NAS Backup via Site-to-Site VPN

Zitat von iRob

Hallo Zusammen,

ich überlege gerade ein neues Projekt, bei dem ich Hilfe benötige, weil ich nicht weiß, ob meine Vorstellung einer Umsetzung mit den Möglichkeiten der UDM Pro vereinbar sind!?

Bei dem Projekt geht es darum, eine Backup-Strategie umzusetzen:

Synology NAS im Büro ==>> lädt ein Backup auf das Synology NAS Zuhause, via Site-to-Site VPN per Glasfaser.

vorhandene Leitungen:

Glasfaser im Büro Telekom mit fester IP; Glasfaser Zuhause Dt. Glasfaser ohne feste IP (da privater Anschluss)

Da ja die UDM Pro kein Site-to-Site mittels DynDNS zulässt, funktioniert es schon mal nicht quick & dirty

Das NAS Zuhause ist am UDM Pro angeschlossen, in einem eigenen LAN (VLAN) und soll natürlich nichts mit dem privaten LAN (Default LAN) zu tun bekommen.

Jetzt habe ich die Idee, über den WAN2 einen zusätzlichen Internetanschluss anzuschließen (in diesem Fall ein Business-Anschluss mit fester IP)
[Falls sich jetzt jemand fragt, wieso ich nicht den WAN1 zu einem Businessanschluss hochstufe? Ich will die private Leitung nicht mit der geschäftlichen Leitung vermischen]

Nun würde ich gerne das VLAN ausschließlich über WAN2 laufen lassen und auch nur dem VLAN das Site-to-Site VPN zur Verfügung stellen.
[Das private LAN (Default LAN) soll gar nicht davon tangiert werden.]

Kann das so funktionieren?? oder ist das total unsinnig?

Freue mich auf eueren Input

Beste Grüße

Ingo

Alles anzeigen

du kannst auf jedenfall jedem netzwerk einen wan port zuweisen, weshalb im ersten moment nichts dagegen sprechen sollte. bezüglich site to site vpn hab ich aber leider zu wenig erfahrung

Zitat von iRob

Kann das so funktionieren?? oder ist das total unsinnig?

Natürlich funktioniert das so und natürlich ist dies auch nicht total unsinnig - ich mache das mit IPsec-VPN schon seit Jahren, allerdings unter klitzeklein anderen Voraussetzungen. Damit das Ganze bei Dir auch zum Erfolg führt, solltest Du vor allem aber erst einmal folgende Dinge beachten, bzw. Dir darüber Gedanken machen:

• unter einer VPN-Datenrate von 150-200 Mbits/s kommt in Abhängigkeit von der zu übertragenden Datenmenge keine Freude auf. Ausschlaggebend ist hier ja die Internetanbindung und vor allem auch auf das, was Deine VPN-Kisten so können. Bei der UDM pro wird das aber wohl eher dürftig sein, diese kann ja wohl auch nur IKEv.1 (ich komme z.Z. zwischen zwei alten Sophos auf ca. 450 Mbits/s, allerdings mit aktueller Software, IKEv.2 und aktuellen Verschlüsselungsverfahren und die Sophos können mit DynDns bei VPN umgehen)
• ein Backup von einem NAS auf ein anderes NAS ist kein Backup im Sinne des Wortes, denn ein solches sollte auch archivierbar und nach Jahren auch noch nutzbar sein (siehe z.B. auch die kaufmännischen Aufbewahrungsfristen, z.T. bis zu 30 Jahren!). Ich z.B. backupe daher mit einer entsprechenden Backupsoftware (Veeam) local und entfernt auf enstprechende Medien (RDX - Lto halte ich unter der Beachtung der Datenmenge und dem zur Verfügung stehenden Zeitfenster für unerschwinglich).
• die Verwendung einer dedizierten Backupsoftware hat zudem den Vorteil, dass die Datenübertragung nicht nur komprimiert, sondern auch block-, statt dateiweise erfolgt, dies kann den Durchsatz schon erheblich steigern. Grundsätzlich ist zwar auch iSCSI über IPsec-VPN möglich (ebenfalls blockweise Übertragung), aber ob Deine Synology das können, . Ich verwende daher auf der entfernten Seite einen kleinen Linuxserver, welcher die RDX-Laufwerke verwaltet. Das Ganze läuft schnell, stabil und sparsam.

Also daher, wenn Du wirklich ernsthaft über Backups per VPN nachdenkst und nicht nur Daten von links nach rechts schieben willst, solltest Du Dir zumindest über o.a. Dinge klar werden. In welches Vlan Du dann welche Kiste sperrst. ist erst einmal nebensächlich (Vlans werden ohnehin überschätzt ). Berichte aber mal, wie Du Dich entscheidest.

Moin, hast Du Dich schon für eine Lösung entschieden? Alternativ kann eine Synology auch mit Boardmitteln auf eine andere Synology via Internet synchronisieren. In Deinem Synology Konto kannst du quasi DynDns für jede Synology anlegen und sobald diese online ist, ist die IP bekannt.

OK :). Hat auch den Vorteil, dass Deine Synology nicht direkt aus dem Internet erreichbar ist (Anmeldeseite). Das war für mich damals der Grund das direkte Synchronisieren von Synology nicht zu nutzen.

Zitat von iRob

Es wird zusätzlich zur Glasfaser noch eine Kupferleitung vom rosa Riesen angeschlossen.

Side-to-Side-VPN werde ich dann erstmal über den zusätzlichen Router abwickeln.

Sorry, ich erkenne jetzt den Sinn dahinter nicht. Erkläre mal bitte.

Ich synce meine Backups per rsync von einem auf ein anderes NAS. VPN kann man direkt auf der Synology dafür einrichten.