DS414 - 2 verschiedene Netzwerke

[emerq]

Hallo an Alle,

ich wollte mich zum Thema Netzwerkkonfiguration noch einmal vergewissern.

Situation:
Diskstation auf LAN2 mit einem Firmennetzwerk (Windows Domäne, Diskstation wurde aber nicht in die Domäne aufgenommen)
D.h. User und deren Berechtigungen werden allein über die Diskstation gesteuert.

LAN1 ist eine Fritzbox die auf eine zweite komplett getrennte Internetleitung geht.
Als Standard Gateway ist deshalb auch die Fritzbox eingetragen um nicht über den Proxy des Firmennetzwerks zu gehen.

Ich habe 2 Volumes: Volume1 soll Firmenintern sein, Volume2 für extern.
Ich würde neben dem Admin Account zwei weitere Benutzer anlegen ; 1 User für Volume1 und ein User für Volume2.
D.h. ich würde von Außen nur auf mit einem Nutzer agieren, falls das Passwort von dem mal geknackt wird ist Volume2 nicht betroffen.


Ich wollte mich informieren ob mein Grundgedanke zu einem Problem führen kann was Zugriffe aufs Firmennetzwerk angeht?! Wenn ja, inwiefern?
Macht das mit den 2 Benutzern überhaupt einen Unterschied?

 

[Merthos]

Du kannst keine Volumen an Interfaces binden. Effektiv gelten also nur die Nutzerrechte.

Passwort knacken ist bei vernünftiger Wahl desselbigen, SSL und Auto-Block doch ehr ein sehr theoretisches Problem. Ansonsten wüsste ich nicht, was da für Probleme entstehen sollten, sind halt einfach zwei getrennte Nutzer...

 

[emerq]

Danke für die Antwort.

Das heisst die Nutzerrechte sind wie vermutet entscheidend.

D.h. wenn der Nutzer für extern nur auf Volume2 Zugriff (Keine Adminrechte) hat, gibt es keine Möglichkeit (Shell oder sonstiges?!) das man sich von dort aus über die Diskstation ins Firmennetzwerk einschleusen kann.

Abgesehen davon das es wohl nicht möglich ist, wenn es möglich ist, würde der "Angreifer" ja darüber hinaus dann noch einen Active Directory User + Passwort benötigen um auf Netzlaufwerke oder Server zugreifen zu können.

 

[Merthos]

Den Zugriff von außen regelst Du ja über die Portfreigaben. Hier musst Du selbst entscheiden, welche Dienste angeboten werden sollen / müssen.

Ansonsten, wenn Sicherheit so wichtig ist, dann vielleicht nochmal die Entscheidung für ein einzelnes Gerät überdenken. Ein Restrisiko bleibt immer (z.B. Bug im DSM).

 

[emerq]

Klar, das die Portfreigaben müssen passen. Ebenso sind Lücken in der DSM möglich.

Mir ging es bei meiner Frage genau um die Möglichkeiten neben Portfreigaben, Lücken und geknackten Passwörtern.

Als Resümee bleibt also, grundsätzlich gibt es keine Möglichkeit über das NAS ins Firmenetz zu kommen, wenn nicht oben genannte Dinge eintreten bzw. genutzt werden.