötigt eine IPv6-Freigabe in der Firewall. Der entfernte Zugang muss ebenfalls IPv6 unterstützen.
Die Anschlussart steht in der Router-Oberfläche oder beim Provider. Sie bestimmt die Technik, nicht nur die spätere Konfiguration.
Den VPN-Endpunkt sinnvoll platzieren
Ein VPN kann direkt auf dem NAS, im Router oder auf einer dedizierten Firewall enden. Die Wahl entscheidet darüber, welche Systeme nach der Einwahl erreichbar sind und wie stark das NAS selbst exponiert bleibt.
Drei Positionen mit unterschiedlichem Schutzumfang
VPN auf dem NAS ist schnell eingerichtet, bindet aber den Fernzugriff an genau dieses Gerät. Der VPN-Port muss aus dem Internet zum NAS weitergeleitet werden; Betriebssystem, VPN-Paket und NAS-Härtung werden damit besonders sicherheitskritisch. Das ist für einzelne Dienste oder VPN auf Einsteiger-NAS vertretbar, sofern Updates und Zugriffskontrollen konsequent erfolgen.
VPN im Router ist der übliche Weg im Heimnetz. Der Tunnel endet vor dem LAN, das NAS erhält keine eingehende Portfreigabe, und berechtigte Clients können bei Bedarf weitere interne Dienste nutzen. Voraussetzung sind aktuelle Firmware, individuelle Konten oder Schlüssel und eine Firewall-Regel, die VPN-Teilnehmer nur auf benötigte Netze zulässt.
Eine separate Firewall eignet sich für segmentierte Netze, mehrere Standorte und präzise Regeln zwischen VPN, LAN und Gastnetz. Sie verursacht mehr Einrichtungsaufwand, erlaubt jedoch Protokollierung, VLAN-Trennung und zentrale Sicherheitsrichtlinien.
Das passende Protokoll
- WireGuard ist für neue Installationen meist erste Wahl: schlank, schnell und schlüsselbasiert. Die Geräteunterstützung muss allerdings geprüft werden.
- OpenVPN bleibt sinnvoll, wenn ältere Router, NAS oder restriktive Netze WireGuard nicht unterstützen. Es ist breit kompatibel, aber auf schwächerer Hardware oft langsamer.
- IPsec/IKEv2 passt besonders in Unternehmensumgebungen und für Standortkopplungen, weil es etabliert und in vielen professionellen Firewalls integriert ist. Die Zertifikats- und Richtlinienverwaltung ist komplexer.
Für privaten Fernzugriff gilt daher: WireGuard auf Router oder Firewall, NAS ohne öffentliche Freigabe.
Netz und NAS vorab bereinigen
Vor der VPN-Konfiguration sollten Router, NAS und VPN-Paket auf einem noch unterstützten, aktuellen Stand sein. Sicherheitsupdates des NAS-Betriebssystems und der Router-Firmware sind Voraussetzung; ein Gerät ohne Hersteller-Support sollte nicht als Fernzugang dienen.
Nicht benötigte, von außen erreichbare Dienste gehören weg: alte Portfreigaben für DSM/QTS, SMB, FTP, SSH oder Verwaltungsoberflächen löschen und UPnP für Freigaben deaktivieren. Der VPN-Zugang ersetzt diese direkte Veröffentlichung nicht nur teilweise, sondern möglichst vollständig.
Private Netze eindeutig planen
Das Heimnetz darf sich nicht mit den Netzen späterer Zugriffsorte überschneiden. Nutzt das NAS etwa 192.168.178.0/24 und ein Hotel-, Kunden- oder Zweitstandort dieselbe Range, kann der Client Geräte am NAS-Standort nicht zuverlässig erreichen. Besser sind bewusst seltene Bereiche wie 10.47.20.0/24; das VPN erhält ein eigenes, separates Clientnetz.
DDNS sollte anschließend über Mobilfunk und ein externes Netz getestet werden. Der Name muss auf die aktuelle öffentliche Adresse zeigen; bei IPv6 ist zusätzlich ein gültiger AAAA-Eintrag und die Router-Freigabe zu prüfen.
Den Tunnel sicher konfigurieren
-
VPN-Dienst gezielt aktivieren
Auf Router oder Firewall wird ausschließlich der benötigte VPN-Dienst aktiviert, vorzugsweise WireGuard. Das NAS bleibt dabei ein interner Dienst; ein eigener VPN-Server auf dem NAS ist nur sinnvoll, wenn der Router keinen sicheren, gepflegten VPN-Endpunkt bereitstellt.
-
Schlüssel und Identitäten sauber trennen
Für jedes Endgerät wird ein eigenes WireGuard-Schlüsselpaar erzeugt; private Schlüssel verlassen das jeweilige Gerät nicht. Bei IPsec oder OpenVPN kommen individuelle Zertifikate zum Einsatz. Gemeinsame Profile verhindern eine nachvollziehbare Sperrung verlorener Geräte und sind deshalb ungeeignet.
-
Eigenes VPN-Subnetz vergeben
Der Tunnel erhält einen separaten, nicht mit Heim-, Gast- oder Firmennetzen kollidierenden Adressraum, etwa 10.67.0.0/24. Feste Client-Adressen erleichtern Firewall-Regeln, Protokollauswertung und das gezielte Entfernen einzelner Zugänge.
-
Routen und Zugriffsrechte begrenzen
Clients erhalten nur Routen zu den tatsächlich benötigten internen Netzen oder Host-Adressen. Firewall-Regeln erlauben beispielsweise den Zugriff auf NAS-Dateidienste, nicht aber auf die Verwaltungsoberfläche des Routers oder andere Verwaltungsnetze. Split-Tunneling reduziert unnötigen Verkehr; für fremde Netze kann Full-Tunneling jedoch sinnvoll sein.
-
Nur den Tunnel-Port veröffentlichen
Am Internetrouter wird genau eine Weiterleitung auf den VPN-Endpunkt eingerichtet, etwa UDP 51820 für WireGuard. DSM-/Weboberflächen, SMB, SSH, RDP und Datenbankports bleiben ohne Ausnahme geschlossen. Administration erfolgt erst nach erfolgreicher VPN-Anmeldung über interne Adressen.
Nach jeder Änderung sollte ein externer Portscan bestätigen, dass ausschließlich der vorgesehene UDP-Port erreichbar ist.
Eine Portweiterleitung für HTTPS, SMB oder SSH wird nicht dadurch sicher, dass zusätzlich ein VPN existiert. Der VPN-Endpunkt ist die einzige absichtlich erreichbare Eintrittsstelle; sämtliche NAS-Dienste und Verwaltungsoberflächen gehören hinter den Tunnel.
Zugänge pro Person und Gerät trennen
Ein VPN-Profil darf niemals von mehreren Personen oder Endgeräten gemeinsam genutzt werden. Für jede Person und möglichst für jedes verwaltete Gerät wird ein eigener WireGuard-Peer beziehungsweise ein eigenes Zertifikat angelegt; Bezeichnung, Eigentümer und Erstellungsdatum gehören in eine Zugangsübersicht. Geht ein Notebook verloren oder endet eine Zusammenarbeit, lässt sich genau dieser Zugang sperren, ohne Schlüssel aller anderen auszutauschen.
Zwei Berechtigungsebenen konsequent trennen
Der Tunnel bestätigt lediglich die Verbindung zum internen Netz. Er ersetzt weder NAS-Konten noch Freigaberechte. Auf dem NAS erhält jede Person ein eigenes Konto, idealerweise über Gruppen verwaltet, und nur die benötigten Ordner, Protokolle und Anwendungen. Ein externer Dienstleister kann etwa ausschließlich lesend auf einen Projektordner zugreifen; administrative NAS-Rechte bleiben davon getrennt.
Besonders wichtig: Das VPN-Netz darf nicht automatisch Zugriff auf alle Geräte erhalten. Firewall-Regeln begrenzen den Peer auf NAS-IP und erforderliche Ports. Regelmäßige Prüfung entfernt verwaiste Peers, Konten und Gruppen.
Split- oder Full-Tunnel gezielt wählen
Ein Split-Tunnel leitet nur Daten für definierte interne Netze – etwa 192.168.20.0/24 – durch das VPN. Internetverkehr bleibt am jeweiligen Standort. Das reduziert Latenz und entlastet den Heimanschluss, genügt jedoch nur, wenn ausschließlich NAS, Router-Verwaltung oder weitere ausdrücklich benannte Heimnetzdienste benötigt werden.
Beim Full-Tunnel wird auch der gesamte Internetverkehr über den VPN-Endpunkt geführt. Das ist sinnvoll in fremden WLANs, wenn Webzugriffe über die heimische öffentliche IP erfolgen sollen oder lokale Netze nicht vertrauenswürdig sind. Er verlangt aber ausreichend Upload-Bandbreite und kann Streaming oder Videokonferenzen spürbar beeinträchtigen.
DNS muss zum Routing passen
Interne Namen wie nas.intern oder ein lokaler Hostname müssen über einen DNS-Server im Heimnetz auflösbar sein. Dieser DNS-Server gehört bei Split-Tunneln in die erlaubten Routen; andernfalls scheitert der Zugriff trotz funktionierendem Tunnel. Ein öffentlicher Resolver kennt interne Namen nicht und kann zudem DNS-Leaks verursachen, wenn Anfragen am Tunnel vorbeigehen.
Die Firewall sollte deshalb nur die notwendigen Regeln erhalten:
- VPN-Clients dürfen das NAS nur über benötigte Ports erreichen, etwa HTTPS oder SMB.
- DNS ist ausschließlich zum vorgesehenen internen Resolver erlaubt.
- Bei Full-Tunnel-Konfigurationen wird ausgehender Verkehr nur über den VPN-Endpunkt zugelassen; eine lokale Ausweichroute verhindert Leaks.
Nach der Einwahl konsequent absichern
Dienste nur über private Adressen nutzen
Nach dem Verbindungsaufbau werden NAS-Oberfläche, SMB-Freigaben, SSH und Synchronisationsdienste ausschließlich über die LAN- oder VPN-Adresse angesprochen. Der interne DNS sollte den NAS-Namen auf eine private Adresse auflösen. Ist eine Anmeldung weiterhin über eine öffentliche Adresse möglich, besteht eine unnötige Angriffsfläche; Portfreigaben und Reverse-Proxy-Regeln sind dann erneut zu prüfen.
Das NAS zusätzlich gegen Kontoübernahmen schützen
Ein VPN bestätigt vor allem Gerät und Tunnelzugang, nicht automatisch die berechtigte Person. Deshalb benötigt jedes NAS-Konto ein langes, einzigartiges Passwort; insbesondere Administratorkonten dürfen weder geteilt noch für Dateifreigaben verwendet werden. MFA schützt mindestens die Webverwaltung und, sofern unterstützt, weitere NAS-Dienste. Ergänzend begrenzen Anmeldeversuche, zeitweise Kontosperren und Benachrichtigungen bei neuen Anmeldungen automatisierte Passwortangriffe.
- Für die tägliche Arbeit dienen Konten ohne Administratorrechte.
- Administration erfolgt über ein separates, personengebundenes Konto.
- Nicht mehr benötigte Konten, Schlüssel und VPN-Peers werden sofort deaktiviert.
Ein VPN ersetzt weder Updates, restriktive Freigaberechte noch Backups. Ein kompromittiertes Endgerät im Tunnel kann sonst dieselben internen Dienste erreichen wie ein legitimes Gerät.
VPN und MFA schützen unterschiedliche Stufen.
Der Tunnel begrenzt den Netzwerkzugang; MFA erschwert die Übernahme eines NAS-Kontos.
Client und Fernzugriff prüfen
-
Profil sicher importieren
-
WLAN deaktivieren, Mobilfunk testen
-
Tunnel und NAS-Protokoll prüfen
Ein Test im Heim-WLAN belegt keinen extern erreichbaren VPN-Endpunkt.
Synology-VPN auf Endgeräten einrichten
PrivacyTutor zeigt die Einrichtung eines Synology-VPNs und erläutert die Client-Schritte für Desktop und Mobilgeräte.
Sicherheit dauerhaft nachhalten
Ein VPN ist keine einmalige Einrichtung, sondern ein Betriebsprozess. Router, NAS, VPN-Software und Client-Betriebssysteme benötigen feste Update-Zyklen; Sicherheitsupdates mit öffentlich bekannten Schwachstellen sollten vorrangig eingespielt werden. Nach jeder größeren Aktualisierung prüft ein externer Test über Mobilfunk Einwahl, DNS-Auflösung und die tatsächlich erreichbaren Dienste.
Zugänge und Protokolle prüfen
Mindestens monatlich sind VPN-Handshake-, Anmelde- und NAS-Auditprotokolle auf unbekannte Quelladressen, fehlgeschlagene Anmeldeserien und unerwartete Zugriffszeiten zu prüfen. Nicht mehr genutzte Smartphones, Laptops oder Dienstleisterzugänge werden sofort widerrufen: Peer deaktivieren oder Schlüssel entfernen, NAS-Konto sperren und aktive Sitzungen beenden. Ein Inventar mit Gerät, Inhaber, Schlüssel-ID und Widerrufsdatum macht diese Prüfung belastbar.
Tunnel ist kein Backup
Verschlüsselung schützt den Transportweg, nicht die Daten vor versehentlichem Löschen, Ransomware oder einem kompromittierten Client. Ein infiziertes Gerät kann mit gültiger VPN-Verbindung auf erlaubte Freigaben zugreifen. Deshalb bleiben versionierte, vom NAS getrennte Backups, Snapshots mit begrenzten Schreibrechten und restriktive Freigaberechte unverzichtbar. Wiederherstellungen sollten regelmäßig anhand einzelner Dateien und ganzer Ordner getestet werden.
Fernzugriff erst nach klarer Abnahme freigeben
- Ein externer Portscan darf ausschließlich den VPN-Port zeigen; NAS-Weboberfläche, SMB, SSH, Medien- und Verwaltungsdienste bleiben unsichtbar.
- Für jeden Peer müssen Eigentümer, erlaubte Zielnetze und ein dokumentierter Widerrufsweg feststehen.
- Ein Wiederherstellungstest muss sowohl NAS-Daten als auch VPN-, DNS- und Firewall-Konfigurationen einschließen.
Die Konfiguration gilt erst als belastbar, wenn sie sich von außen eindeutig prüfen lässt: Der Tunnel ist der einzige Einstieg, das NAS antwortet nicht direkt aus dem Internet, und eine Anmeldung liefert nur die tatsächlich benötigten Netze und Dienste. Für Administrationszugänge gelten getrennte Konten, MFA und besonders enge Firewall-Regeln. Ein Test über Mobilfunk sowie die Kontrolle von VPN-, Firewall- und NAS-Protokollen belegen die Wirkung besser als eine lokale Prüfung im Heimnetz.
Zum Abschluss sollten alte Portfreigaben, UPnP-Regeln, Hersteller-Relay-Zugänge und nicht mehr benötigte DDNS-Namen entfernt werden. Entscheidend ist auch die Wiederherstellbarkeit: Gesicherte Konfigurationen, aktuelle Schlüssel- und Peer-Dokumentation sowie regelmäßig getestete Backups verhindern, dass ein Defekt oder kompromittiertes Gerät den Fernzugriff dauerhaft blockiert oder erneut öffnet.
Schreibe einen Kommentar
Du musst angemeldet sein, um einen Kommentar abzugeben.