Buongiorno a tutti,
mi chiamo marco e sono nuovo.
Un amico per la sua piccola azienda ha la necessità di installare e far girare un software di fatturazione sun una VM raggiungibile da remoto (easyfatt multiutenza).
essendo una piccola realtà ho pensato di far acquistare un synology DS723+ così da poter creare una VPN e poi tramite la virtualizzazione installare una macchina windows server con il software di Danea.
Ora sorge un problema in fase di configurazione, in quanto avendo una connessione rete dati 4G pare che Yallo (provider svizzero) non permetta il port forwarding nonostante la porta dedicata ad open VPN sull'indirizzo del NAS è stata aperta correttamente.
Tramite l'upnp del router attraverso il synolgy, quando fa le verifiche da errore sull'ambiente di rete come riportato nello screenshot sotto e il raggiungimento delle porte fallisce.
Ho provato inoltre con un modem TP-LINK MR6400 ad assegnare al modem un DDNS tramite no IP e creare una VPN con OpenVPN direttamente dal modem, ma quando provo a collegarmi da un altra rete (sempre 4G) va in timeout.

ci sono altre alternative, se dal NAS creassi una VM dove installare la VPN funzionerebbe?
Bisogna per forza attivare un contratto di linea fissa?
attivando un servizio come https://ipstatico.pro/ posso risolvere questo problema, ma poi l'indirizzo IP con cui esco è italiano, giusto?

  • Rekko e walt hanno risposto a questo messaggio

    MarcoCarl potresti provare soluzioni come Tailscale per raggiungerlo senza IP pubblico,altrimenti ti conviene tenere una linea fissa

      MarcoCarl se l'ISP attuale non fornisce IP pubblico nemmeno su richiesta, le uniche alternative sono il cambio ISP oppure la triangolazione cioè l'accesso al NAS tramite un host terzo - assegnatario di IP pubblico - con cui il NAS è connesso via VPN, soluzione implementabile in autonomia oppure fornita chiavi in mano da servizi come quelli citati (IPStatico,pro, Tailscale, etc etc...).

        Capisco,
        vi ringrazio per le risposte.
        ma quello che non capisco è:
        come mai se collego il modem a un servizio di DDNS (tramite il pannello del modem) collegando il mio account e poi faccio fungere il router da server VPN OpenVPN, non riesco comunque a collegarmi alla sessa rete da un'altra macchina co rete differente. così non dovrebbe funzionare?

        Grazie

        • walt ha risposto a questo messaggio

          MarcoCarl se associ un DDNS all'IP di connessione mobile implementata in modalità CGNAT (cioè con IP condiviso tra gli utenti) o addirittura all'IP privato, non risolvi il limite del mancato IP pubblico...

              walt ok ora mi è chiaro.
              ma quindi se avessi invece una rete fissa, avrei il medesimo problema? oppure in quel caso avendo un IP Pubblico dinamico che potrei gestire tramite un servizio di DDNS?

              Abbonandomi a IP statico pro, però avrei un IP italiano pur avendo una rete 4g sviezzera.
              Grazie ancora

              • walt ha risposto a questo messaggio

                  MarcoCarl se avessi invece una rete fissa, avrei il medesimo problema? oppure in quel caso avendo un IP Pubblico dinamico che potrei gestire tramite un servizio di DDNS?

                  Dipende dalla modalità di indirizzamento IP fornita dall'ISP, devi informarti preventivamente.

                  MarcoCarl Abbonandomi a IP statico pro, però avrei un IP italiano pur avendo una rete 4g sviezzera.

                  Senza dubbio a livello di geolocalizzazione fa fede l'IP pubblico dell'host utilizzato per la triangolazione, nel caso di IPStatico.pro suppongo utilizzino classi di IP assegnate ad ASN italiano.

                        walt Per favore, puoi spiegarmi meglio il dipende:
                        nel senso, pur avendo un IP pubblico dinamico, attraverso un servizio di DDNS, non dovrei poi riuscire a connettermi alla mia rete tirando su la VPN dal synology, settando il DDNS direttamente dal NAS?

                        scusa le domande.

                        Grazie

                        • walt ha risposto a questo messaggio

                            MarcoCarl alcuni ISP forniscono IP pubblico soltanto su richiesta eventualmente dietro pagamento una tantum o ricorrente, perlomeno in Italia 🤓

                                walt forse sto facendo confusione, però io avevo scelto synology dato che potevo creare una VPN attraverso il pacchetto VPN server. Una volta settato, poi tramite il servizio di DDNS integrato collegavi il NAS aprivi la porta ed era fatta, inserivi nel file di conf di OpenVPN l'indirizzo DDNS e potevi collegarti al NAS da remoto.

                                sbaglio qualcosa?

                                    MarcoCarl Sbagli che non richiedi un indirizzo IP pubblico.
                                    Tutto il resto è praticamente giusto

                                      MarcoCarl l'indirizzo DDNS e potevi collegarti al NAS da remoto.

                                      Se è solo per VPN e non devi esporre nessun servizio vai di Tailscale

                                        mmmm.... scusate se insisto, ma non mi è molto chiaro:

                                        quindi via 4G non si riesce per via del cgnat e questo è assodato.

                                        ma se invece passassi ad una connessione con rete fissa/Fibra avrei un indirizzo IP Pubblico dinamico, che quindi posso raggirare attraverso il servizio DDNS del NAS andando ad aprire poi la porta UDP 11994 sfruttando il pacchetto integrato VPN server?

                                        chiaro se poi volessi fare un ulteriore step, dovrei richiedere un indirizzo IP pubblico fisso da sostituire al DNS che setterò nel file di conf di Open VPN.

                                        è corretto?

                                        Grazie

                                          MarcoCarl immagina che il NAS sia una villa (A) ed ipotizziamo due scenari:

                                          1. A è servita da una strada pubblica
                                          2. A è servita soltanto da un strada privata che la collega ad una seconda villa (B) a sua volta servita da una strada pubblica

                                          Nel primo puoi raggiungere A direttamente, nel secondo puoi raggiungerla soltanto passando da B che si occupa di filtrare/smistare il traffico da/verso A: di fatto in entrambi gli scenari puoi raggiungere A e puoi scegliere come e cosa trasportare nel tragitto.

                                          Ricapitolando:

                                          • vuoi mantenere l'attuale ISP? per raggiungere il NAS da internet devi triangolare
                                          • vuoi cambiare ISP? verifica che fornisca IP pubblico

                                            MarcoCarl ma se invece passassi ad una connessione con rete fissa/Fibra non avrei un indirizzo IP Pubblico dinamico, che quindi posso raggirare attraverso il DDNS sul NAS andando ad aprire poi la porta UDP 11994 sfruttando il pacchetto integrato VPN server?

                                            Controlla che il tuo (prossimo) ISP non usi CGNAT (adesso si fa anche su rete fissa) o che ti dia la possibilità di ottenere IP pubblici.

                                            Io ci riprovo, a rischio di risultare insistente, hai provato con Tailscale? Ci metti meno a configurare quello che nemmeno OpenVPN (oltre che Wireguard>>>OpenVPN)

                                                OK,
                                                ora ho capito, non pensavo che cgnat venisse applicato ora anche sulle linee fisse,
                                                pensavo che per le linee fisse si avesse ancora un IP pubblico dinamico (su richiesta IP pubblico statico) e che attraverso il DDNS e apertura delle porte sul router si potesse ancora esporre all'esterno un dispositivo.

                                                Ora chiederò all' ISP se si puo' avere un IP pubblico o optare per triangolare su VPS, altrimenti come suggerito usare tailscale o simili.

                                                Grazie

                                                Lorenzo1635 stavo provando ad usare tailscale ma non fa esattamente cosa mi aspetto, anche perchè io non lo osso raggiungere da altri client in VPN....

                                                    MarcoCarl stavo provando ad usare tailscale ma non fa esattamente cosa mi aspetto, anche perchè io non lo osso raggiungere da altri client in VPN....

                                                    Può essere che io non abbia capito il tuo usercase.
                                                    Se i client in VPN si ritrovano la rotta 0.0.0.0/0 iniettata dal tuo software di tunnelling allora non sarebbe andato nemmeno il tuo piano con OpenVPN.
                                                    Riesci a descrivere meglio il tuo setup?

                                                        Lorenzo1635 Certo!
                                                        Attualmente è presente un router 4G-LTE Tenda 4G07 con al suo interno una SIM Yallo.
                                                        il mio obbiettivo è di collegare a questo modem un NAS synology con il quale, inizialmente volevo creare una VPN con il pacchetto VPN Server integrato, gestendo l'accesso esterno tramite DDNS offerto dal produttore aprendo le porte del router per l'indirizzo del NAS.
                                                        Una volta creata la VPN, vorrei virtualizzare all'interno del NAS una VM con windows server 2022 dove installerò Danea esyfatt e condividere il suo DB su tutti i PC della rete.

                                                        Quindi se riuscissi a fare una VPN a partire dal NAS, potrei così far atterrare i client che si collegano a condividere e scrivere sul DB del software essendo sulla stessa rete e condividere anche file.

                                                        Fondamentale sarebbe avere un IP svizzero in caso ci dovessero essere dei controlli.

                                                        Ho provato ad inserire inoltre ad inserire l'indirizzo fornitomi dai tailscale in opneVPN ma presumo non sia il protocollo corretto....

                                                        Grazie

                                                            MarcoCarl

                                                            Ok. Ma allo stato attuale che software VPN utilizzi? Quest'ultimo è configurato in modo da far passare "tutto internet" (0.0.0.0/0 via VPN_INTERFACE o quello che è) per la VPN? Anche in futuro vorresti far passare tutto internet per quel Synology?

                                                            MarcoCarl Ho provato ad inserire inoltre ad inserire l'indirizzo fornitomi dai tailscale in opneVPN ma presumo non sia il protocollo corretto....

                                                            Nope, ha il suo client proprietario. Nel backend usa Wireguard: OpenVPN è abbastanza legacy a questo punto (e per fortuna).

                                                                  Lorenzo1635 grazie per la pronta risposta. al momento non sto usando nessun software per la VPN, ho provato con Open vpn Connect a tentare di andare sul ip pubblico di tailscale. Leggo un po’ la doc, perché non ho capito se una volta collegato il nas a tailscale devo comunque configurare da esso una VPN…
                                                                  Temporaneamente vorrei far passare il traffico dal nas per i client collegati, successivamente pianificheremo una messa in piedi di una infrastruttura con router, firewall e server a rack…era solo per iniziare a lavorare in remoto con questo software di fatturazione.
                                                                  Sono ben aperto a consigli/critiche. Sono un sistemista con poca esperienza in ambito networking, più storage e backup

                                                                      Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈
                                                                      P.I. IT16712091004 - info@fibraclick.it

                                                                      ♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile