Dienste freigeben und Aktualisierung IP Netcup

[EDvonSchleck]

Hallo Synology Ähänger und Freunde,

ich würde gerne zwei bis drei Dienste für enge Freunde und Bekannte freigeben. Natürlich würde ich VPN vorziehen, jedoch kann ich nicht jeden außerhalb der Familie in mein Netzwerk lassen. Ich hadere aktuell mit der Frage, ob der Standardport (443) gelassen werden kann oder ob es besser ist auf einen höheren Port zu mappen. Beides hat seine Vor- und Nachteile. Ich würde mich gerne von euch beraten lassen. Natürlich wird zusätzlich auf fail2ban (sofern möglich) eingesetzt zusammen mit der Syno-Firewall (nur Deutschland) um Angriffe möglichst gering zu halten. Für weitere Ratschläge bin ich jederzeit offen.

Ich konnte bei der Oktoberfestaktion zuschlagen und musste pro Domain nur 1,71 € (12 Monate) zzgl. 2 € einmalige Bearbeitung bezahlen (Danke für den Tipp @haydibe). Die Anmeldung erfolgte schnell und unkompliziert, die Nutzereinstellungen bei Netcup sind sehr übersichtlich aufgebaut und auch als Laie zu verstehen.

Mein zweites Problem betrifft die Aktualisierung der DynDNS. Natürlich stellt dieses kein richtiges Problem dar und könnte jederzeit über MyFritzBox oder Securepoint-DNS ausgelöst werden. Nun bin ich aber als Dockerfreund auf ein interessantes Image/Skript für meinen Anbieter Netcup gestoßen. Dieses bewirkt ein Abgleichen der IP via Netcup-API. Da es mehrere Images mit unterschiedlicher Herangehensweise gibt, würde ich gerne wissen, ob einer dieses bereits im Einsatz hat. Man könnte sich somit eine Weiterleitung über einen dritten Anbieter sparen. Meine Bedenken sind dabei, wie schnell die IP dabei aktualisiert wird, in welchen Abständen und die Werte für TTL. Ich möchte ungerne dauerhaft Anfragen senden, um den Server unnötig zu überlasten. Bei der Fritzbox soll angeblich alle 30 Minuten eine Aktualisierung erfolgen. Reichen würde es, wenn nach Erkennen des IP Wechsels durch den Router (Fritzbox) die Aktualisierung erfolgt.

Wie sehen eure Meinungen und Vorschläge aus.

Danke

 

[Benares]

Bei einem bekannten, überschaubaren Benutzerkreis würde ich auf einen anderen Port ausweichen. Andernfalls würde ich es bei 443 belassen.
Das DDNS-Update ist auf dem Router am besten aufgehoben, da dieser als erstes weiß, wenn sich externe IP ändert. Alle anderen müssen zyklisch unter Zuhilfenahme externer Dienste erst aufwendig ermitteln, ob sich die externe IP inzwischen geändert hat.

 

[Ulfhednir]

Standardport 443 (HTTPS) und Reverse Proxy verwenden. Bei Netcup pro Dienst einen CNAME (app1.deinedomain.tld) auf den DynDNS der FritzBox (MyFritz) setzen und fertig ist der Lack.

Wenn du die Eier legende Wollmilchsau suchst, dann empfehle ich immer wieder gerne SWAG.
https://docs.linuxserver.io/general/swag
https://github.com/linuxserver/docker-swag

SWAG ist ein Reverse Proxy (Nginx) mit Fail2Ban, Geo-IP-Block, Automatischer Lets Encrypt-Integration (Wildcards lassen sich dann mit per Netcup-API erstellen) und 2FA.

 

[EDvonSchleck]

Soweit ich gesehen habe gleicht die Fritzbox auch die IP zyklisch ab?

 

[Ulfhednir]

Kann ich dir nicht verraten. In Kombination Myfritz und Netcup habe ich jedenfalls keine Probleme.

 

[EDvonSchleck]

Ich bin auf der Suche auf diesen Eintrag gekommnen. Damit soll es möglich sein mit oder ohne die Fritzbox die IP via API zu Netcup abzugleichen. im Grunde sind es 2 Scripts/Images, welche mehr oder weniger ähnlich arbeiten. Die API nutze ich für acme-sh bereits ohne Probleme.

Somit könnte man Drittanbiedterdiesnte wie MyFritz, Dyndns, MySynology etc komplett sparen. Natürlich nur in Bezug auf Netcup.

 

[haydibe]

Bei mir ist NetCup nur noch der Registrar - die technische Administration habe ich vor längerem schon zu CloudFlare rübergezogen.

Genau so würde ich es auch machen:

Standardport 443 (HTTPS) und Reverse Proxy verwenden. Bei Netcup pro Dienst einen CNAME (app1.deinedomain.tld) auf den DynDNS der FritzBox (MyFritz) setzen und fertig ist der Lack.

Wichtig: bei DualStack oder DualStackLight hilft es MyFritz!-Freigaben zu verwenden, und dann den Domain-Namen der spezifischen Freigabe als CNAME Ziel im DNS einzutragen. Nur so zeigt die Ipv4 auf die FB WAN-IP und die ipv6 auf die Ziel-IP, ohne das man irgendwo noch selbst DynDNS betreiben muss.

 

[EDvonSchleck]

Danke für die Antworten - nutze ja nur IPv4, somit ist das alles schnell realisieren.

 

[haydibe]

Sprich: das WAN-Interface hat nur IPv4 und kein DualStack? In dem Fall kann die Fritzbox dann auch die IPv4 bei myfritz registrieren und der CNAME wird immer zuverlässig auf IPv4 aufgelöst. In dem Fall hast Du recht: es ist einfach

Hat das WAN-Interface über DualStack aber ipv4 und ipv6, so registriert die FB auch beides bei myfritz und der CNAME kann je nach Präferenz des Clients ipv6 oder ipv4 bevorzugen. Wenn der Client den Domainnamen auf eine ipv6 auflöst, rennt er dann ins Leere, wenn er versucht über die ipv6 auf die Domain zuzugreifen.. Man muss sich nur der Konsequenz bewusst sein!