Okey, solangsam bin ich mir unsicher, wie ich das nun regeln soll(te)
Ich versuche mal zusammenzufassen:
Aufgabenstellung:
Du möchtest auch von außerhalb deines Heimnetzes auf deine Emby-Bibliothek zugreifen können.
Dabei gibt es erstmal 2 Hürden zu überwinden:
- Sofern du nicht jedesmal über die möglicherweise häufig wechselnde IP Zugreifen musst, muss dein Anschluss über einen DNS-Namen erreichbar gemacht werden.
- Die Emby-Bibliothek muss über diesen Namen dann ebenfalls erreichbar gemacht werden.
Jetzt gibt es hier verschiedene Ansätze das zu gestalten, die jeweils unterschiedliche Vor- und Nachteile bieten, unterschiedlich sicher sind, ggfs. unterschiedliche Hardware und unterschiedliche (Fach-)Kenntnisse benötigen.
zu 1.:
Ich gehe davon aus Dein Anschluss verfügt über eine Dynamische IPv4 oder IPv6-Adresse bzw. einen dynamischen IPv6-Präfix den du von deinem Provider zugewiesen bekommst. Ist das nicht der Fall, und du bekommst z.B. über DS Lite nur eine IP-Adresse aus dem privaten Adressraum zugewiesen, haben wir eine zusätzliche Hürde.
Um den Anschluss von außen erreichbar zu machen benötigst du einen DynDNS-Dienst. Das kann der in der Fritzbox integrierte MyFritz-Dienst sein, oder ein beliebiger anderer wie DuckDNS etc.
Ich persönlich habe das so gelöst, dass ich eine private .de-Domain bei Netcup habe, dort als Nameserver die deSec-Server in die NS-Records eingetragen hab. Somit übernimmt die DNS-Verwaltung für die Domain deSec.
Dort kann ich dann die Domain, oder eine beliebige Subdomain als DynDNS-Adresse verwenden. Auch mit einer Fritzbox. Vorteil: man kann eine eigene Domain verwenden. Nachteil: man benötigt eine eigene Domain.
zu 2.:
man könnte einfach ein Port-Forwarding in der Fritzbox von dem Emby-Port auf den Emby-Server einrichten. Damit ist deine Emby-Bibliothek von außen erreichbar. Allerdings praktisch gänzlich ungeschützt. Dafür zumindest aber sehr performant. Solltest du diese Variante in Erwägung ziehen, sollte der Emby-Server zumindest ausschließlich über HTTPs erreichbar gemacht werden und sichere Zugangsdaten für deinen Emby-Benutzter verwendet werden.
Eine Alternative wäre der Zugriff via VPN auf den Emby-Server und dafür dann keine Port-Freigabe zum Emby einrichten.
Wie bereits gesagt wurde, ist der VPN-Dienst der in der Fritzbox integriert ist nicht gerade optimal.
Da du aber eine Synology hast, wäre eine Option die VPN-Funktionalitäten der Fritzbox komplett zu deaktivieren, und stattdessen eine Portweiterleitung der VPN-Ports auf deine Synology einzurichten, wo du dann einen VPN-Server einrichtest. Das sollte dann deutlich performanter laufen.
Eine weitere Alternative wäre der Zugriff über einen Reverse-Proxy.
Ich nutze hier den Nginx Reverse Proxy Manager als Docker. Den könntest du wohl ebenfalls auf der Synology laufen lassen. Diese Variante setzt im Vergleich etwas mehr Know-How voraus.
In der Fritzbox würdest du dann eine Portweiterleitung für HTTPs auf den Reverse-Proxy einrichten, und der Reverse-Proxy verweist dann auf deinen Emby-Server.
Somit steht dein Emby-Server nicht direkt im Internet, sondern lediglich der Webserver des Reverse-Proxys.
Diese Variante liese sich auch ohne Portweiterleitung betreiben, wenn sie mit der VPN-Variante kombiniert wird.
Andere Lösungen mit dedizierter Firewall auf pfSense/openSense-Basis etc. böten zwar sicherlich noch deutlich mehr Sicherheit, Konfigurationsmöglichkeiten und Performance, sind aber auch mit zusätzlicher Hardware und deutlich mehr Einrichtungsaufwand und vor allem Know-How verbunden.
Anhand deiner Beschreibung würde ich dir zum MyFritz-DNS und der Variante mit dem VPN-Server auf der Synology raten. Das dürfte wohl ein guter Kompromiss zwischen Performance, Einrichtungsaufwand und benötigte Kenntnisse sein. Außerdem hättest du dazu alles nötige bereits vorhanden.