Externer Zugriff auf NAS mit maximaler Sicherheit?

[homer092]

Hallo,

ich bin damals etwas "blauäugig" in das Thema NAS gestartet, einstecken, installieren, starten. Über das Thema Sicherheit habe ich mir nicht soo viele Gedanken gemacht. Das möchte ich unbedingt ändern. Mir sind folgende Dinge bei der Nutzung wichtig:

- Ich nutze die NAS Zuhause im Netzwerk u.a. zum Streamen von Videos (über SMB glaube ich?) also einfach am TV, über VLC am Handy u.a.
- Außerdem als Dateispeicher für große Mengen Fotos, ich würde jetzt aber gerne auch vieles von externen Festplatten an Dokumenten wie Rechnungen, alles was so an Papierkram anfällt etc ablegen
- Ich nutze DS Audio für Hörbücher, auch unterwegs

Nun der entscheidende Punkt, ich brauche extern die Möglichkeit auf die NAS zuzugreifen, auch um teils große Datenmengen zu verschieben. Am Handy nutze ich dafür DS File. Am Laptop greife ich entweder per Browser über die QuickConnectID zu, also über Port 5001 im Browser....
Bei großen Datenmengen nutze ich SFTP über Port 22.

Im Router sind daher einige Ports für die NAS geöffnet und ich weiß, das ist alles andere als optimal. Aktuell häufen sich auch die Meldungen über blockierte SSH Versuche.....


Welche Möglichkeit kann ich nutzen um diese Funktionalität zu behalten? Also es wäre kein drama nicht mehr auf die NAS Benutzeroberfläche zugreifen zu können. Aber ich brauche unbedingt die Möglichkeit auf die Daten zuzugreifen unterwegs. Ich nehme mal an DS File / DS Audio sind kein Problem und brauchen keine Portfreigaben. Aber wie realisiere ich den Rest?

Ich lese regelmäßig mit einem VPN......was macht hier sinn? Ich kann auf der Fritzbox einen VPN einrichten für Zugriff aufs Heimnetz. Oder den VPN auf der NAS selbst?

Bin für Tipps dankbar! Und ich weiß, so ist die NAS sehr unsicher betrieben, aber ich bin ja dran ;-)

Danke schonmal!

 

[plang.pl]

VPN auf der FritzBox ist für dein Szenario m.E. der beste Weg
Portfreigaben dann alle raus. Wenn es Portfreigaben sein müssen, setze diese manuell im Router und nicht übers NAS und gib nur das frei, was du brauchst. Da kann man dann noch mit Reverse Proxy und / oder geänderten Ports arbeiten. Sprich: Portfreigaben abzusichern aufwändig. VPN ist bereits ab Werk sicherer, da dein NAS gar nicht im Internet erreichbar ist (VPN Server NICHT aufs NAS)

 

[ottosykora]

Zugriff mit Quickconnect ist eigentlich keine Problem, dazu braucht man keine Ports weiterleiten. Das geht mit dynamischer Port Zuweisung so ähnlich wie wenn du eine Webseite im Internet aufrufst, dazu brauchst du auch keine extra Ports weiterleiten. Da wird eine Vermittlungsserver verwendet. Geht manchmal deswegen etwas langsam.

Ansonsten wenn du die Möglichkeit hast VPN auf der FB einzurichten dann mache es. Dann kannst du ohne Vermittlungsserver direkt deinen Anschluss zu hause ansprechen und damit alle Geräte dann verwenden fast wie zu Hause

 

[Kachelkaiser]

Hallo,

schau doch mal in den Beitrag in meiner Signatur (Punkt 4 Sicherheit), da bekommst du bereits einen ersten Überblick und auch Stichworte, mit denen es sich lohnt zu suchen, hier im Forum und auch in der Suchmaschine deiner Wahl.

Damit sollten die meisten Fragen dann bereits geklärt sein. Wenn dann noch was offen ist, gerne nochmal fragen.

 

[metalworker]

VPN über deinen Router wurde ja schon geklärt.

Grundlegend dazu ist immer wichtig das Thema Datensicherung , wie machst du das aktuell?

 

[homer092]

VPN über deinen Router wurde ja schon geklärt.

Grundlegend dazu ist immer wichtig das Thema Datensicherung , wie machst du das aktuell?

Datensicherung mache ich aktuell auf zwei Wegen. Ich habe eine alte/ausgemusterte NAS auf die ich die aktuelle NAS spiegele. Außerdem stecke ich 1x die Woche eine externe Festplatte an, die dann ebenfalls automatisch alle wichtigen Ordner sichert, die wird danach wieder abgesteckt und sicher verwahrt.

 

[metalworker]

Spiegelung oder wirklich nen Sicherung per HyperBackup oder sowas in der richtung?
Also versioniert.

 

[homer092]

Sorry für die laienhafte Ausdruckswiese in dem Bereich. Ich meine eine Sicherung per HyperBackup, versioniert.

 

[metalworker]

Ok ist ja kein problem. .
Manche machen ja wirklich ne Spiegelung , und das hätte dann z.b. bei nem Trojaner eher keine vorteile

 

[homer092]

Auf jeden Fall! Super, dass du auf das Thema hinweist. Viele machen sich da glaube ich auch keinen Kopf.... ich lange auch nicht. Meist fängt man erst an darüber nachzudenken wenn es zu spät ist.

 

[metalworker]

Gut das haben wir hier sehr sehr hoft.

Das übliche ich hab nen Raid , warum sind meine Daten weg.

Aber hauptsache das du dir da jetzt Gedanken über alles machst.

 

[homer092]

Ja das mit dem RAID höre ich auch sehr oft! Auch schon selbst im Bekanntenkreis erlebt, sogar eine dienstlich genutzte NAS. Ist ja alles RAID und kann nix passieren. Plötzlich geht eine Platte kaputt und siehe da, die Daten auf beiden nicht mehr zu retten, da war dsa Drama groß.

 

[homer092]

Ich habe zu der Thematik noch einmal eine Verständnisfrage. Ich nutze bisher für externen Zugriff z.b. über DS File oder DS Audio bzw. auch über den Browser auf die NAS-Oberfläche eine QuickConnectID. Dafür habe ich auch DDNS eingerichtet in der NAS.

Soweit ich es verstanden habe stellt QC entweder diekt eine Verbindung zur NAS her wenn die Ports offen sind bzw. dann eben über DDNS... oder wenn dies nicht möglich ist dann OHNE Ports aber dann über die Server von QuickConnect? Ist das richtig so?
Sprich ich könnte ALLE Ports zu machen und könnte dann trotzdem noch auf die QC mit den Apps zugreifen?

Ich überlege nur gerade wie ich dann z.b. auf DS Audio vom Handy zugreife wenn ich alles auf VPN umstelle. Dann wäre ja quasi immer die VPN Verbindung nötig und damit würde auch der gesamte übrige Internetverkehr z.b. am Handy über das Heimnetz laufen.

 

[metalworker]

Bei QuickConnect brauchst kein dyndns .Das geht alles über die Server.

VPN ist schon besser.
Und bei den Handys kommt es drauf an wie du es einstellst .geht beides

 

[Kachelkaiser]

Dann wäre ja quasi immer die VPN Verbindung nötig und damit würde auch der gesamte übrige Internetverkehr z.b. am Handy über das Heimnetz laufen.

Richtig. Und damit würde auch dein Werbeblocker wie PiHole oder AdGuard auch unterwegs funktionieren ;-)

Wobei du bei Apps wie WGTunnel durchaus steuern kannst, welche Apps das VPN benutzen dürfen und welche nicht.