Zugriff auf die NAS extern sowie im selben Netzwerk

[mariow]

Ok Danke für den tip.
Ich bin über eine Fritzbox erreichbar.
Und mit der portweiterleitung würde schon viel helfen.
Leider habe ich meine Frage nicht so gut gestellt. Ich will das alle Benutzer z.b. die auto station übers Netz nutzen können.Aber nur z.b. der admin auch von aussen auf die Daten gehen kann.Im Heimnetzwerk sollen alle gemäß ihren Berechtigungen schalten und walten dürfen.
In den benutzer Konten kann man ja ip Adressen sperren oder freigeben. Ich habe bloß nicht nicht verstanden wie ich das abgrenzen könnte.
Zum Beispiel 1a20:1abc:564a::/64 darf Zugriffe haben aber alle anderen nicht.

 

[TheGardner]

Du solltest eine Freigabe nur*für die AudioStation im Router (FritzBox) einrichten! D.h. dort bei Internet - Freigaben*- IPv6 - den Port für die AudioStation angeben (das wäre 1900).
Allerdings, wenn Du als admin ebenfalls von außen auf die Synology drauf willst, dann musst Du die Ports 5000/5001 ebenfalls auf diese Weise freigeben! D.h. aber auch, dass alle anderen dies auch aufrufen können, wenn auch nicht dass*sie sich anmelden können, wenn das Passwort nicht bekannt ist!

Hier mal meine*Portweiterleitungen, so wie das bei mir aussieht:

 

[mariow]

Danke,
Aber leider gehen alle Lösungen an meinem Problem vorbei.
Ich möchte einfach nicht das mein Sohn (10) außerhalb der Wohnung auf die ds zugreifen kann. Und ich möchte natürlich darauf zugreifen. Und mein Sohn soll zu hause auch den vollen Zugriff auf seinen Account haben.
In der Fritzbox kann ich ja auch sagen dieser User darf von aussen zugreifen und dieser nicht.Für die Fritzbox ist das ja auch einfach weil sie an der "tür" steht. Und wie ich ja schon geschrieben habe, kann ich bei der ds für jeden User regeln aufstellen über welche subnetze er zugriff auf die ds haben darf. MEIN PROBLEM IST. Wie definieren ich diese Regeln.

 

[TheGardner]

"Von aussen" ist das mit dem Zugriff schwierig, da jeder User jedesmal immer mit einer anderen IP Adresse kommen kann! Auch Du wirst immer mit einer anderen IP ankommen, so daß ein Verbot einer speziellen IP nichts bringen würde - bzw. nur für den Zeitraum eines Tages.
Du kannst Zugrifft von außen nur generell sperren oder eben nicht! Wenn Du also drauf kommen möchtest, dann wird es jeder andere auch, wenn er/sie einen Account auf Deiner DS hat!

Was Du machen kannst, ist Deinen Zugang von außen geheim zu halten bzw. speziell die Möglichkeit "von außen zugreifen zu können"! Was jemand nicht weiss, macht ihn quasi nicht heiß! Das zumindest würde Dir nochmal ca. 4-6 Jahre bringen, bis Dein Sohn -wenn er sich überhaupt mit der Materie auskennt/befasst- von selbst dahinter kommen würde.

 

[Thonav]

@marlow:
Die Frage ist doch, wie kommt Dein Sohn auf die DS?! Falls Du damit meinst, dass er per Smartphone nicht von Außerhalb zugreifen soll, so kannst Du doch in doch in den Einstellungen der DS Apps (DS Video, DS Audio, etc.) in den Verbindungseinstellungen einfach nur die IP-Adresse der DS eingeben und NICHT den externen Zugang (Quickconnect oder andere). Per IP kommt er von Außerhalb dann nicht auf die DS, der Zugang innerhalb des Heimnetzes ist damit aber möglich.

 

[mariow]

Hallo

Ich habe jetzt mal was ausprobiert ich habe meinen öffentlichen Präfix der statisch ist z.b. 1234:abcd:1234:abcd::/64 für einen Benutzer gesperrt.Also er kommt nicht mehr auf den Desktop der DS
Jetzt habe ich jedes Internetfähige Gerät in meiner Wohnung mit der DS verbunden und versucht mich mit diesem Account anzumelden. Es stand immer da das dieser Dienst für den Benutzer gesperrt ist.
Dann habe ich mich in ein anderes IPv6 begeben.(nicht mein Heimnetz)
Und ich hatte mit diesem Benutzer wieder den vollen zugriff.
jetzt möchte ich wissen ob ich diese Regel auch invertieren kann.Also alles was nicht "1234:abcd:1234:abcd::/64" ist ist gesperrt.

Sorry das ich nerve aber alles andere ist nicht so toll.

Mariow

 

[TheGardner]

Wo sperrst Du das denn überhaupt??

Wenns in der Firewall ist, dann erlaube doch 1234:abcd:1234:abcd::/64 und sperre ganz unten dann für alle anderen!

 

[mariow]

Hallo The Gardner,

Dann kann ich ja gleich die Fritzbox zumachen.Dann habe ich das gleiche.
Ich habe es bei systemsteuerung/Benutzer/ Benutzer bearbeiten/ Applikationen/ nach IP/ dort kan man erlaubte IP´s und gesperrte IP`s eintragen. Und ich möchte blos wissen ob man dort auch <alle ausser die IP eintagen> kann wie ich oben schon geschrieben habe.Ober ob das Synology nicht vorgesehen hat. ober kann man eintragen <kleiner als die IP> oder <größer als die IP>.
Das ist alles was ich wissen möchte weil es dem was mir vorschwebt am nähste kommt.

Mariow

 

[Ulfhednir]

Ok Danke für den tip.
Ich will das alle Benutzer z.b. die auto station übers Netz nutzen können.Aber nur z.b. der admin auch von aussen auf die Daten gehen kann.Im Heimnetzwerk sollen alle gemäß ihren Berechtigungen schalten und walten dürfen.

Schon einmal an einen VPN gedacht? Die DS bietet dir einen VPN Server. Du könntest z.B. einen universellen AudioStation-User anlegen, welcher per VPN erreichbar ist. Diesen universellen User, welche ALLE für außerhalb verwenden, erhält die Berechtigung für einen VPN.
Die normalen User erhalten keinen Zugang für VPN. Damit sparst du dir etwaig 1000 Portfreigaben und greifst gesichert (getunnelt) auf die DS von außerhalb.

 

[TheGardner]

Hallo The Gardner,

Dann kann ich ja gleich die Fritzbox zumachen.Dann habe ich das gleiche.
Ich habe es bei systemsteuerung/Benutzer/ Benutzer bearbeiten/ Applikationen/ nach IP/ dort kan man erlaubte IP´s und gesperrte IP`s eintragen. Und ich möchte blos wissen ob man dort auch <alle ausser die IP eintagen> kann wie ich oben schon geschrieben habe.Ober ob das Synology nicht vorgesehen hat. ober kann man eintragen <kleiner als die IP> oder <größer als die IP>.
Das ist alles was ich wissen möchte weil es dem was mir vorschwebt am nähste kommt.

Mariow

Okay, dann hab ich das mal hier bei mir für den*Benutzer "before" nachvollzogen:



So müsste es bei Dir aussehen und damit sollte dann für Deinen User im internen Netz (192.168.178.0/255.255.255.0) alles möglich sein!
Kommt er mit irgendwas anderem, dann gehts nicht! Alternativ kannst Du das Ganze ja auch noch auf*die echte IP seines PCs/Laptops annageln. Dann erlaubst Du praktisch nur diese IP (z.B. 192.168.178.xxx) und nicht das ganze Subnetz.

 

[mariow]

Hallo TheGardner
Ich habe das mal ausprobiert aber da alle Gräte die von aussen kommen eine IPv6 haben habe ich das umgeschrieben.
freigebene IPs:

1234:abcd:1234:abcd::/64

leider heisst "freigegen" nicht das die anderen gesperrt sind also hatte das keinen Erfolg
meine nächster Versuch läuft noch.
Jetzt habe ich zusätzlich bei den gesperrten IPs dazugeschrieben

1::/127
obwohl ich das gesamt 1:: Subnetz gesperrt habe komme ich noch von meinem Heimnetz auf die DS. Jetzt muss ich nur noch versuchen von aussen darauf zuzugreifen und wenn das Subnetz auch 1:: ist da sollte es nicht funktionieren.

 

[mariow]

Leider hat das auch nicht funktioniert und langsam bin ich mit meinem Latein am Ende.
Ich kann 1234:abcd:1234:abcd::/64 sperren und das Heimnetzwerk von demjenigen ist gesperrt
Aber wenn ich 1234::/122 Sperre ist das gleich Heimnetzwerk wieder nicht gesperrt obwohl ich eigentlich einen größeren Bereich gesperrt haben müsste.

 

[TheGardner]

Hmm, bin mir nicht sicher, ob das funktionieren könnte, aber hast Du mal folgendes versucht:

- IP vom Gerät Deines Sohnes erlauben (damit müsste er intern dann immer draufkommen)
- Zugriff für Deutschland (oder weltweit) für den Account Deines Sohns sperren (damit dürfte dann von außerhalb mit den Accountdaten Sohn/Pass kein Zugriff mehr möglich sein!

 

[mariow]

Das habe ich ja versucht aber sobald ich mehr als 1 Heimnetzwerk sperren möchte z.b. 0::/128 müsste nach meinem Verständnis das gesamt Internet sperren können alle wieder zugreifen. Wenn ich aber das Heimnetzwerk von einem Freund Sperre mit 1234:abcd:1234:abcd::/64 kann von diesem Netz nicht mehr auf den Account zugegriffen werden. Sobald ich aber 1234:ABCD:1234::/70 Sperre kann das gleich Heimnetzwerk wieder zu greifen. Ich habe mich jetzt mal an synology gewandt.vielleicht ist da auch irgendwas in der Software nicht so gut gelöst wer sperrt nur einzelne ips wenn dann möchte ich ganze Bereiche sperren können.