DS-109 TLS/SSL Problem

[Florian Deleal]

Guten Abend,

ich poste mein Problem mal unter "Sonstiges", da ich mir nicht sicher bin, ob es woanders hingehört.

Die Ausgangssituation:
- Die DS-109 steht an einem anderen Ort - der Zugriff erfolgt also nicht im LAN.
- Ich nutze den Server hauptsächlich zur Dateiablage, Zugriff per https und FTPES.
- Die Ports werden meiner Meinung nach alle korrekt im Router weitergeleitet.
- Das ganze ist erreichbar per dyndns.

Das Problem:
- Nachdem alles eingerichtet war funktionierte der Zugriff von extern.
- Ich habe seitdem kein Firmwareupdate oder ähnliches gemacht.
- Ich habe zunächst kein eigenes Sicherheitszertifikat erstellt, sondern das Zertifikat von Synology belassen.
- Seit gestern habe ich per https und FTPES keine Zugriff mehr.

- Filezilla-Protokoll:

Status: Auflösen der IP-Adresse für *******.dyndns.org
Status: Verbinde mit ***.***.***.***:21...
Status: Verbindung hergestellt, warte auf Willkommensnachricht...
Trace: CFtpControlSocket::OnReceive()
Antwort: 220 haven FTP server ready.
Trace: CFtpControlSocket::SendNextCommand()
Befehl: AUTH TLS
Trace: CFtpControlSocket::OnReceive()
Antwort: 234 AUTH SSL command successful.
Status: Initialisiere TLS...
Trace: CTlsSocket::Handshake()
Trace: CTlsSocket::ContinueHandshake()
Trace: CTlsSocket::ContinueHandshake()
Trace: CTlsSocket::ContinueHandshake()
Trace: CTlsSocket::ContinueHandshake()
Trace: GnuTLS alert 20: Bad record MAC
Fehler: GnuTLS error -12: A TLS fatal alert has been received.
Trace: CRealControlSocket::OnClose(10053)
Trace: CFtpControlSocket::ResetOperation(66)
Trace: CControlSocket::ResetOperation(66)
Fehler: Herstellen der Verbindung zum Server fehlgeschlagen

Firefox bringt folgende Meldung:

Ein Fehler ist während einer Verbindung mit *******.dyndns.org:7001 aufgetreten.
Die SSL-Gegenstelle meldet einen inkorrekten Nachrichtenauthentifizierungscode.
(Fehlercode: ssl_error_bad_mac_alert)

- Per SSH kann ich mich auf der DS-109 weiterhin anmelden.

An dieser Stelle enden meine Kenntnisse, und Google hat mir leider auch nicht weitergeholfen. Any ideas?

Florian

 

[Trolli]

Schau mal bei DynDNS, ob Deine IP richtig ist. Das ist keine Synology Station: "Antwort: 220 haven FTP server ready."

Trolli

 

[Florian Deleal]

Verdammt, da habe ich doch eine Information vergessen. "haven" habe ich die Kiste genannt - Das ist der Name meiner Synology Station. Bitte um Verzeihung.

Und die IP bei DynDNS stimmt, weil ich ja per SSH drauf komme.

Florian

 

[Der Graue]

Eine Lösung habe ich leider nicht, aber das gleiche Problem.
Ich habe dazu gerade heute Vormittag hier was geschrieben. Vielleicht kann ja ein Mod die Themen zusammenführen.
Mir war das nur bei FTP über TLS/SSL aufgefallen, ob ich mit https das Problem auch habe muß ich gleich mal testen.


Gruß vom Grauen

 

[Trolli]

Hast Du schon mal einen ganz trivialen Neustart des Servers probiert?

 

[Der Graue]

Schnell noch einen Nachtrag von mir: Der Zugriff über https auf DSM und Filestation klappt bei mir nach wie vor, nur FTP über TLS/SSL im aktiven Modus funzt nicht mehr
Ich habe auch schon mehrmals einen Neustart gemacht, leider ohne Erfolg.
Muß wohl was mit der neuen FW zu tun haben, denn am Router und in den Settings der DS ist alles wie vorher - habe ich nun schon mehrmals kontrolliert.

 

[Florian Deleal]

Ja. Ich habe zuerst per SSH den FTP-Server neu gestartet und dann auch die gesamte Station neu gebootet. Das hat aber nix gebracht.

 

[Trolli]

Versuch mal bitte, das Zertifikat in FileZilla zu löschen.
-> http://forum.filezilla-project.org/viewtopic.php?f=2&t=4334&view=previous

 

[Florian Deleal]

Mh. Da scheint irgendwo der Hund begraben zu liegen.

Wenn ich das Zertifikat aus der trustedcerts.xml des Filezilla lösche, kommt dieselbe Fehlermeldung, ohne das ich das Zertifikat neu akzeptieren muss.

Im Firefox habe ich es ebenfalls gelöscht. Der fordert er mich dann auf, das Zertifikat zu bestätigen - allerdings ebenfalls mit der Fehlermeldung wie zuvor.

 

[Trolli]

Sei doch bitte so gut und melde das Problem mal dem Support von Synology. Bin mal gespannt, was die dazu sagen...

 

[Florian Deleal]

Also. Ich habe Synology mein Admin-Passwort gegeben (inzwischen geändert), damit sie sich das per SSH anschauen können. Hier die Antwort von Adair Hsu:

"The engineer re-generate the certificate and this works. But be honest we don't know the root cause. If this issue happens again, please contact us to check again."

Problem folglich gelöst, Ursache unbekannt.

Florian