A może lepiej VPN do routera i np. na routerze postawić coś na WWW co obudzi NAS, zamiast jakieś pingi ?

@alossek
właśnie VPN na NAS i chciałbym aby tak pozostało.

@xrace
też o tym teraz pomyślałem jak już post poszedł.

To może coś z innej beczki. Jestem otwarty na propozycje.

@alossek
Zgadzam się w całej rozciągłości ale ...

Znalazłem coś takiego:
http://eko.one.pl/forum/viewtopic.php?pid=31581#p31581
I to by spełniało moje oczekiwania. Pytanie jaki pakiet muszę zainstalować na Gargoyle aby to odplać ? Pewnie jakiś serwer www.

Rozwiązanie jest tutaj

Dziękuję za propozycję rozwiązań.
rozważę wszystkie za i przeciw potestuję i zobaczę.

@kiniu, mam taką samą konfigurację jak Ty i też od czasu do czasu włączam backup. I też VPN uruchamia się z backaupa, bo jest tam mocniejszy procek (0,4GHz do 1.6 GHz), zresztą czuję to podczas transmisji VPNem, mam symetryczne łączę 25/25.

Lokalnie jeśli chcę się dostać do zasobów odpalam komendę WOL i korzystam (w 95% to cobian co jakiś czas odpala skrypt na windowsie)

Zdalnie jest trochę więcej roboty, backup stoi na *uxie.

1. Utworzyłem usera na routrze, który jedyne co może to odpalić komendę wol oraz iptables oraz basha. SU/SUDO organiczne do maksimum. Dość mocno ograniczony user.
2. Uruchomiłem usługę knockd na interface WANowskim, który
- zapisuje  IP z którego uderzałem do lokalnego pliku
- otwiera port z flagą trzymania połączenia na którym stoi ssh na kilkanaście sekund, po czym je zamyka na nowe połączenia
3. SHH przyjmuje tylko uwierzytelnianie z klucza (login/passwd zabronione) i pozwala na 1-go usera w czasie, klucz przesada, bo aż 4098 bit
3.5. To też już będzie przesadą, ale można coś stylu fail2ban postawić dla bezpieczeństwa na otwartym porcie SHH (oraz VPN)
4. Wbija się user vpn do SHH (via putty, uruchomiony ze skryptu profil, który ma za zadanie zalogować się do ssh i wywołać inny skrypt)
5. Inny skrypt otwiera na n-minut porty VPNa dla wskazanego IP.  Po co tak? A bo pukanie można przechwycić, lekka paranoja, ale przezorny zawsze ubezpieczony
6. Logowanie do VPNa
7. Na razie manualne, ale odpalam inną sesję putty (skrypt), który loguje się przez VPN już jako root i po prostu odpala inny skypt, który w przeciągu minuty zabija połączania z wskazanego IP. Jesli zapmnę, to i tak punkt nr. 5 zrobi to automatycznie.

Trochę zakręcone, ale działa dość dobrze. To będzie już schiza, ale planuję zaszyfrować dysk na backapie kluczem, który będzie dostarczony po zalogowaniu się do VPNa, na razie nie mam na to czasu, chętnie posłucham czy to ma sens i jak to zrealizować.

PS. Na kliencie androidzie też śmiga

Skrypty są banalnie proste:

1. /etc/knockd.conf - uderzam do jakiś portów, np. 100, 200 i 300 tcp sync

[Tcp_SSH_Open]
        sequence = 100:tcp,200:tcp,300:tcp
        seq_timeout = 10
        command = sh /openvpnport %IP%
        tcpflags    = syn
        cmd_timeout  = 60
        stop_command  =  sh /closevpnport %IP%

2. Uruchamiają się:

openpnport - PORT to numer portu TCP na którym nasłuchuje SSH

#!/bin/sh
iptables -I INPUT -p tcp -i wan --dport PORT -s $1 -j ACCEPT
echo $1 >/ip
exit 0

3. Po 1 min wyłączam możliwość nowych połączeń (istniejące są trzymane)
closevpnport -  PORT to numer portu TCP na którym nasłuchuje SSH

#!/bin/sh
iptables -D INPUT -p tcp -i wan --dport PORT -s $1 -j ACCEPT
exit 0

4. Batch skrypt w widows odpala mi sesję putty i uruchamia po zalogowaniu się na usera ABC:

ABC@OpenWrt:~$ cat /vpnopen
#!/bin/sh
/usr/bin/wol -i 192.168.10.255 00:01:03:04:05:06

IP_ADRES=$(cat /ip)

sudo iptables -t nat -I PREROUTING -i wan -p udp -s $IP_ADRES --dport 1000 -j DNAT --to-destination 192.168.103.2:1000
sudo iptables -I FORWARD -p udp -d 192.168.103.2 --dport 1000 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

#sudo iptables -t nat -I PREROUTING -i wan -p tcp -s $IP_ADRES --dport 345 -j DNAT --to-destination 192.168.103.2:345
#sudo iptables -I FORWARD -p tcp -d 192.168.103.2 --dport 345 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

sleep "ILOŚĆ SEKUND otwartego połączenia do zautomatycznie zamknięcia"

sudo iptables -t nat -D PREROUTING -i wan -p udp -s $IP_ADRES --dport 1000 -j DNAT --to-destination 192.168.103.2:1000
sudo iptables -D FORWARD -p udp -d 192.168.103.2 --dport 1000 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

#sudo iptables -t nat -D PREROUTING -i wan -p tcp -s $IP_ADRES --dport 345-j DNAT --to-destination 192.168.103.2:345
#sudo iptables -D FORWARD -p tcp -d 192.168.103.2 --dport 345-m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

exit 0

No i skrypt zamykający, który jest w zasadzie końcówką powyższego.  Filozofii nie ma. Oczywiście co się dało zmienić to pozmieniałem na jakieś wymyślone porty i adresy, ale idea pozostała.

Być może da się to jakoś zrobić łatwiej/szybciej, dla mnie wystarcza