Alias statt Ports in DDNS

[Herbert80]

Hallo,

vorweg, ich bitte um Entschuldigung, falls diese Frage schon mehrmals hier kam, ich habe auch einiges gelesen, ich verstehe es aber nicht und benötige Hilfe.

Aktueller Stand: 720+ Mehrere User für Photos, File Station
Möglicher Zugriff: Photos über IP:5002 zugegriffen werden, File Station IP:7001, DSM IP:5001
Externer Zugriff DDNS:5002 und IP:7001, DSM kann wegen fehlender Fritzbox-Freigabe nicht über Port erreicht werden
Quick-Connect: QuickConnect Adresse.to/photo und /file, ohne Anhängsel auch DSM
Fritzbox: Port 5002 und 7001 geöffnet.

Mir hat ein Bekannter gesagt, Mach die Ports aus Sicherheitsgründen zu, und löse das Thema über die sichere Variante mit Alias
Wünschenswerter Zugriff: photo.DDNS und file.DDNS
Quick-Connect: QuickConnect Adresse.to/photo und /file

Ich finde die Idee gut, dann muss sich keiner der User die Ports merken und auch ein Zugriff von Firmen könnte über file.DDNS erfolgen, da ich mit DDNS:7001 schon öfter die Rückmeldung diverser Firmen kam, wir können die Datei nicht ansehen und bekommen darauf kein Zugriff.

Die aktuelle Lösung: Wenn ich Dateien zu Firmen bringen muss, löse ich das mit QuickConnect, da haben die Firmen immer Zugriff.

Muss ich bei der Variante file.DDNS Ports in der Fritzbox freigeben?
Ist es möglich alias statt Ports zu verwenden?
Ist es sicherer?
Das Ziel: QuickConnect deaktivieren

 

[ottosykora]

Port = App

ein Port ist einem Programm zugewiesen und damit wird dieser mit seinen Funktionen aufgerufen.
Einigen Programmen kann man Allias zuweisen, was aber genau so einen Port anrufen muss. Also der Port zu der App muss offen sein damit die App angesprochen wird. Alias ist nur eine 'kosmetische' Verbesserung, also zusätzlich zu der Port Nr, aber nicht anstatt

 

[geimist]

Muss ich bei der Variante file.DDNS Ports in der Fritzbox freigeben?

Ja, Port 443. Das ist der Standardport für https-Verbindungen. Weil Standard braucht er in dem Fall auch nicht ergänzt werden.

Hier als Subdomain:
https://photo.example.com/picture.jpg = https://photo.example.com:443/picture.jpg.
oder als Alias
https://example.com/photo/picture.jpg = https://example.com:443/photo/picture.jpg.

Ist es möglich alias statt Ports zu verwenden?

Ja. Es kann auch beides parallel genutzt werden (sehe es als Wegweiser).
Ort für die Konfiguration ist Systemsteuerung ➜ Anwendungsportal. Unter Anwendungen konfigurierst du die Synology eigenen Apps. Unter "Erweitert" ➜ "Reverse Proxy" individuelle Aliase / Subdomains.

Ist es sicherer?

Du musst nur noch einen Port freigeben. Und dedizierte Portnummern geben oft Aufschluss über die Anwendung dahinter, was Angreifern gezieltere Möglichkeiten bietet. Am sichersten ist keine Portfreigabe und dafür VPN.

Das Ziel: QuickConnect deaktivieren

Sofern dein DDNS öffentlich erreichbar ist, ja.

Wichtig:
Um keine Zertifikatswarnung zu erhalten, musst du im Fall von Subdomains diese in das Zertifikat aufnehmen oder ein Wildcardzertifikat nutzen (für Synology DDNS ist das von Haus aus möglich).

 

[Herbert80]

OK vielen Dank. Dann kann ich ja bis auf 443 alle löschen. Und wenns läuft auch Quick Connect deaktivieren.
Ich verwende für mein Smart Home sowie für DSM auch VPN. Aber somit ist ein externer Zugriff für Photos und Files nicht realisierbar, daher finde ich die Idee mit 443 gut.

Eine Frage habe ich noch für DSM Zugriff. Die ganze Zeit konnte ich auf den Port 5001 nicht zugreifen über das Internet, da dieser nicht freigegeben war.
Wenn ich jetzt in der DSM bei System - Anmeldeportal - DSM - Benutzerdefinierte Domain nichts eingetragen habe, dürfte doch das DSM vom Internet weiterhin nicht erreichbar sein, nur über VPN. Liege ich hier richtig?

 

[geimist]

keine Freigabe = keine Weiterleitung = kein Zugriff

 

[Herbert80]

OK super, dann lasse ich bei benutzerdefinierte Domain für das DSM das Feld leer. Vielen Dank für eure Angaben. Jetzt kam etwas mehr Licht ins Dunkel und ich bin durch einen Port etwas sicherer unterwegs.

 

[Herbert80]

Letztes Problem: DSM. Ich will über DDNS keinen Zugriff auf das DSM haben, das mache ich bei Bedarf über VPN. Wenn ich im LAN am PC bin und möchte auf das DSM zugreifen, was muss ich wo einstellen, damit ich eine einfache Adresse habe (beispielsweise irgendwas mit dsm)?

Aktueller Zugriff: IP:5001 (Zertifikatswarnung in rot)
Ziel: https://dsm oder ähnlich.

 

[geimist]

Im Heimnetz kannst du auch mit http (unverschlüsselt) arbeiten, wenn du den Geräten in deinem Netzwerk vertraust. Defaultport ist hier 5000.

 

[Herbert80]

Ja, das ist eine gute Idee, aber mir ist seit längerem aufgefallen, wenn die Webseite als Nicht sicher eingestuft wird, egal ob in rot, oder nur in grau, dass die Auto-Fill und Passwort-Manager vom Chrome nicht greift. Also immer komplett eingeben... Daher mein Wunsch, das irgendwie hinzubekommen als sichere Verbindung. Ich weiß bloß nicht wie. Sicherlich habt ihr Profis dafür die Lösung.

 

[geimist]

Dafür musst einen lokalen DNS-Eintrag setzen. Ich bin da aber raus …