VPN: Probleme mit Zugriffsrechten auf Ordner.

[ArturBo]

Hallo!

Ich komme bei dem Thema einfach nicht mehr weiter , hoffe sehr auf Eure Hilfe!

Was ich vorhabe:
Ich arbeite in einem kleinen Illustratoren-Netzwerk und würde gern auf meinem Synology-NAS den Kollegen gewissen Zugang zur Verfügung stellen.
Ich hätte gern:
-Einen Ordner mit Read-Only für externe Benutzer (dieser mit eigenem User-Namen und Passwort natürlich)
-Einen Ordner zur gemeinsamen Nutzung (read-write)
-Einen privaten Ordner nur mit Zugang von mir.
Ich nutze eine DS218 mit DSM 7.0.1-42218 (Update 6)
Der VPN-Server is im DS eingerichtet , die L2TP- Verbindung funktioniert!

Ich habe zum Testen eine Verbindung von aussen (ausserhalb meines WLAN-Netzwerjs) simmuliert, indem ich mein Handy als Hotspot nutzte und mich zuerst von meinem MacBook verbunden habe mit der DS218 über VPN: Es funktionierte hier alles super: Shared folder mit vollem Zugang war da, Ordner Read-only war tatsächlich read-only, mein Privat-Ordner nicht zu sehen!..wie gewollt !

Dann die Tests an einem PC mit Windows 11, wieder als externer Nutzer eingeloggt, und.... Ich siehe alle Folder, auch die privaten ...das gleiche am PC mit Windows 10.
Ich ging also wieder in die Permissions in DS und probierte alles, was ich als Tipp zu dem Thema im Netz finden konnte!
Ergebnis der Tests: Ich kann als ExternalUser gemeldet immer auch in meinen Privatordner, unter Windows-VPN, die einzige Ausnahme ist, wenn ich den Zugang blockiere für die Gruppe >users (System default group)<...Dann sind diese Folder aber auch für mich selbst blockiert, ich kann sie gar nicht mehr nutzen, sogar als admin.

Ich habe, wie erwähnt, einiges gelesen und ausprobiert:
-Die Gruppe >user default< gar nicht anfassen (keine Rechte / keine Verbote), dafür eine Gruppe >intern< bilden mit vollen Rechten und Gruppe >extern< mit No-Access zu meinem Privatfolder:. Ergebnis: Als Nutzer aus der >extern<-Gruppe eingeloggt kann ich am PC leider wieder auch die für diese Gruppe blockierten Folder sehen und nutzen .
-Rechte nicht an Gruppen sondern an User vergeben
-Rechte nicht über Gruppen sondern im File selbst vergeben (File Station , Rechtsklick auf Folder und dann über die Eigenschaften die Rechte eingestellt)
-"Apply to this folder, subfolders and files" angeklickt
-Als letzter Schritt auch die "Advanced permissions" probiert, dort auch den Zugang zum Privatfolder blockiert für alle User ausser mir :
Ergebnis wieder: Als externer User eingeloggt sehe ich unter Windows trotzdem meinen Privatfolder!

Hmmm, ich sehe sogar im Verbindungsprotokoll der Synology, dass sich "ExternalUser" über VPN verbunden hat:
Warum kann er dann in Windows den Folder benutzen, obwohl genau dieser User >No access< in der Synology zugewiesen bekam?

In Windows sehe ich als ExternalUser eingeloggt den PrivatFolder und sehe sogar in seinen Eigenschaften, welche Rechte wer bezüglich dieses Ordners hat, aber scheinbar greift nur das Recht für die >default user<(?):
Wenn default user (also alle!)) Zugriff gewährleistet bekommt in der Synology für bestimmten Folder oder einfach keinen Eintrag in Premissions, dann erscheint dieser Folder unter Windows, wenn >default user< "No access" zugeteilt bekommt im NAS, erscheint er nicht, (und dann erscheint er auch nicht mehr für meine Privatnutzung, er verschwindet), alle anderen Einstellungen spielen keine Rolle ....
Das verstehe ich einfach nicht..es is ähnlich wie hier beschrieben (https://community.synology.com/enu/forum/17/post/118020):
"the problem is that the permissons for the default "users" group seem to take precedence over the other group settings. that is, if i allow read/write permissions for "users" to the shared folders, that allows the contractor to access all the shared folders. But, if i deny read/write permissions for "users" to the shared folders, that prevents all the company users from accessing any of the shared folders."
Die in dem Thead vorgeschlagene Lösung, diese User "in Ruhe" zu lassen (weder Rechte / noch Einschränkungen) und nur den einzelnen Foldern rechte über FileStation zu vergeben, hat leider auch nicht funktioniert!...Windows scheint immer nach Permissions für >default user< zu gehen (???)
Was mache ich falsch? Es scheint doch eine Basic-Funktion, dass der Zugang zu einem bestimmten Ordner für einen externen User bei VPN blockiert wird und für einen anderen Ordner gewährt...Warum funktioniert es nur, wenn sich der externe User über Mac einloggt?

Vielleicht hat jemand eine Idee, was ich noch probieren kann?
Vielen dank!

Grüsse,
Arturo

 

[plang.pl]

Rechte nicht an Gruppen sondern an User vergeben

Eigentlich macht man das genau anders rum.

Dein Problem wird sein, dass Windows die Anmeldedaten gecacht hat. Lege unter Windows einen neuen Benutzer an und versuche es mit dem erneut.

 

[ArturBo]

Vielen dank!..Ich probiere es natürlich als Erstes dann!
Lg!

 

[ottosykora]

-Einen privaten Ordner nur mit Zugang von mir.

dein privater Ordner heisst /home und der heisst bei allen Usern /home
Du kannst den sehen wenn du dich einloggst

wenn sich ein anderen User einloggt sieht er auch einen /home, seinen eigenen, nicht deinen

Dann die Tests an einem PC mit Windows 11, wieder als externer Nutzer eingeloggt, und.... Ich siehe alle Folder, auch die privaten ...das gleiche am PC mit Windows 10.

klar sieht du deinen privaten Ordner /home
Das ist auch so gewollt ud kein Fehler welchen du bekämpfen sollst

Zugang blockiere für die Gruppe >users (System default group)<...

also etwas der Gruppe users so blockieren führt früher oder später zu totalem Chaos

-Rechte nicht an Gruppen sondern an User vergeben

das ist der falsche weg

Die in dem Thead vorgeschlagene Lösung, diese User "in Ruhe" zu lassen (weder Rechte / noch Einschränkungen)

das ist ziemlich sicher der richtige Ratschlag

Was mache ich falsch?

Dein Privatordner heisst dein /home und ist dem Ordner /homes/username angesiedelt
Und den soll jeder sehen, also seinen eigenen, egal wie man sich einloggt
Das ist der private Ordner.
Und an dessen Rechten bastelt man nicht herum, Versuche die zu tun führen meistens zu Chaos und es auch möglich dass die gar nicht mehr richtig repariert werden kann ausser vielleicht mit Neuinstallation

 

[ArturBo]

Eigentlich macht man das genau anders rum.

Dein Problem wird sein, dass Windows die Anmeldedaten gecacht hat. Lege unter Windows einen neuen Benutzer an und versuche es mit dem erneut.

Leider mit dem neu erstelltem User das Gleiche!..also lag es nicht am Cache!

 

[ArturBo]

Dein Privatordner heisst dein /home und ist dem Ordner /homes/username angesiedelt
Und den soll jeder sehen, also seinen eigenen, egal wie man sich einloggt
Das ist der private Ordner.
Und an dessen Rechten bastelt man nicht herum, Versuche die zu tun führen meistens zu Chaos und es auch möglich dass die gar nicht mehr richtig repariert werden kann ausser vielleicht mit Neuinstallation

Du hast völlig recht, eigentlich brauche ich keinen Ordner, an dem nur ich Rechte habe, da der Ordner >home< ja schon diese Funktion erfüllt...habe da vor lauter Bäumen wohl den Wald nicht mehr gesehen .... danke sehr für den Hinweis!
Falls ich doch paar Ordner mit unterrschiedlichen Permissions (zB nur Lesen, oder nur für bestimmte Untergruppe)ausstatten wollte, etwas weitegehender als die beschriebenen drei Ordner, dann waren diese Tests schon eine ziemlich ernüchternde Erfahrung: Am Mac war das Verhalten dann ja wie gewünscht, aber warum unter Windows ein Folder, der explizit für die Gruppe "ExternalUsers" mit >NO-Access< ausgestattet wurde , ganz frei zugänglich ist für einen User aus dieser Gruppe (so habe ich mich eingeloggt zum testen, später auch nochmals mit neuem Usar, um die Cache-Option ausscliessen zu können), ist mir doch ein Rätsel!...dürfte doch wirklich nicht sein?

 

[ArturBo]

Ich gebe doch auf .......
Jetzt habe ich es auch über OpenVPN probiert, da ich dachte, die Übertragung hätte die Rechte vielleicht besser im Griff...
Ich habe davor auch alle Permissions aufgeräumt entsprechend den Hinweisen (Vielen dank!), es gibt also nur Gruppenrechte und User die den drei grossen Gruppen zugeordnet werden...home / homes und user dafault sind nicht angefasst...
Über VPN funktioniert es am Mac wieder gut: Externer User kann nur die ihm (d.h. seiner Gruppe) zur Verfügung gestellten Folder sehen und seinen Home-Folder sieht er natürlich auch.
An Windows VPN eine Katastrophe. Der externe User sieht alle(!) Folder...der Hammer: Der Home-Ordner, den er sieht, ist meiner (???)...Ich habe zunächst vermutet, dass der Fehler darin liegen muss, dass Windows bzw Synology mich eingeloggt hat statt des Externen Users, obwohl ich mich als ExternUser mit entsprechendem Passwort eingeloggt habe! Die Log-Datei im VPN-Server auf Synology sagt jedoch, dass "ExternUser" eingeloggt war....Und er sieht denn meinen Home-Folder?
Ich glaube, ich gebe jetzt auf, nachdem ich das halbe Wochenende damit verbrachte mit so enttäuschenden Ergebnissen....und werde es mit OwnCloud auf meinem Webspace weitermachen, was bisher sehr gut funktionierte (Zugang zu bestimmten Foldern für bestimmte User , Privatfolder ist Privatfolder, supereinfache Erreichbarkeit und Einbíndung ins System, auch mobil etc), nur eben etwas wenig Storage-Platz dafür, der Grund, warum ich auf Synology-VPN umstellen wollte !

 

[NSFH]

ich nehme an du hast mit deinen Versuchen inzwischen das gesamte Rechtesystem geschrottet und jetzt treten Sympthome auf die nur schwer erklärbar sind.
Mein Rat, lerne erst mal wie Verzeichnisse mittels ACL eingerichtet werden und starte neu, in dem du die Syno in den Werkszustand zurück versetzt.

Das man fremde Ordner sehen kann liegt übrigens an den Einstellungen im Dateisystem, wo man mit einem Klick Ordner ohne eigenes Zugriffsrecht ausblenden kann.

Was du machen willst sind eigentlich Basicanwendungen für ein NAS, wenn man sich damit auskennt bzw bereit ist dazu zu lernen!

 

[ottosykora]

bei solchen Kleinigkeiten aufgeben?

Dein Rechtesystem mag für dich zuerst in Ordnung erscheinen.
Aber die ACL Rechte sind etwas komplizierter als die schönen alten UNIX Rechte im Linux, lassen aber auch viel feinere Berechtigungen zu.

Was manchmal einige User verwirrt, windows logt sich automatisch ein beim Start in den Server, weil die Credentials im Windows gespeichert sind, vielleicht aber nicht in deinem Mac.
Versuch mal die gespeicherten Credentials in Windows Anmelde Manager zu löschen.

Welche VPN Art du nimmst spielt zuerst mal kein Rolle, beim spielen mit VPN darauf achten, dass du wirklich 'von aussen' die Verbindung machst und nicht aus deinem eigenen Netzwerk.


Rechte werden im Filesystem verwaltet, also dort ist auch das Problem.

Vielleicht ist auch mal zu beachten, wirklich zerschossenes System ist sehr schwer zu reparieren und endet oft in einem vollen Reset und einer Neuinstallation.

 

[synfor]

An Windows VPN eine Katastrophe. Der externe User sieht alle(!) Folder...der Hammer: Der Home-Ordner, den er sieht, ist meiner (???)...Ich habe zunächst vermutet, dass der Fehler darin liegen muss, dass Windows bzw Synology mich eingeloggt hat statt des Externen Users, obwohl ich mich als ExternUser mit entsprechendem Passwort eingeloggt habe! Die Log-Datei im VPN-Server auf Synology sagt jedoch, dass "ExternUser" eingeloggt war....Und er sieht denn meinen Home-Folder?

Es ist nicht damit getan, sich mit dem externen User am VPN anzumelden. Hint: VPN-Server und Dateidienste benötigen separate Logins.

 

[ArturBo]

Danke Euch allen für die weiteren Hinweise! Vielleicht setze ich alles wirklich nochmal auf am Wochenende...
Ich bin an sich mehr am Mac unterwegs gewesen die ganzen Jahre, deswegen tue ich mich mit den Windows-Rechten auch schwer, auch mit anderen Windows-typischen Punkten:
ZB sehe ich beim Mac gleich, wei er sich verbindet: smb oder afp...Wenn ich bei Windows \\Nasdisk\ stehen habe, welche Verbindung ist es dann?

"Es ist nicht damit getan, sich mit dem externen User am VPN anzumelden. Hint: VPN-Server und Dateidienste benötigen separate Logins."

Hmm, das versteh ich jetzt nicht ganz: Ich bin fest davon ausgegangen, dass wenn ich mich bei VPN anmelde, gebe ich dort doch schon meine Daten (User+Passwort aus DS) ein und nach der Verbindung habe ich dann entsprechende Rechte? Mac hat trotz Login in VPN tatsächlich nochmal nach User+Passwort gefragt beim Zugriff auf den Ordner...das hat mich gewundert, wäre aber so wie ich jetzt verstehe, eigentlich richtig!...
Hmm, ich kann mich bei VPN also mit komplett anderem User+passwort anmelden als die User, die ich in DS definiert habe für die Nutzung der Ordner?

 

[Benares]

Ist doch bei WLAN genauso. Einmal Zugangsdaten fürs WLAN und dann nochmal Zugangsdaten zu den einzelnen Diensten.
Bei VPN ist das halt ebenso, nur halt remote. Wenn der VPN-Tunnel einmal steht, sollte es genauso sein wie im heimischen WLAN.

 

[ottosykora]

ZB sehe ich beim Mac gleich, wei er sich verbindet: smb oder afp...Wenn ich bei Windows \\Nasdisk\ stehen habe, welche Verbindung ist es dann?

na ja, bei Windows wird es kaum afp sein


und wenn sich eventuell automatisch anmeldet mit dem Windows Rechner, dann kannst du es löschen in der Liste der Windows Anmeldungen
sieht so aus:

 

[ArturBo]

Danke!!!

 

[Benares]

Na ja, besser man hält Benutzer/Passworte auf Windows und der DS gleich. Windows probiert es immer erst mit den Windows-Credentials aufs NAS zu kommen, erst dann fragt es nach einer Anmeldung und speichert diese ggf. in der Anmeldeinformationsverwaltung. Ich arbeite lieber mit gleichen Benutzern/Passwörtern auf allen Systemen, ist zwar nicht ganz sicher und eher etwas wie eine "Domain für Arme", aber für den Hausgebrauch durchaus geeignet.

 

[ArturBo]

Ich versuche, es etwas besser zu verstehen: Was mich irritiert:
-Bei Mac verbinde ich mich mit der NAS über "Gehe zum Server" und IP. Dann fragt mich das System nach Namen und nach Passwort...und hier klappt ja alles wunderbar: Verbinde ich mich als ExternalUser, habe ich auch entsprechende Foldwer zur verfügung.
-Das gleiche, wenn ich zum NAS über den Browser gehe, also im Browser die IP des Laufwerks eingebe: Hier gebe ich zuerst den User ein und dann das Passwort: Dann ehe ich im DS nur die für mich bestimmten Folder wieder, ja nachdem wie ich mich einlogge!
-Bei Windows gebe ich \\Synodisk\ ein und bin drin (auch wernn ich die Windows-Credentials gelöscht habe zuvor)...als welcher User und mit welchem Passwort, weiss ich nicht ganau...deswegen habe ich den User und sein Passwort ja gleich in die VPN-Anmeldung gepackt, da ich (wohl fälschlicherweise ) dachte, dass ich dann sicher ale dieser User in der DS ankomme...

 

[Benares]

Betrifft das nun den Aufbau des VPN-Tunnels oder der steht der schon? Mit Äpfeln kenne ich mich nicht aus.

 

[ottosykora]

-Bei Windows gebe ich \\Synodisk\ ein und bin drin (auch wernn ich die Windows-Credentials gelöscht habe zuvor)...

vermutlich nicht wirklich gelöscht
sonst kann sich Windows nicht von alleine irgednwo einloggen


wenn du \\Synodisk\ eingibst muss eine Abfrage kommen als was du dich da einloggen willst, es sei denn die Credentials sind gespeichert

 

[Benares]

es sei denn die Credentials sind gespeichert

oder identisch.

 

[plang.pl]

Daran hatte ich auch schon gedacht und deshalb geschrieben:

Lege unter Windows einen neuen Benutzer an und versuche es mit dem erneut.

Was lt. dem TE nix brachte. Deshalb dürfte es nicht an Anmeldedaten liegen, weil die nicht userübergreifend gelten