VPN Server instellen

Met het pakket VPN Server maakt u van uw Synology NAS een VPN-server zodat SRM-gebruikers op externe en beveiligde wijze toegang hebben tot gedeelde bronnen van het LAN-netwerk van uw Synology NAS. Door de integratie van gebruikelijke VPN-protocollen, PPTP, OpenVPN en L2TP/IPSec, biedt VPN Server opties om VPN-services op maat in te stellen en te beheren. Selecteer een van de volgende types VPN-servers en installeer en start VPN Server om VPN-services op uw Synology NAS in te schakelen.

Opmerking:

  • als u VPN-service inschakelt, zal dit de systeemprestaties beïnvloeden.
  • Alleen administrators kunnen VPN Server installeren en instellen.

PPTP

PPTP (Point-to-Point Tunneling Protocol) is een veelgebruikte VPN-oplossing die door de meeste clients wordt ondersteund (zoals Windows, Mac, Linux en mobiele toestellen). Meer informatie over PPTP vindt u hier.

Om een PPTP VPN-server in te schakelen:

  1. Open VPN Server en ga vervolgens in het linkerpaneel naar Instellingen > PPTP.
  2. Tik op PPTP VPN-server inschakelen.
  3. Geef een virtueel IP-adres van de VPN-server op in de velden Dynamisch IP-adres. Zie Over Dynamisch IP-adres hieronder voor meer informatie.
  4. Stel Maximum aantal verbindingen in om het aantal gelijktijdige VPN-verbindingen te beperken.
  5. Stel Maximum aantal verbindingen met dezelfde account in om het aantal gelijktijdige VPN-verbindingen met dezelfde account te beperken.
  6. Kies uit de volgende opties in het keuzemenu Verificatie om VPN-clients te verifiëren:
    • PAP: wachtwoorden van VPN-clients worden niet gecodeerd tijdens de verificatie.
    • MS-CHAP v2: de wachtwoorden van VPN-clients worden tijdens verificatie versleuteld met Microsoft CHAP versie 2.
  7. Als u MS-CHAP v2 selecteert voor verificatie, kiest u een van de volgende opties in het vervolgkeuzemenu Codering om de VPN-verbinding te coderen:
    • Geen MPPE: de VPN-verbinding wordt niet beveiligd met een coderingsmechanisme.
    • MPPE vereisen (40/128 bit): de VPN-verbinding wordt beveiligd met een coderingsmechanisme van 40-bit of 128-bit, afhankelijk van de instellingen van de client.
    • Maximum MPPE (128 bit): de VPN-verbinding worden beveiligd met een 128-bitcoderingsmechanisme. Dit is het hoogste beveiligingsniveau.
  8. Stel MTU (Maximum Transmission Unit) in om de grootte van datapakketjes te beperken via VPN.
  9. Schakel het selectievakje Handmatige DNS gebruiken en geef het IP-adres van een DNS-server op voor PPTP-clients. Is deze optie uitgeschakeld, dan wordt de door Synology NAS gebruikte DNS-server naar de clients gepusht.
  10. Klik op Toepassen om de wijzigingen toe te passen.

Opmerking:

  • bij het verbinden met de VPN moeten de verificatie- en coderingsinstellingen van VPN-clients identiek zijn aan de opgegeven instellingen op VPN Server, anders kunnen clients geen verbinding maken.
  • Voor compatibiliteit met de meeste PPTP-clients met Windows-, Mac OS-, iOS- en Android-besturingssystemen wordt de MTU op de standaardwaarde 1 400 ingesteld. In complexere netwerkomgevingen is wellicht een kleinere MTU-waarde nodig. Verminder de MTU-grootte bij herhaaldelijke time-outfouten of bij onstabiele verbindingen.
  • Controleer de instellingen voor poort doorsturen en van de firewall op uw Synology NAS en router om er zeker van te zijn dat tcp-poort 1723 open is.
  • PPTP VPN-service is geïntegreerd in enkele routers, waardoor poort 1723 bezet kan zijn. Om te garanderen dat VPN Server en PPTP van VPN Server correct werken, kan de uitschakeling van de geïntegreerde PPTP VPN-service via de eigen beheerinterface van de router noodzakelijk zijn. Daarnaast blokkeren enkele oude routers het GRE-protocol (IP-protocol 47), waardoor de VPN-verbinding niet tot stand komt. Wij raden het gebruik aan van een router met ondersteuning voor VPN-passthrough-verbindingen.

OpenVPN

OpenVPN is een open-sourceoplossing voor het implementeren van een VPN-service. Het beveiligt VPN-verbinding met het coderingsmechanisme SSL/TLS. Meer informatie over OpenVPN vindt u hier.

Om een OpenVPN VPN-server in te schakelen:

  1. Open VPN Server en ga vervolgens in het linkerpaneel naar Instellingen > OpenVPN.
  2. Tik op OpenVPN-server inschakelen.
  3. Geef een virtueel intern IP-adres van de VPN-server op in de velden Dynamisch IP-adres. Zie Over Dynamisch IP-adres hieronder voor meer informatie.
  4. Stel Maximum aantal verbindingen in om het aantal gelijktijdige VPN-verbindingen te beperken.
  5. Stel Maximum aantal verbindingen met dezelfde account in om het aantal gelijktijdige VPN-verbindingen met dezelfde account te beperken.
  6. Tik op Compressie op de VPN-koppeling inschakelen als u de gegevens tijdens de overdracht wilt comprimeren. Deze optie kan de overdrachtsnelheid verhogen, maar ook gebruikmaken van meer systeembronnen.
  7. Tik op Clients toegang geven tot de LAN-server om clients toegang te geven tot de LAN-server.
  8. Schakel het selectievakje IPv6-servermodus inschakelen in zodat de OpenVPN-server IPv6-adressen kan verzenden. Eerst moet u een voorvoegsel ophalen via 6in4/6to4/DHCP-PD in Configuratiescherm > Netwerk > Netwerkinterface. Selecteer vervolgens het voorvoegsel op deze pagina.
  9. Klik op Toepassen om de wijzigingen toe te passen.

Opmerking:

  • VPN Server ondersteunt geen brugmodus voor site-to-site-verbindingen.
  • Controleer de instellingen voor poort doorsturen en van de firewall op uw Synology NAS en router om er zeker van te zijn dat UDP-poort 1194 open is.
  • Gebruikt u OpenVPN GUI op Windows Vista of Windows 7, denk er dan aan dat UAC (Gebruikersaccountbeheer) standaard is ingeschakeld. Indien ingeschakeld, moet u de optie Uitvoeren als administrator gebruiken om een correcte verbinding te maken met OpenVPN GUI.
  • Denk aan het volgende bij de inschakeling van de IPv6-servermodus in Windows met OpenVPN GUI:
    1. De interfacenaam voor VPN mag geen spatie bevatten, zo moet bijvoorbeeld LAN 1 worden gewijzigd naar LAN1.
    2. De optie redirect-gateway moet door de client worden ingesteld in het bestand openvpn.ovpn. Wilt u deze optie niet instellen, dan moet u DNS van de VPN-interface handmatig instellen. U kunt Google IPv6 DNS gebruiken: 2001:4860:4860::8888.

Om het configuratiebestand te exporteren:

Klik op Configuratie exporteren. Met OpenVPN kan een VPN-server een verificatiecertificaat uitgeven aan de clients. Het geëxporteerde bestand is een zipbestand met daarin ca.crt (certificaatbestand voor VPN-server), openvpn.ovpn (configuratiebestand voor de client) en README.txt (eenvoudige instructie over het instellen van een OpenVPN-verbinding op de client). Meer informatie vindt u hier.

Opmerking:

  • Bij elk gebruik van de VPN Server wordt automatisch het onder Configuratiescherm > Beveiliging > Certificaat weergegeven certificaat automatisch gekopieerd en gebruikt. Moet u een certificaat van derden gebruiken, importeer dan het certificaat onder Configuratiescherm > Beveiliging > Certificaat > Actie en start VPN Server opnieuw.
  • VPN Server wordt automatisch opnieuw gestart bij elke wijziging van het certificaatbestand in Configuratiescherm > Beveiliging > Certificaat.

L2TP/IPSec

L2TP (Layer 2 Tunneling Protocol) via IPSec biedt virtuele privénetwerken verbeterde beveiliging en wordt door de meeste clients ondersteund (zoals Windows, Mac, Linux en mobiele apparaten). Meer informatie over L2TP vindt u hier.

Opmerking:

  • Om L2TP/IPSec te gebruiken, moet uw Synology NAS op versie DSM 4.3 of hoger draaien.

Om L2TP/IPSec VPN-server in te schakelen:

  1. Open VPN Server en ga vervolgens in het linkerpaneel naar Instellingen > L2TP/IPSec.
  2. Tik op L2TP/IPSec VPN-server inschakelen.
  3. Geef een virtueel IP-adres van de VPN-server op in de velden Dynamisch IP-adres. Zie Over Dynamisch IP-adres hieronder voor meer informatie.
  4. Stel Maximum aantal verbindingen in om het aantal gelijktijdige VPN-verbindingen te beperken.
  5. Stel Maximum aantal verbindingen met dezelfde account in om het aantal gelijktijdige VPN-verbindingen met dezelfde account te beperken.
  6. Kies uit de volgende opties in het keuzemenu Verificatie om VPN-clients te verifiëren:
    • PAP: wachtwoorden van VPN-clients worden niet gecodeerd tijdens de verificatie.
    • MS-CHAP v2: de wachtwoorden van VPN-clients worden tijdens verificatie versleuteld met Microsoft CHAP versie 2.
  7. Stel MTU (Maximum Transmission Unit) in om de grootte van datapakketjes te beperken via VPN.
  8. Schakel het selectievakje Handmatige DNS gebruiken en geef het IP-adres van een DNS-server op voor L2TP/IPSec-clients. Is deze optie uitgeschakeld, dan wordt de door Synology NAS gebruikte DNS-server naar de clients gepusht.
  9. Voor optimale VPN-prestaties selecteer Uitvoeren in de kernel-modus.
  10. Voer een vooraf gedeelde sleutel in en bevestig deze. Deze geheime sleutel moet u aan uw L2TP/IPSec VPN-gebruiker verstrekken om de verbinding te verifiëren.
  11. Tik op SHA2-256 compatibele modus inschaklen (96 bit) om bepaalde clients (niet-RFC-standaard) de L2TP/IPSec-verbinding te laten gebruiken.
  12. Klik op Toepassen om de wijzigingen toe te passen.

Opmerking:

  • bij het verbinden met de VPN moeten de verificatie- en coderingsinstellingen van VPN-clients identiek zijn aan de opgegeven instellingen op VPN Server, anders kunnen clients geen verbinding maken.
  • Voor compatibiliteit met de meeste L2TP/IPSec-clients met Windows-, Mac OS-, iOS- en Android-besturingssystemen wordt de MTU op de standaardwaarde van 1400 ingesteld. In complexere netwerkomgevingen is wellicht een kleinere MTU-waarde nodig. Verminder de MTU-grootte bij herhaaldelijke time-outfouten of bij onstabiele verbinding.
  • Controleer de poort doorsturen- en firewallinstellingen op uw Synology NAS en router om u ervan te vergewissen dat de UDP-poorten 1701, 500 en 4500 open zijn.
  • L2TP of IPSec VPN-service is geïntegreerd in enkele routers, waardoor poort 1701, 500 of 4500 bezet kan zijn. Om te garanderen dat VPN Server en L2TP/IPSec van VPN Server correct werken, kan de uitschakeling van de geïntegreerde L2TP- of IPSec VPN-service via de eigen beheerinterface van de router noodzakelijk zijn. Wij raden het gebruik aan van een router met ondersteuning voor VPN-passthrough-verbindingen.

Over Dynamisch IP-adres

Afhankelijk van het nummer dat is ingevoerd onder Dynamisch IP-adres, kiest VPN Server een IP-adres uit een reeks virtuele IP-adressen als een IP-adres aan een VPN-client wordt toegekend. Als bijvoorbeeld het dynamische IP-adres van een VPN-server is ingesteld op "10.0.0.0", kan het bereik voor de virtuele IP-adressen voor VPN-clients tussen "10.0.0.1" en "10.0.0.[maximum aantal verbindingen]" liggen voor PPTP, en tussen "10.0.0.2" en "10.0.0.255" voor OpenVPN.

Belangrijk: denk hieraan voordat u het dynamische IP-adres van een VPN-server instelt:

  1. Dynamische IP-adressen voor een VPN-server moeten voldoen aan het volgende:
    • Tussen "10.0.0.0" en "10.255.255.0"
    • Tussen "172.16.0.0" en "172.31.255.0"
    • Tussen "192.168.0.0" en "192.168.255.0"
  2. Het opgegeven dynamische IP-adres van een VPN-server en de toegekende IP-adressen voor VPN-clienten mogen niet in conflict komen met andere IP-adressen die momenteel in het lokale netwerk worden gebruikt.

Over de Gateway-instelling voor VPN-verbinding van clients

Vooraleer een verbinding te maken met het lokaal netwerk van Synology NAS via VPN moeten de clients mogelijk de gateway-instelling voor de VPN-verbinding wijzigen. Zo niet, kan er mogelijk geen verbinding met het internet worden gemaakt als er een VPN-verbinding tot stand wordt gebracht. Gedetailleerde informatie vindt u hier.