NAS per VPN von außen sicher erreichen – WireGuard Setup
NAS per VPN von außen sicher erreichen – WireGuard Setup
Wenn du von unterwegs auf dein NAS zugreifen willst, ohne SMB-Ports oder Web-Interfaces direkt ins Internet zu öffnen, ist WireGuard die sinnvollste Option, weil es verschlüsselten Tunneling ohne Port-Forwarding kritischer Dienste ermöglicht.
Die 5 häufigsten Fehler
Port 51820 UDP nicht freigegeben: VPN verbindet nicht, weil Router-Firewall WireGuard-Traffic blockiert
AllowedIPs falsch konfiguriert: VPN läuft, aber NAS-IP 192.168.178.x nicht erreichbar
Ergebnis: Vollständige Kontrolle über VPN-Server, Support für 10+ Clients, erweiterte Routing-Optionen
WireGuard vs. OpenVPN: Zentral vs. Legacy
In der Praxis zeigt sich: WireGuard stabiler bei mobilen Verbindungen (Handover zwischen WLAN/LTE), OpenVPN besser bei komplexen Unternehmens-Setups mit Certificate Authority. Für NAS-Backup-Strategien ist WireGuard die bessere Wahl wegen geringerem Overhead.
wg genkey | tee client_private.key | wg pubkey > client_public.key
cat client_private.key # Notiere den privaten Schlüssel
cat client_public.key # Notiere den öffentlichen Schlüssel
4. Client zur Server-Config hinzufügen
sudo nano /etc/wireguard/wg0.conf
# Am Ende hinzufügen:
[Peer]
PublicKey = [CLIENT PUBLIC KEY]
AllowedIPs = 10.0.0.2/32
5. WireGuard starten
sudo wg-quick up wg0
sudo systemctl enable wg-quick@wg0
sudo wg show # Status prüfen
Synology NAS: WireGuard direkt installieren
Bei modernen Synology-Systemen läuft WireGuard direkt auf dem NAS – keine zusätzliche Hardware nötig.
1. WireGuard-Paket installieren
DSM → Paket-Zentrum öffnen
WireGuard“ suchen
Installieren“ klicken
Nach Installation: Öffnen“ klicken
2. Server-Profil erstellen
Profil“ → Erstellen“ klicken
Name: NAS-VPN-Server“
Port: 51820 (Standard)
IP-Bereich: 10.0.0.0/24
Weiter“ klicken
3. Client hinzufügen
Client“ → Erstellen“
Name: Smartphone“
IP: 10.0.0.2 (automatisch)
QR-Code wird generiert
Mit WireGuard-App scannen
4. Firewall-Regel erstellen
Systemsteuerung → Sicherheit → Firewall
Regel erstellen“ klicken
Ports: 51820 UDP
Quelle: Alle
Übernehmen“ klicken
Häufige Fehler und Lösungen
Fehlerbild
Ursache
Lösung
Handshake failed, Connection timeout
Port 51820 UDP nicht freigegeben
Router-Portfreigabe prüfen: Internet → Freigaben → Port 51820 UDP öffnen
VPN verbindet, aber NAS nicht erreichbar
Routing-Problem zwischen VPN und LAN
AllowedIPs auf 192.168.178.0/24 erweitern oder Split-Tunneling deaktivieren
SMB-Shares nicht sichtbar über VPN
NetBIOS funktioniert nicht über VPN
Direkte IP verwenden: \\192.168.178.100 statt \\NAS-NAME
Synology DSM nicht erreichbar über VPN
DSM bindet nur an lokale IP
Systemsteuerung → Anmeldung → DSM → Alle Schnittstellen“ aktivieren
WireGuard-Paket lässt sich nicht installieren
DSM-Version zu alt oder CPU nicht unterstützt
DSM auf 7.1+ updaten oder Router-WireGuard nutzen
Verbindung bricht nach 2 Minuten ab
Keep-Alive nicht konfiguriert
PersistentKeepalive = 25 in Client-Config hinzufügen
CGNAT blockiert eingehende Verbindungen
Provider nutzt Carrier-Grade NAT
IPv6 aktivieren oder VPS als Relay-Server einrichten
DNS-Namen funktionieren nicht über VPN
Client nutzt externe DNS-Server
DNS = 192.168.178.1 in Client-Interface-Sektion hinzufügen
Hoher Ping und langsame Übertragung
MTU-Größe nicht optimiert
MTU = 1420 in Client-Interface-Sektion setzen
Permission denied bei SMB-Mount
CIFS-Version nicht kompatibel
vers=2.0 oder vers=3.0 in mount-Optionen hinzufügen
HTTP 502 Bad Gateway bei DSM-Zugriff
Reverse Proxy Header fehlen
X-Forwarded-For und X-Real-IP Header in nginx.conf setzen
# DynDNS-Auflösung testen:
nslookup deine-domain.dyndns.org
# Sollte deine aktuelle externe IP zurückgeben
3. Service läuft?
# Raspberry Pi / Linux:
sudo wg show
sudo systemctl status wg-quick@wg0
# FRITZ!Box: System → Ereignisse → "WireGuard" filtern
# Synology: WireGuard-App → Status → Verbindungen
4. Logs prüfen
# Linux-System:
journalctl -u wg-quick@wg0 -f
# Client-App: Verbindungsdetails → Log anzeigen
# Handshake-Zeitstempel darf nicht älter als 2 Minuten sein
5. Timeout-Werte optimieren
# Client-Config erweitern:
[Interface]
MTU = 1420
[Peer]
PersistentKeepalive = 25
# Timeout nach 180 Sekunden ohne Handshake
Performance-Optimierung
Split-Tunneling für bessere Performance
# In der WireGuard-App:
AllowedIPs = 192.168.178.0/24
# Statt:
AllowedIPs = 0.0.0.0/0
DNS-Konfiguration optimieren
# Client-Config:
[Interface]
DNS = 192.168.178.1
# Jetzt funktioniert: http://nas.fritz.box
Erweiterte Routing-Regeln
# Nur NAS-Subnet über VPN:
AllowedIPs = 192.168.178.0/24, 10.0.0.0/24
# Für mehrere Standorte:
AllowedIPs = 192.168.178.0/24, 192.168.1.0/24
# Windows: Netzlaufwerk verbinden
\\192.168.178.100\share
# macOS: Finder → Gehe zu → Mit Server verbinden
smb://192.168.178.100/share
# Linux mit CIFS-Version:
sudo mount -t cifs //192.168.178.100/share /mnt/nas \
-o username=admin,password=secret,uid=1000,vers=3.0
Synology Services über VPN
DSM Web-Interface: http://192.168.178.100:5000
File Station: Über DSM oder mobile App
Synology Drive: Automatische Synchronisation
Photos: Foto-Backup von unterwegs
Video Station: Streaming über VPN
TrueNAS Integration
Für TrueNAS-Installationen funktioniert WireGuard über das Plugin-System oder direkt über FreeBSD-Jails.
Sicherheits-Best-Practices
Schlüssel-Rotation
# Neue Schlüssel alle 6 Monate:
wg genkey | tee new_private.key | wg pubkey > new_public.key
# Alte Peer-Einträge entfernen:
sudo wg set wg0 peer [OLD_PUBLIC_KEY] remove
Firewall-Regeln verschärfen
# Nur VPN-Clients dürfen auf NAS:
iptables -A INPUT -s 10.0.0.0/24 -d 192.168.178.100 -j ACCEPT
iptables -A INPUT -d 192.168.178.100 -j DROP
Monitoring und Alerting
# Verbindungs-Monitoring:
#!/bin/bash
LAST_HANDSHAKE=$(wg show wg0 latest-handshakes | awk '{print $2}')
CURRENT_TIME=$(date +%s)
DIFF=$((CURRENT_TIME - LAST_HANDSHAKE))
if [ $DIFF -gt 300 ]; then
echo "WireGuard: Keine Verbindung seit 5 Minuten" | mail admin@domain.de
fi
Fazit
WireGuard bietet sicheren NAS-Zugriff ohne die Risiken von Port-Forwarding. In der Praxis zeigt sich: Router-basierte Lösungen stabiler bei wenigen Nutzern, dedizierte Gateways besser bei komplexen Setups mit mehr als 5 Clients. Die Kombination mit modernen NAS-Betriebssystemen ermöglicht professionelle Remote-Access-Lösungen für den Heimbereich.
