DDNS intern nutzen

[plang.pl]

Ist jemand schon mal darüber gestolpert?

Ich hab mich die Tage mal wieder mit dem Thema DDNS intern nutzen beschäftigt.
Dazu gab es bisher ja immer 2 Optionen:
-eigenen DNS Server nutzen und die Domain auf die interne IPv4 auflösen lassen
-Portfreigabe erstellen
Dies wird ja vor allem gebraucht, wenn man intern gültige Zertifikate haben will.
Aktuell kann man sich das ganze sparen, denn der DDNS kann in der DS direkt so eingestellt werden, dass er sogar von extern auf die interne IP auflöst.
Habe das gerade mal getestet und es klappt.
Ich denke aber, dass das erst seit DSM 7.2 gibt

 

[Kurt-oe1kyw]

Also ich muss ehrlich gestehen ich kann dir auch nicht sagen seit wann das jetzt so ist, aber früher war dies definitiv nicht vorhanden, daher habe ich jetzt schon eine lange Zeit den DNS Server intern laufen für die interne Auflösung und gültigen Zertifikatserkennung.

Aber vielen Dank für die Info.

 

[Ronny1978]

Ich leite die DynDNS auf meinem Adguard auf die interne Adresse der Synology um. So bleibt das Zertifikat erhalten und ich brauche keine Portfreigabe. Vielleicht ist das ja auch eine Lösung?

 

[plang.pl]

Ja klar ist das eine Lösung. Hatte ich ja oben geschrieben und mache ich auch so.
Aber mit dem von mir beschriebenen Vorgang geht es einfacher

 

[synfor]

Hier gibt es das schon in DSM 7.1.1u5

 

[Krabtus]

Ich leite die DynDNS auf meinem Adguard auf die interne Adresse der Synology um. So bleibt das Zertifikat erhalten und ich brauche keine Portfreigabe. Vielleicht ist das ja auch eine Lösung?

Wenn Du in den Einstellungen deiner DDNS-Adresse unter "Externe Adresse (IPv4)" die Option LAN wählst, kannst Du deine DDNS-Adresse so einstellen, das die von außen nicht erreichbar ist aber sobald Du über VPN auf dein Netzwerk zugreifst, kannst Du die Adresse welche ein gültiges Zertifikat hat verwenden.

Ich sehe den Vorteil, das deine Firewall eventuelle unerwünschte Anfragen auf deine DDNS-Adresse nicht abweisen muss, da diese erst garnicht mach aussen kommuniziert.

Oder wie seht Ihr das ?

 

[Krabtus]

Also ich muss ehrlich gestehen ich kann dir auch nicht sagen seit wann das jetzt so ist, aber früher war dies definitiv nicht vorhanden, daher habe ich jetzt schon eine lange Zeit den DNS Server intern laufen für die interne Auflösung und gültigen Zertifikatserkennung.

Aber vielen Dank für die Info.

Siehst Du es nicht als einen Gewinn bei der Sicherheit, wenn Du in den Einstellungen der DDNS-Adresse die "Externe Adresse (IPv4)" auf LAN stellst? So muss die Firewall eine eventuell unerwünschte Anfrage nicht erst abweisen, da die DDNS-Adresse nicht nach aussen kommuniziert. Desweiteren kannst Du deinen DNS-Server ja dennoch so einstellen, das an eine andere IP verwiesen wird.

Wenn Du dann per VPN auf das Netzwerk zugreifst, kannst Du die DDNS-Adresse ja ganz normal benutzen.

 

[plang.pl]

Ich sehe es tatsächlich nicht wirklich als Sicherheitsgewinn, sondern eher als praktischen Vorteil in gewissen Situationen.
Denn in den allermeisten Fällen kommt ein Angriff / Loginversuch auf deine IP und nicht deine Domain. Grund dafür wiederum ist, dass ein Bot meist versucht sich einzuloggen, wenn ein Portscan einen offenen Port gezeigt hat. Und ein Portscan Bot scannt klassischerweise IP-Adressen und keine FQDNs

 

[plang.pl]

Kleiner Nachtrag noch meinerseits: Wer das so nutzen will, muss bei einigen Routern den Rebind-Schutz ausschalten, der normalerweise verhindert, dass ein FQDN auf eine interne Ressource zeigt, bzw. diese Anfrage blockiert.
Dazu muss die verwendete Domain (also die DDNS Adresse) als Ausnahme gesetzt werden. Hier am Beispiel einer FritzBox mit der Beispieldomain "fritzbox.local":


Hierzu noch der KB-Artikel von AVM: https://avm.de/service/wissensdaten...re-Anfrage-aus-Sicherheitsgrunden-abgewiesen/

 

[BePe1]

Hat sich erledigt, habe einfach irgendwas eingetragen.

 

[metalworker]

Wie meinst du das ?

 

[BePe1]

Sorry falscher Chat

 

[metalworker]

Achso , aber ist dann falscher Thread und kein Chat ;-)

 

[Makolineo]

Hallo Zusammen, ich bin in meiner Recherche auf diesen Thread gestoßen. Ich quäle mich schon eine Ewigkeit rum, vermutlich auch, weil ich absolut nicht vom Fach bin. Vielleicht könnt ihr mir ja endlich helfen .

Ich habe meine Synology so eingestellt, dass sie sowohl über Quickconnect (intern als auch extern) erreichbar ist. Das funktioniert für die meisten Anwendungen einwandfrei.

DDNS habe ich ebenfalls aktiviert. Dabei habe ich die Router Konfiguration über das DSM so eingestellt, dass 443, 38443 und 6690 offen sind. Das ist auch mittels Portweiterleitungsregeln beim Router (Fiber Box von Magenta Modell DOCSIS 3.0) entsprechend hinterlegt. Die Verbindungstestergebnisse in der DSM werden bei allen Ports mit "OK" angezeigt. Im Bereich DDNS habe ich bei Externe IP-Adresse (IPv4) "Automatisch (80.xx.xxx.xxx)" eingestellt.

Hier ergibt sich nun mein erstes Problem. Trotz dieser Einstellungen, kann ich auf mein NAS mittels XXXX.synology.me nicht zugreifen. Ich bekomme "Die Website ist nicht erreichbar" und ein "ERR_CONNECTION_TIMED_OUT". Von extern, klappt es aber einwandfrei. Sind meine Einstellungen irgendwo falsch, dass es intern nicht funktioniert?

Der Hintergrund, warum ich gerne generell, in allen Bereichen, was Web-Anwendungen angeht, über DDNS und meine Domain XXX.synology.me zugreifen würde ist, dass ich so auch Aktualisierungen an anderen Endgeräten (beispielsweise Calendar über Caldav) nutzen kann und damit die Aktualisierung in den verschiedenen Endgeräten über diese Adresse immer und sofort funktioniert.

Aktuell nutze ich bei Calendar beispielsweise folgenden Link (den bekomme ich im Bereich CALDAV-Konto so angezeigt, wenn ich mich über quickconnect verbinde):
https://xxx-xxx-xxx-xxx.quickconnectid.direct.quickconnect.to:5001/caldav/

Nachteil ist aber, dass sobald ich mich extern befinde, neue Kalendereinträge nicht direkt auf allen Endgeräten aktualisieren. Das passiert erst dann, wenn ich mit dem entsprechenden Endgerät im selben WLAN oder LAN befinde. Sprich wenn Person 1 einen neuen Termin im gemeinsamen Kalender einträgt, bekomme ich diesen erst auf meinem Gerät zu sehen, wenn Person 1 dann auch mal wieder mit WLAN oder LAN verbunden war.

Generell bin ich für Lösungsansätze dazu aller Art offen Hauptsache es funktioniert.

Ich habe im Grunde die Vorstellung, dass ich von außerhalb mittels QuickConnect oder SMB auf Daten und Funktionen der Synology zugreife. Um diverse Aktualisierungen der Kontakte, Kalendereinträge, usw. sofort nach deren Erstellung/Änderung hinzubekommen, benötige ich aber DDNS. Oder gibt es insgesamt einen empfehlenswerteren Zugang zu diesen Themen?

Danke euch vorab, auch wenn der Beitrag sehr lang wurde. Aber ich dachte, dann sind zumindest viele Infos drin, die ihr mitunter benötigt um mir weiterzuhelfen.

schöne Grüße

 

[metalworker]

Hallo

Also ich Fang erstmal anders an.
Das du nicht von Fach bist ist gar kein Problem .
Allerdings solltest du dabei einiges beachten .

Du hast einige Ports geöffnet. Das ist immer so ein Risiko .
Hast du dich grundlegend mit dem Thema Sicherheit und Backups überhaupt schon beschäftigt ?

Das ist erstmal wichtig bevor man dann hier deine Probleme lösen kann .


Dazu am besten auch noch schreiben welche Dienste du genau freigeben willst an wie viele Leute .
Am Ende lässt sich das mit nem VPN viel besser abbilden

 

[Benares]

QuickConnect und DDNS unterscheiden sich grundsätzlich. Bei QC meldet sich NAS und Client bei irgendwelchen Synology-Servern an und die Kommunikation läuft über diese. Portweiterleitungen/-Freigaben braucht es nicht, ist aber lahm und es geht nur für bestimmte Anwendungen.

Bei DDNS wendet sich der Client direkt an die vom DNS-Server aufgelösten IPs (nslookup ...). Bei IPv4 muss das die externe IPv4 des Routers sein, bei IPv6 die des NAS (Portweiterleitungen wie bei IPv4 gibt es bei IPv6 nicht, nur Portfreigaben).
Wenn du das von Intern verwendest, muss der Router bei IPv4 NAT-Loopback beherrschen, Fritzboxen können das, ob das deiner kann, weiß ich nicht. Der Verkehr läuft dann über den Router zu dessen externer IPv4 und dann wieder zurück über Firewall/Portweiterleitung zurück ins lokale Netz. Bei IPv6 würde es direkt gehen, auch ohne Portfreigabe.

Zu CalDAV kann ich dir nichts sagen, kenne/nutze ich nicht.

Edit: @metalworker hat Recht. Wenn du dein einziger "Kunde" bist, dann ist ein VPN-Zugang sicherer/besser, dann baust du von extern die VPN-Verbindung auf und arbeitest so wie im heimischen WLAN. Kann dein Router VPN, z.B. Wireguard?

 

[Makolineo]

Hey Zusammen,

danke schon einmal für das rasche und gute Feedback von euch. Das hilft schon einmal sehr weiter.

Mit dem Thema Backup habe ich mich ein wenig beschäftigt. Ich habe zwei Platten in meinem NAS die gespiegelt werden. Generell sichere ich meinen Laptop und den meiner Frau mittels Time Machine auf das NAS. Zudem wird das NAS natürlich als Speicherplatz genutzt. Mittels Hyper Backup wird alles wöchentlich zusätzlich auf eine externe Festplatte gesichert.

Zum Thema Sicherheit habe ich bereits viel gelesen, aber ich durchschaue dann einfach nicht immer alles und weiß nicht recht, welche Variante am besten für meine Zwecke ist.

Gerne gebe ich euch einen Abriss, wie das NAS bei mir in Verwendung ist und welche Programm und APPs verwendet werden. Ich hoffe es ist ok, dass das im Grund am eigentlichen Thema dann doch etwas vorbei geht. Ansonsten gebt Bescheid, wie ich am besten vorgehe.

Das NAS dient in erster Linie als Speicher und Sicherung für die Arbeit meiner Frau, welche Grafikdesignerin ist. Daher wird deren Laptop mittels Time Machine gesichert. Neben dem Laptop habe ich ihr auf dem NAS einen freigegebenen Ordner eingerichtet. Auf diesem liegen alle Daten, die ihr Einzelunternehmen betrifft. Meine Frau greift auf das Laufwerk mittels Synology Drive, über den Finder, zu. Die Freigabe für den Ordner habe ich in der Synology Drive Admin Konsole eingerichtet. Auch das funktioniert seit Jahren einwandfrei und ich hatte damit noch keine Probleme.

Ursprünglich hatte ich mal SMB eingerichtet für den Zugriff im Finder, aber Synology Drive hat sich bewährt und ist einfacher in der Handhabung, falls die Verbindung mal weg sein sollte, da sie sich selbst wieder aufbaut, sobald das geht. Da meine Frau absolut keine Ahnung davon hat, ist das ungemein wichtig. Über den Finder kann sie so auch Ordner freigeben und anderen den Zugriff (entsprechende Gültigkeit und Passwort kann eingestellt werden) freigeben.

Weiters verwende ich das NAS als Photo Datenbank für alle Fotos meiner Familie. Auch das klappt bestens und wird, beispielsweise mit der Photos App am Handy verwendet. Diese ist so eingestellt, dass entsprechende Foto-Ordner am Handy direkt auf das NAS und Photos gesichert werden.

Ich selbst verwende weiters am Handy die Apps DS file, Photos, DS note, Drive und den SecureSignIn für eine entsprechende Authentifizierung.

Bis hierhin klappt alles ganz gut und ich komme, mit wem was ich dazu eingestellt habe, gut zurecht. Ob das aber alles richtig ist und in Hinsicht auf Datensicherheit gut gelöst ist, weiß ich natürlich nicht. Da bin ich für Tipps und Infos wie das besser eingerichtet werden kann, gerne offen.

Weiters verwenden meine Frau und ich gemeinsam "Synology Calendar" die Anwendung im DSM des NAS. Ich habe es so eingerichtet, dass die Termine direkt mit dem NAS und eben unseren verschiedenen Clients (Laptop's, Handy's, Tablet's) synchronisiert werden.

Das klappt, solange wir Termine im eigenen WLAN/LAN eintragen. Dann werden diese direkt auf allen Endgeräten aktualisiert und synchronisiert. Gelöst habe ich das über eine Einbindung mit Caldav und die APP "Davx5" (für Android, bei Apple reicht der CALDAV Link) die von Synology dazu empfohlen wird. Selbiges gilt für die Kontakte. Hierfür nutzen wir "Synology Contacts" und die Schnittstellt "CardDAV".

Wenn wir aber nun außerhalb unseres Netzwerks Änderungen vornehmen oder neue Einträge machen (egal ob bei Terminen oder neuen Kontakten), dann werden diese nicht synchronisiert, weil eben der verwendete Link nur im eigenen LAN/WLAN funktioniert. Ich hatte nun gehofft, dass ich das Thema mittels DDNS lösen kann, wenn ich es so einrichte, dass DDNS auch intern genutzt werden kann. Dann hätte ich nämlich den CALDAV und CARDDAV Link entsprechend auf die DDNS Adresse angepasst und wäre der Meinung, dass sowohl intern als auch extern die Synchronisierung klappt.

Das war mein ursprünglicher Ansatz. Der Beitrag ist jetzt doch recht lange geworden, aber ich dachte ich packe mal alles rein, was für euch wichtig sein könnte um mir zu helfen. Wenn noch was fehlt, gebt Bescheid, dann ergänze ich das sehr gerne.

Abschließend fällt mir noch ein. Ob das Modem NAT Loopback unterstützt, ich weiß es nicht, vermute aber nicht. Wie könnte dann eine Lösung aussehen? Auch VPN/Wiregard denke ich nicht, dass er kann. Ich vermute mal, dass ich ihn in diesem Fall in den Bridge Modem versetzen muss und separat einen eigenen Router dazwischen installiere?

Vielen Dank vorab und schöne Grüße in die Community.
Markus

 

[justkidding]

Hallo zusammen,

vielen Dank für den Tipp. Funktioniert
Wenn ich den NAS intern über die Domain aufrufe läuft der ganze Traffic trotzdem intern oder? D.h. für die Geschwindigkeit dürfte das keinen Unterschied machen?

Sehe ich es richtig, dass beim direkten Aufruf der IP netzintern immer ein Zertifikatsfehler kommen wird und es dafür keine Lösung gibt?

 

[Benie]

Wenn Du die DS netzintern über DNS aufrufen willst, musst Du im Fall der FritBox, auf dieser die DynDNS im Rebindschutz eintragen, dann weiß diese das soll intern laufen.

Letzteres siehst Du richtig, für eine IP kann kein Zertifikat verwendet werden.
Entweder intern http:// verwenden oder mit https:// mit der Meldung leben.

 

[justkidding]

In der Firtzbox habe ich folgendes eingetragen:

Aber das muss ich ja ohnehin, weil die DDNS intern sonst gar nicht aufgelöst werden kann, weil die Fritte den Verweis auf die interne IP verhindert.